Настройка обогащения событий и ретроспективного сканирования

Интеграция KUMA с Kaspersky CyberTrace (далее CyberTrace) версии 5.0 и выше позволяет обогащать события информацией об индикаторах компрометации (IoC) и выполнять ретроспективное сканирование (ретроспективную проверку) событий. Ретроспективное сканирование помогает выявить индикаторы, которые не были обнаружены в момент первичного обогащения, но появились позднее в обновленных потоках данных CyberTrace. Ретроспективное сканирование может использоваться в следующих случаях:

Чтобы настроить обогащение данных и ретроспективное сканирование:

  1. Выполните первоначальную настройку в KUMA, выполнив следующие шаги:
    1. Настройте интеграцию с CyberTrace.
    2. Создайте два коллектора для получения событий, которые вы хотите обогатить данными из CyberTrace:
      • Для приема оповещений о срабатывании индикаторов от CyberTrace создайте коллектор, в котором в качестве транспорта используется коннектор с типом tcp, а в качестве нормализатора используется [OOTB] CyberTrace.
      • Для настройки обогащения событий создайте коллектор со следующими параметрами:
        • В качестве транспорта выберите любой коннектор (например, http).
        • В качестве метода нормализации выберите любой метод (например, json) с сопоставлением следующих полей: SourceHostName, DestinationHostName, Message, DeviceHostName, DeviceAddress, FileHash, OldFileHash, RequestUrl.
        • В качестве обогащения создайте правило обогащения событий, в котором тип источника данных – cybertrace-http, указана версия CyberTrace ≥ 5.0, и в раскрывающемся списке Ключевые поля выбраны следующие поля нормализатора: SourceHostName, DestinationHostName, Message, DeviceHostName, DeviceAddress, FileHash, OldFileHash, RequestUrl.
  2. Выполните настройку ретроспективного сканирования в веб-интерфейсе CyberTrace, выполнив следующие шаги:
    1. В разделе Настройка → Общие включите API lookup, чтобы сохранять обнаруженные индикаторы и собирать по ним статистику при использовании запроса к публичному API.
    2. В разделе Настройка → Ретроскан включите ретроспективное сканирование, а затем откройте вкладку Регулярные выражения и включите те источники и их регулярные выражения, которые требуется использовать для ретроспективной проверки.
    3. В разделе Настройка → Общие в блоке параметров Оповещения об обнаружении индикаторов компрометации укажите IP-адрес и порт, которые будут использоваться в CyberTrace для отправки оповещений об обнаружении индикаторов компрометации.
    4. В разделе Настройка → Общие в блоке параметров Служебные оповещения настройте отправку служебных оповещений CyberTrace (например, об окончании выполнения задачи ретроспективного сканирования или замене лицензионного ключа), указав IP-адрес коллектора и порт TCP-коннектора KUMA.

    Подробнее о настройке ретроспективного сканирования см. справку Kaspersky CyberTrace.

Этапы обработки событий в процессе ретроспективного сканирования

В начало