Установка сервисов KUMA вне кластера Kubernetes

Сервисы – это основные компоненты KUMA, которые помогают системе управлять событиями. Сервисы позволяют получать события из источников событий и в дальнейшем приводить их к общему виду, удобному для поиска корреляций, а также для хранения и ручного анализа.

Сервисы KUMA (коллекторы, корреляторы и хранилища) могут быть установлены полностью внутри кластера на рабочих узлах, полностью на отдельных узлах вне кластера Kubernetes или частично внутри и частично вне кластера Kubernetes.

Типы сервисов:

• Хранилища используются для хранения событий.
• Коллекторы используются для получения событий и преобразования их в формат KUMA.

  Если вы планируете использовать несколько тенантов в своей инфраструктуре, создайте отдельный коллектор для каждого тенанта.

• Корреляторы используются для анализа событий и поиска закономерностей.
• Агенты используются для получения событий на удаленных устройствах и пересылки их коллекторам KUMA.

Устанавливать сервисы KUMA можно только после развертывания Kaspersky EDR Expert. При развертывании Kaspersky EDR Expert подготавливается необходимая инфраструктура: на подготовленных устройствах создаются служебные директории, в которые добавляются файлы, необходимые для установки сервиса. Рекомендуется устанавливать сервисы в следующем порядке: хранилище, коллекторы, корреляторы и агенты.

Чтобы установить и настроить сервисы KUMA вне кластера Kubernetes:

1. В главном меню Консоли OSMP перейдите в Параметры → KUMA.
2. В разделе KUMA Консоли OSMP создайте набор ресурсов для каждого сервиса KUMA (хранилищ, коллекторов и корреляторов), который вы хотите установить на подготовленных устройствах в сетевой инфраструктуре.
3. Создайте сервисы для хранилищ, коллекторов и корреляторов.
4. Получите идентификаторы сервисов для привязки созданных наборов ресурсов и сервисов KUMA:
   1. В решении OSMP перейдите в раздел Ресурсы → Активные сервисы.
   2. Выберите требуемый сервис KUMA и нажмите на кнопку Копировать идентификатор.
5. На подготовленных устройствах в сетевой инфраструктуре выполните соответствующие команды для установки сервисов KUMA. Используйте идентификаторы сервисов, которые были получены ранее:
   • Команда установки хранилища:

     sudo /opt/kaspersky/kuma/kuma storage --core https://<FQDN>:7210 --pair.fingerprint <fingerprint ID of the KUMA Core CA certificate> --id <service ID> --install

   • Команда установки коллектора:

     sudo /opt/kaspersky/kuma/kuma collector --core https://<FQDN>:7210 --pair.fingerprint <fingerprint ID of the KUMA Core CA certificate> --id <service ID> --api.port <API port>

   • Команда установки коррелятора:

     sudo /opt/kaspersky/kuma/kuma correlator --core https://<FQDN>:7210 --pair.fingerprint <fingerprint ID of the KUMA Core CA certificate> --id <service ID> --api.port <API port> --install

     где:

     • <FQDN> – полное доменное имя сервера Ядра KUMA.
     • <fingerprint ID of the KUMA Core CA certificate> – идентификатор отпечатка CA-сертификата, используемый для проверки подлинности при подключении сервиса.

       Аргумент --pair.fingerprint является необязательным. При создании сервиса OSMP автоматически добавляет этот параметр в команду установщика и указывает идентификатор отпечатка.

       Вы можете установить сервис без указания параметра --pair.fingerprint. В этом случае OSMP использует значение insecure по умолчанию, которое пропускает проверку сертификата центра сертификации (CA) Ядра KUMA при установлении подключения. Если значение insecure, отпечаток не нужно обновлять после перевыпуска сертификата центром сертификации (CA).

       Чтобы убедиться, что сертификат центра сертификации (CA) Ядра KUMA прошел проверку, рекомендуется сохранить параметр --pair.fingerprint с идентификатором отпечатка при установке сервиса. При перевыпуске CA-сертификата необходимо скопировать новый отпечаток сертификата в веб-интерфейсе и перезапустить сервис с обновленным значением параметра.

     • <service ID> – это идентификатор сервиса KUMA, скопированный из веб-интерфейса.
     • <API port> – это порт, используемый для связи с установленным компонентом.

   По умолчанию полное доменное имя Ядра KUMA – <kuma_host>.<smp_domain>.

   Порт, который используется для подключения к Ядру KUMA, невозможно изменить. По умолчанию номер порта – 7210.

   Откройте порты, соответствующие установленному коллектору и коррелятору на сервере (TCP 7221 и другие порты, используемые для установки сервисов в качестве значения параметра --api.port <port>).

6. Во время установки сервисов KUMA прочтите Лицензионное соглашение KUMA. Текст отображается в окне командной строки. Нажмите пробел, чтобы просмотреть следующий фрагмент текста. При отображении запроса введите следующие значения:
   • Введите y, если вы понимаете и принимаете условия Лицензионного соглашения.
   • Введите n, если вы не принимаете условия Лицензионного соглашения. Чтобы использовать сервисы KUMA, вам нужно принять условия Лицензионного соглашения.

   Вы можете прочитать Лицензионное соглашение KUMA после установки сервисов KUMA одним из следующих способов:

   • На устройствах, входящих в группу kuma_utils в файле инвентаря KUMA, откройте файл LICENSE, расположенный в директории /opt/kaspersky/kuma/utils.
   • На устройствах, входящих в другие группы (kuma_storage, kuma_collector или kuma_correlator) в файле инвентаря KUMA, откройте файл LICENSE, расположенный в директории /opt/kaspersky/kuma.
   • Выполните следующую команду:

     /opt/kaspersky/kuma/kuma license --show

   После того как вы примете Лицензионное соглашение, сервисы KUMA будут установлены на подготовленных машинах в сетевой инфраструктуре.

7. При необходимости убедитесь, что коллектор и коррелятор готовы к получению событий.
8. При необходимости установите агенты в сетевую инфраструктуру KUMA.

   Файлы, необходимые для установки агента, находятся в директории /opt/kaspersky/kuma/utils.

Необходимые для работы Kaspersky EDR Expert сервисы KUMA установлены.