Настройка получения событий Kaspersky Security Center в формате CEF

KUMA позволяет получать и передавать события в формате CEF от Сервера администрирования Kaspersky Security Center в

SIEM-систему

SIEM-система (Security Information and Event Management) – решение для управления информацией и событиями в системе безопасности организации.

Настройка получения событий Kaspersky Security Center в формате CEF состоит из следующих этапов:

1. Настройка пересылки событий Kaspersky Security Center.
2. Настройка коллектора KUMA.
3. Установка коллектора KUMA в сетевой инфраструктуре.
4. Проверка поступления событий Kaspersky Security Center в формате CEF в коллектор KUMA.

   Вы можете проверить, что экспорт событий из Сервера администрирования Kaspersky Security Center в формате CEF в SIEM-систему KUMA выполнен правильно, выполнив поиск связанных событий в веб-интерфейсе KUMA с помощью веб-интерфейса KUMA.

   Чтобы отобразить события Kaspersky Security Center в формате CEF в таблице, введите следующее поисковое выражение:

   SELECT * FROM `events` WHERE DeviceProduct = 'KSC' ORDER BY Timestamp DESC LIMIT 250

Настройка передачи событий Kaspersky Security Center в формате CEF

Kaspersky Security Center позволяет настроить параметры экспорта событий в SIEM-систему в формате CEF.

Функция экспорта событий Kaspersky Security Center в SIEM-системы в формате CEF доступна при наличии лицензии Kaspersky Endpoint Security для бизнеса Расширенный или выше.

Чтобы настроить передачу событий от Сервера администрирования Kaspersky Security Center в SIEM-систему KUMA:

1. В дереве консоли Kaspersky Security Center выберите узел Сервер администрирования.
2. В рабочей области узла выберите вкладку События.
3. Перейдите по ссылке Настроить параметры уведомлений и экспорта событий и в раскрывающемся списке выберите Настроить экспорт в SIEM-систему.

   Откроется окно Свойства: События. По умолчанию откроется раздел Экспорт событий.

4. В разделе Экспорт событий установите флажок Автоматически экспортировать события в базу SIEM-системы.
5. В раскрывающемся списке SIEM-система выберите ArcSight (CEF-формат).
6. Укажите адрес сервера SIEM-системы KUMA и порт для подключения к серверу в соответствующих полях. В качестве протокола выберите TCP/IP.

   Вы можете нажать на кнопку Экспортировать архив и указать дату, начиная с которой уже созданные события KUMA будут экспортироваться в базу SIEM-системы. По умолчанию Kaspersky Security Center экспортирует события с текущей даты.

7. Нажмите на кнопку ОК.

В результате Сервер администрирования Kaspersky Security Center будет автоматически экспортировать все события в SIEM-систему KUMA.

Настройка экспорта событий Kaspersky Security Center в SIEM-систему KUMA

Настройка коллектора KUMA для сбора событий Kaspersky Security Center

После завершения настройки экспорта событий от Сервера администрирования Kaspersky Security Center в формате CEF вам нужно настроить коллектор в веб-интерфейсе KUMA.

Чтобы настроить коллектор KUMA для событий Kaspersky Security Center:

1. В веб-интерфейсе KUMA перейдите в раздел Ресурсы → Коллекторы.
2. В списке коллекторов найдите коллектор с нормализатором [OOTB] KSC и нажмите на него, чтобы открыть для редактирования.
3. На шаге Транспорт в поле URL укажите порт, по которому коллектор будет получать события Kaspersky Security Center.

   Порт должен совпадать с портом сервера SIEM-системы KUMA.

4. На шаге Парсинг событий проверьте, что выбран нормализатор [OOTB] KSC.
5. На шаге Маршрутизация проверьте, что в набор ресурсов коллектора добавлены следующие точки назначения:
   • Хранилище. Для отправки обработанных событий в хранилище.
   • Коррелятор. Для отправки обработанных событий в коррелятор.

   Если точки назначения Хранилище и Коррелятор не добавлены, создайте их.

6. На шаге Проверка параметров нажмите Сохранить и создать сервис.
7. Скопируйте появившуюся команду для установки коллектора KUMA.

Установка коллектора KUMA для сбора событий Kaspersky Security Center

После завершения настройки коллектора для сбора событий Kaspersky Security Center в формате CEF требуется установить коллектор KUMA на сервере сетевой инфраструктуры, предназначенной для получения событий.

Подробнее о процедуре установки коллектора KUMA см. в разделе Установка коллектора в сетевой инфраструктуре.