Установка сервисов KUMA внутри кластера Kubernetes

Службы – это основные компоненты SIEM-системы KUMA, которые помогают системе управлять событиями. Сервисы позволяют получать события из источников событий и в дальнейшем приводить их к общему виду, удобному для поиска корреляций, а также для хранения и ручного анализа.

Типы сервисов:

• Хранилища используются для хранения событий.
• Коллекторы используются для получения событий и преобразования их в формат KUMA.

  Если вы планируете использовать несколько тенантов в своей инфраструктуре, создайте отдельный коллектор для каждого тенанта.

• Корреляторы используются для анализа событий и поиска закономерностей.
• Агенты используются для получения событий на удаленных устройствах и пересылки их коллекторам KUMA.

Устанавливать сервисы KUMA можно только после развертывания Kaspersky EDR Expert. При развертывании Kaspersky EDR Expert подготавливается необходимая инфраструктура: на подготовленных устройствах создаются служебные директории, в которые добавляются файлы, необходимые для установки сервиса. Рекомендуется устанавливать сервисы в следующем порядке: хранилище, коллекторы, корреляторы и агенты.

Ограничения

При установке сервисов KUMA внутри кластера Kubernetes, учитывайте следующие ограничения:

• При установке можно развернуть только один экземпляр Ядра KUMA.
• Пассивные коллекторы могут быть развернуты, только если используются коннекторы HTTP или TCP с включенным TLS.
• Для пассивных коннекторов HTTP и TCP настроенные адрес сервера и порт автоматически заменяются на 0.0.0.0:7310.
• Если трафик должен быть направлен в разные группы узлов хранилища, вам нужно развернуть отдельные сервисы eventRouter и направить трафик через них.
• При изменении параметров коллектора, развернутого внутри кластера Kubernetes, KUMA не проверяет измененные параметры. Из-за неправильной настройки коллектор может не получать события.
• В одном кластере Kubernetes невозможно развернуть несколько сервисов хранения, созданных на основе одного и того же ресурса хранения, используя одно и то же значение FQDN узла хранилища.

Чтобы установить и настроить сервисы KUMA внутри кластера Kubernetes:

1. Убедитесь, что устройство администратора и целевые устройства для Kaspersky EDR Expert подготовлены в соответствии с выбранной схемой развертывания, выполнив одну из следующих инструкций:
   • Развертывание на нескольких узлах: подготовка устройства администратора и целевых устройств
   • Развертывание на одном узле: подготовка устройства администратора и целевых устройств
2. В Консоли OSMP создайте набор ресурсов для каждого сервиса KUMA (хранилища, коллекторы и корреляторы).
3. Создайте сервисы для хранилищ, коллекторов и корреляторов.
4. Разверните каждую службу в кластере Kubernetes.
   1. В главном окне приложения перейдите в раздел Мониторинг → Ресурсы и службы → Активные службы.
   2. Выберите службы, которую вы хотите развернуть, и нажмите на кнопку Развернуть.
   3. В окне Добавить службу в Kubernetes заполните следующие поля:
      • FQDN узла хранилища: укажите имя узла кластера хранилища, определенного в ресурсе хранилища. Этот параметр доступен только для службы хранилища и не может быть изменен после развертывания службы.
      • Класс хранения: выберите подсистему хранения, используемую для хранения статуса службы. Значение этого параметра невозможно изменить после развертывания. Доступные значения:
        • longhorn – этот класс хранилищ обеспечивает сетевое хранилище с поддержкой репликации. По умолчанию статус службы реплицируется на трех сетевых дисках. Этот класс хранилища рекомендуется для коллекторов, коррелятора, метрик и служб Ядра, поскольку он позволяет Kubernetes перенести под службы на другой рабочий узел в случае сбоя текущего узла. Его также можно использовать для обеспечения отказоустойчивости службы хранилища, развернутого как единый экземпляр.
        • local-path – этот класс хранилища использует локальные дисковые массивы рабочих узлов Kubernetes, монтированных в директории /opt/lvp/hot, и обеспечивает максимальную производительность. Этот класс хранилища рекомендуется использовать для службы хранилища, поскольку хранилище поддерживает собственную кластеризацию и не использует механизмы Kubernetes для обеспечения отказоустойчивости. Его также можно использовать для служб коллектора, использующих коннекторы HTTP или TCP, и для служб eventRouter, развернутых на нескольких экземплярах, созданных из одного ресурса KUMA. При развертывании на одном узле рекомендуется использовать local-path для всех типов служб KUMA.
      • Класс холодного хранения: выберите подсистему хранилища, используемую для длительного хранения данных. Этот параметр доступен только для служб хранилища и не может быть изменен после развертывания. Класс хранилища local-path-cold похож на local-path, но предназначен для длительного хранения на более медленных дисковых массивах, монтированных в директории /opt/lvp/cold.
      • Минимальное количество CPU: укажите количество ядер процессора (потоков), зарезервированных для службы. Допускается указать целое положительное число. По умолчанию указано значение 0.
      • Максимальное количество CPU: укажите максимальное количество ядер процессора (потоков), доступных для службы. Значение должно быть положительным целым числом и не может быть меньше значения в поле Минимальное количество CPU. По умолчанию указано значение 0.
      • Минимальный объем ОЗУ: укажите объем оперативной памяти в ГБ, зарезервированной для службы. Допускается указать целое положительное число. По умолчанию указано значение 0.
      • Максимальный объем ОЗУ: укажите максимальный объем оперативной памяти в ГБ, доступный для службы. Значение должно быть положительным целым числом и не может быть меньше значения в поле Минимальный объем ОЗУ. По умолчанию указано значение 0.
      • Дисковое пространство, ГБ: укажите объем дискового пространства в ГБ, выделенного для службы. Этот параметр доступен только при использовании класса хранилища longhorn.
      • Дисковое пространство холодного хранилища, ГБ: укажите объем дискового пространства в ГБ, выделенного для длительного хранения данных. Этот параметр доступен только для службы хранилища, использующих класс хранилища longhorn.
   4. Нажмите на кнопку Создать службу.
5. При необходимости убедитесь, что коллектор и коррелятор готовы к получению событий.
6. При необходимости установите агенты в сетевую инфраструктуру KUMA.

   Файлы, необходимые для установки агента, находятся в директории /opt/kaspersky/kuma/utils.

Необходимые для работы Kaspersky EDR Expert сервисы KUMA установлены внутри кластера Kubernetes.