Сценарий: перенос телеметрии без внешнего хранилища

В этом разделе описывается сценарий переноса данных телеметрии без внешнего хранилища. Для переноса телеметрии необходимы два отдельных сервера: сервер KEDR 7.1 на платформе KATA и сервер Kaspersky EDR Expert 8.1 на OSMP. Приведенный ниже сценарий переноса данных телеметрии является частью основного сценария перехода с KATA/KEDR 7.1 на Kaspersky EDR Expert 8.1 с использованием отдельного сервера для Kaspersky EDR Expert 8.1.

Вы можете развернуть коллектор KUMA либо в кластере Kubernetes (вариант по умолчанию), либо вне кластера.

Настоятельно рекомендуется развернуть коллектор KUMA на отдельном сервере как дополнительный сервис KUMA, это снижает требования к дополнительным ядрам и процессорам.

После завершения процесса переноса данных вы можете удалить коллектор, развернутый на отдельном сервере, чтобы освободить ресурсы.

Ограничения

Перенос телеметрии без внешнего хранилища имеет следующее ограничение:

• Если требуется осуществить перенос телеметрии без использования внешнего хранилища, развертывание Kaspersky EDR Expert 8.1 на том же сервере, где был развернут KEDR 7.1, невозможно.

Этапы

Перенос телеметрии состоит из следующих этапов:

1. Развертывание и перенос данных Kaspersky EDR Expert

   Выполните шаги с 1 по 9, описанные в сценарии перехода с KATA/KEDR 7.1 на Kaspersky EDR Expert 8.1 с использованием отдельного сервера для Kaspersky EDR Expert 8.1.

2. Подготовка сервера KATA к переносу данных телеметрии с помощью коллектора KUMA и открытие внешнего порта Elasticsearch

   Подключитесь к серверу KATA и выполните следующие действия в режиме Technical Support Mode:

   1. Убедитесь, что на сервере KATA существуют следующие файлы:
      • /etc/kaspersky/node.json
      • /home/swarm_user/.ssh/id_rsa
   2. Выполните следующую команду, чтобы создать корневую директорию для скрипта и других объектов:

      mkdir /home/admin/elastic_script_dir

   3. Получите образ Docker kata_osmp_migrate: для этого скопируйте на сервер архив TAR, содержащий образ Docker kata_osmp_migrate, и выполните следующую команду:

      docker load -i ./img_kata_osmp_migrate.tar

      Скопируйте значение Loaded image в выводе команды (например, registry.kata.zvx.com:5000/kaspersky/kata/management/kata_osmp_migrate:d0a217b), которое затем будет необходимо использовать на шаге 4 вместо migrate_image:tag.

   4. Запустите образ в режиме генерации скрипта:

      sudo docker run --rm \

      -v /home/admin/elastic_script_dir:/elastic_script_dir \

      -v /etc/kaspersky:/etc/kaspersky \

      -v /home/swarm_user/.ssh:/home/swarm_user/.ssh \

      --network kata_prod_network \

      migrate_image:tag \

      generate-elastic-script \

      --elastic-script-dir /elastic_script_dir

      После генерации скрипта в консоль выводятся данные, необходимые для коллектора KUMA:

      • конечная точка Elasticsearch;
      • пользователь Elasticsearch;
      • пароль Elasticsearch;
      • SSL-сертификат Elasticsearch.

      SSL-сертификат будет расположен в директории /home/admin/elastic_script_dir/conf.d/elastic.crt.

      Сохраните учетные данные надежным образом, поскольку в дальнейшем скопировать или просмотреть их будет невозможно.

      Чтобы изменить учетные данные, повторите шаг 4 этой инструкции.

   5. Выполните следующую команду, чтобы перейти в директорию скрипта:

      cd /home/admin/elastic_script_dir

   6. Запустите скрипт в режиме open:

      sudo ./kata-elastic-access.sh open

      В результате выполнения этой команды открывается внешний порт Elasticsearch. Сервер KATA готов к переносу телеметрии.

      Elasticsearch будет доступен по адресу https://<host>:8888/kata/elastic/

      Индексы Elasticsearch будут доступны по адресу: https://<host>:8888/kata/elastic/_cat/indices?v&s=index:desc

3. Подключение коллектора KUMA к Elasticsearch

   Вы можете создать собственный коллектор или воспользоваться встроенным коллектором [OOTB] Kaspersky EDR events migration Elasticsearch.

   Рекомендуется использовать встроенный коллектор. Ниже приведена инструкция по его использованию.

   1. В главном окне приложения перейдите в раздел Мониторинг → Ресурсы и сервисы → Работа с сервисами → Активные сервисы.
   2. Нажмите кнопку Добавить и выберите Добавить сервис.
   3. В открывшемся окне выберите [OOTB] Kaspersky EDR events migration Elasticsearch и нажмите кнопку Создать службу.

      В списке служб появятся новые службы.

   4. В списке коллекторов найдите коллектор с именем [OOTB] Kaspersky EDR events migration Elasticsearch и нажмите на него.

      Откроется мастер Изменение коллектора.

   5. На вкладке Транспорт в разделе Подключение укажите следующие параметры:
      • URL – адрес сервера Elasticsearch (https://<KATA_server_ip>:8888/kata/elastic/).
      • Индекс – имя индекса в Elasticsearch, которое можно выяснить по адресу https://<KATA_server_ip>:8888/kata/elastic/_cat/indices?v&s=index:desc.
      • Запрос – запрос в Elasticsearch. Чтобы избежать проблем с производительностью KUMA и Elasticsearch, рекомендуется указывать значение size не более 10 000 (например, "query" : { "match_all" : {} }, "size" : 10000, "sort": {"_doc" : "asc"}.
      • Учетные данные Elastic –секрет, в котором хранятся учетные данные для подключения к серверу Elasticsearch. Чтобы создать новый секрет, выберите Создать и в полях Пользователь и Пароль укажите учетные данные, полученные на шаге 2.4 (Запустите образ в режиме генерации скрипта) этой инструкции.
      • Elastic fingerprint – секрет, в котором хранятся секреты типа fingerprint для подключения к серверу Elasticsearch и секреты типа certificate для использования CA сертификата. Чтобы создать новый секрет, выберите Создать и в случае Kind=certificate загрузите сертификат elastic.crt, полученный на шаге 2.4 (Запустите образ в режиме генерации скрипта) этой инструкции.

      Для импорта данных можно создавать и использовать несколько подключений. Каждое соединение соответствует одному индексу в Elasticsearch. Рекомендуется использовать не более пяти коннекторов одновременно. Если требуется импортировать более пяти индексов, дождитесь завершения текущего импорта в коллектор, замените индексы следующим набором (до пяти), обновите конфигурацию коннектора и запустите его снова.
      Поскольку индексов может быть много, рекомендуется использовать скрипт для экспорта и импорта телеметрии с использованием отдельного внешнего хранилища (при запуске скрипта укажите параметр --step third).

   6. На вкладке Парсинг событий выберите нормализатор [OOTB] Normalizer for KEDR events migration.
   7. На вкладке Маршрутизация удалите встроенное хранилище [OOTB] OSMP Storage.
   8. Нажмите на кнопку Добавить и выберите Создать в поле Назначение.
   9. Выберите вариант хранилище в поле Тип.
   10. Выберите [OOTB] OSMP Storage (Kubernetes gateway) в поле URL.

       Введите URL в следующем формате: https://api.d7fts6gikztq1geahwb7w12ha.kuma_host.smp_domain:443

       smp_domain – имя домена, которое используется в FQDN публичных служб Kaspersky EDR Expert. Значение параметра должно соответствовать требованиям назначения имен доменов до четвертого уровня.

       Имя устройства службы и доменное имя являются частью FQDN-службы. Например, если значение переменной console_host равно console, а значение переменной smp_domain равно smp.local, тогда полное имя службы, предоставляющей доступ к Консоли OSMP, принимает значение console.smp.local.

       kuma_host – имя устройства, которое используется в FQDN публичных служб Kaspersky EDR Expert. Имя устройства службы и доменное имя (значение параметра smp_domain) являются частью FQDN-службы.

       Значение по умолчанию параметра kuma_host: kuma.

       Убедитесь, что запись *.kuma_host.smp_domain существует и правильно настроена на вашем DNS-сервере.

   11. Нажмите на кнопку Сохранить.
   12. Разверните коллектор в кластере Kubernetes или вне его:
       • Для развертывания в кластере: в списке служб найдите созданный коллектор, выберите его и нажмите Развернуть.
       • Для развертывания вне кластера:
       1. На этапе проверки параметров нажмите Создать и сохранить сервис.

          Будет отображена рекомендуемая команда.

       2. Скопируйте рекомендуемую команду и нажмите Сохранить.
       3. Выполните рекомендуемую команду через sudo на сервере, на котором установлены службы KUMA, например:

          sudo /opt/kaspersky/kuma/kuma collector --core https://<FQDN сервера Ядра KUMA>:<порт, используемый Ядром KUMA для внутренних коммуникаций (по умолчанию используется порт 7210)> --id <идентификатор службы коллектора, скопированный из веб-интерфейса> --api.port <порт, используемый для связи с устанавливаемым компонентом> --install

   После создания коллектора рекомендуется убедиться в правильности его работы. С этого момента начинается передача телеметрии с параметрами, заданными в разделе Подключение коллектора. Передаваемые данные телеметрии можно проверить путем поиска по ним в созданном коллекторе.

4. Закрытие доступа к Elasticsearch

   После завершения импорта телеметрии запустите скрипт в режиме close, чтобы закрыть доступ к Elasticsearch:

   Описываемые ниже действия необходимо выполнить на сервере KATA в режиме технической поддержки (Technical Support Mode):

   1. Выполните следующую команду, чтобы перейти в директорию скрипта:

      cd /home/admin/elastic_script_dir

   2. Запустите скрипт в режиме close:

      sudo ./kata-elastic-access.sh close