Установка коррелятора в сетевой инфраструктуре OSMP

Коррелятор состоит из двух частей: одна часть создается внутри Консоли OSMP, а другая устанавливается на сервере сетевой инфраструктуры, предназначенном для обработки событий. В сетевой инфраструктуре устанавливается вторая часть коррелятора.

Чтобы установить коррелятор:

1. Войдите на сервер, на котором вы хотите установить службу.
2. Создайте папку /opt/kaspersky/kuma/.
3. Скопируйте файл "kuma" в папку /opt/kaspersky/kuma/. Файл находится внутри установщика в папке /kuma-ansible-installer/roles/kuma/files/.

   Убедитесь, что файл kuma имеет достаточные права для запуска.

4. Выполните следующую команду:

   sudo /opt/kaspersky/kuma/kuma correlator --core https://<FQDN>:<port> --pair.fingerprint <fingerprint ID of the KUMA Core CA certificate> --id <service ID> --api.port <API port> --install

   где:

   • <FQDN> – полное доменное имя сервера Ядра KUMA.
   • <port> – порт, используемый Ядром KUMA для внутренних коммуникаций (по умолчанию используется порт 7210)
   • <fingerprint ID of the KUMA Core CA certificate> – идентификатор отпечатка CA-сертификата, используемый для проверки подлинности при подключении сервиса.

     Аргумент --pair.fingerprint является необязательным. При создании сервиса OSMP автоматически добавляет этот параметр в команду установщика и указывает идентификатор отпечатка.

     Вы можете установить сервис без указания параметра --pair.fingerprint. В этом случае OSMP использует значение insecure по умолчанию, которое пропускает проверку сертификата центра сертификации (CA) Ядра KUMA при установлении подключения. Если значение insecure, отпечаток не нужно обновлять после перевыпуска сертификата центром сертификации (CA).

     Чтобы убедиться, что сертификат центра сертификации (CA) Ядра KUMA прошел проверку, рекомендуется сохранить параметр --pair.fingerprint с идентификатором отпечатка при установке сервиса. При перевыпуске CA-сертификата необходимо скопировать новый отпечаток сертификата в веб-интерфейсе и перезапустить сервис с обновленным значением параметра.

   • <service ID> – это идентификатор сервиса KUMA, скопированный из веб-интерфейса.
   • <API port> – это порт, используемый для связи с установленным компонентом.

   Пример:

   sudo /opt/kaspersky/kuma/kuma correlator --core https://kuma.example.com:7210 --pair.fingerprint XXXX --id XXXX --api.port YYYY --install

   Команду, с помощью которой можно установить коррелятор на сервере, можно скопировать на последнем шаге мастера установщика. В ней автоматически указывается адрес и порт сервера Ядра KUMA, идентификатор устанавливаемого коррелятора, а также порт, который этот коррелятор использует для связи. Перед установкой необходимо убедиться в сетевой связности компонентов KUMA.

   При развертывании нескольких сервисов KUMA на одном хосте в процессе установки необходимо указать уникальные порты для каждого компонента с помощью параметра --api.port <порт>. По умолчанию используется значение --api.port 7221.

Коррелятор установлен. С его помощью можно анализировать события на предмет угроз.