Отправка событий из коллектора OSMP в коллектор внешней SIEM-системы

Для настройки отправки событий в коллектор внешней SIEM-системы должны быть выполнены следующие условия:

1. Выполнен вход в Консоль OSMP под учетной записью пользователя с правами Главного администратора.
2. В OSMP установлен коллектор [OOTB] Kaspersky EDR в кластере Kubernetes.
3. В KUMA установлен коллектор со следующими компонентами:
   • Коннектор с типом tcp с включенным режимом TLS и разделителем \n.
   • Нормализатор с типом json без сопоставления и с включенным сырым событием.
   • Точка назначения с типом storage.
4. Доступен Unix-терминал с установленными утилитами curl и openssl.

Настройка отправки событий из коллектора OSMP в коллектор внешней SIEM-системы состоит из следующих этапов:

1. Получение сертификата и ключа для отправки событий в коллектор [OOTB] Kaspersky EDR
   1. В главном окне приложения перейдите в раздел Параметры → Тенанты.
   2. Нажмите на Тенант Root и перейдите в подраздел Параметры → Сертификаты.
   3. Установите флажок рядом с TLS-сертификатом и нажмите на кнопку Экспортировать.
   4. В открывшемся окне укажите пароль и нажмите на кнопку Экспортировать.

      Сертификат в формате PFX будет скачан в директорию загрузок по умолчанию.

   5. Распакуйте скачанный сертификат для получения сертификата cert.pem и ключа key.pem, выполнив следующие команды:

      openssl pkcs12 -in certificate.pfx -clcerts -nokeys -out cert.pem && \

      openssl pkcs12 -in certificate.pfx -nocerts -nodes -out key.pem

      Нужно дважды ввести пароль, указанный при экспорте сертификата PFX.

   Получены сертификат cert.pem и ключ key.pem для отправки событий в коллектор.

2. Создание и настройка точки назначения TCP для отправки событий во внешнюю SIEM-систему
   1. В главном окне приложения перейдите в раздел Мониторинг → Ресурсы и сервисы → Активные сервисы.
   2. Выберите коллектор [OOTB] Kaspersky EDR.
   3. В открывшемся окне редактирования коллектора перейдите на вкладку Маршрутизация и нажмите на кнопку Добавить.
   4. Создайте точку назначения, выполнив следующие действия:
      1. На вкладке Основные параметры в раскрывающемся списке Тип выберите tcp.
      2. В поле URL укажите URL, с которым необходимо установить связь. Пример: <имя_хоста_коллектора_KUMA>:<порт_коллектора_KUMA>.
      3. Перейдите на вкладку Дополнительные параметры.
      4. В раскрывающемся списке Режим TLS выберите Включено.
      5. В раскрывающемся списке Разделитель выберите \n.
      6. Нажмите на кнопку Сохранить.
   5. Перейдите на вкладку Проверка параметров и нажмите на кнопку Сохранить и перезапустить сервисы.
   6. Закройте окно редактирования коллектора.

   Настроена точка назначения TCP с режимом TLS для отправки событий во внешнюю SIEM-систему.

3. Получение Connector gateway URL коллектора [OOTB] Kaspersky EDR
   1. В разделе Мониторинг → Ресурсы и сервисы → Активные сервисы нажмите правой кнопкой мыши на коллектор [OOTB] Kaspersky EDR и в контекстном меню выберите Развернуть.
   2. В открывшемся окне скопируйте значения параметра Connector gateway URL.
4. Отправка тестового события в коллектор [OOTB] Kaspersky EDR
   1. Выполните в терминале следующую команду:

      curl -w "%{http_code}\n" -X POST \

      --cert cert.pem \

      --key key.pem \

      -H "Content-Type: application/json" \

      --data-binary $'{"Product":"EDR","HostOsFamily":"Test_send_to_external_SIEM_collector"}\n' \

      https://<Connector gateway URL> -k

   2. Вместо <Connector gateway URL> укажите значение параметра Connector gateway URL, скопированное ранее.

      Пример

      curl -w "%{http_code}\n" -X POST \

      --cert cert.pem \

      --key key.pem \

      -H "Content-Type: application/json" \

      --data-binary $'{"Product":"EDR","HostOsFamily":"Test_send_to_external_SIEM_collector"}\n' \

      https://example.connector-gateway-url.ru:443 -k

   В терминале отображается код ответа 200. Событие отправлено в коллектор внешней SIEM-системы.

5. Проверка поступления события во внешнюю SIEM-систему
   1. Войдите в веб-интерфейс KUMA под учетной записью пользователя с правами Главного администратора.
   2. Перейдите в раздел События.
   3. Найдите событие со значением Test_send_to_external_SIEM_collector в поле KL_HostOsFamily.

      Пример содержимого поля Raw

      {

      "ID":"fca85cda-f760-48a8-8060-382bbaf7af14",

      "Timestamp":1776534533425,

      "TenantID":"d22648f7-bd98-4f55-a7ca-90b51f4d3fae",

      "ServiceID":"efd93e7c-1f8c-4035-bc76-a6efdd72197f",

      "ServiceName":"[OOTB] Kaspersky EDR",

      "Priority":0,

      "SpaceID":"",

      "DeviceTimeZone":"+03:00",

      "EndTime":1776534533425,

      "DeviceReceiptTime":1776534533425,

      "Type":1,

      "Extra":{

      "Product":"EDR"

      },

      "S":{

      "KL_HostOsFamily":"Test_send_to_external_SIEM_collector",

      "KL_Product":"EDR"

   Событие поступило в коллектор внешней SIEM-системы.