Как настроить интеграцию с KUMA

Перед началом настройки интеграции с Kaspersky Unified Monitoring and Analysis Platform:

• Разрешите подключение через порты 443 и 1443 либо через порты, настроенные на стороне коллектора KUMA.
• Добавьте в приложение лицензионный ключ KUMA, если вы приобрели отдельную лицензию на использование этой функциональности.

  При использовании приложения Kaspersky Endpoint Security по лицензии, которая включает в себя функциональность Kaspersky Unified Monitoring and Analysis Platform, действие не требуется.

  Если приложение используется в режиме Легкого агента, лицензионный ключ KUMA добавляется на SVM.

Основные этапы настройки

1. В платформе KUMA настройте коллектор и нормализатор.

   Если вы хотите использовать сертификат клиента, при настройке коллектора на вкладке Транспорт выберите тип коннектора tcp. Далее на вкладке Дополнительные параметры в раскрывающемся списке Режим TLS выберите Нестандартный PFX с аутентфикацией клиента.

2. Скопируйте адрес коллектора для подключения

   В разделе Ресурсы → Активные сервисы в таблице с сервисами скопируйте и сохраните любым удобным способом значения из столбцов Полное доменное имя / IP-адрес и Порт.

   Если для подключения используется TLS, указывайте только полное доменное имя (FQDN). Значение параметра чувствительно к регистру.

3. Получите и обработайте сертификаты, выданные сервером KUMA

   Использование сертификатов для обеспечения безопасности соединения не поддерживается, если подключение к серверу KUMA выполняется по протоколу UDP.

   Для подключения к серверу KUMA используется прокси-сервер, если использование прокси-сервера настроено в общих параметрах приложения Kaspersky Endpoint Security.

   Получите Сертификат сервера (CA-сертификат Microservice) см. Скачивание СА-сертификатов. Для обработки сертификата преобразуйте его в формат DER или PEM, выполнив действия, описанные в статье Преобразование сертификата из формата PFX в формат PEM.

   

   Соединение шифруется с помощью TLS-сертификата сервера. Вы можете повысить уровень безопасности соединения, включив проверку сертификата сервера на стороне Kaspersky Endpoint Security. Для этого вам нужно добавить сертификат сервера перед включением интеграции.

   Для дополнительной защиты вы также можете использовать Сертификат клиента, получаемый при настройке коллектора, см. шаг 1.

   

   Этот сертификат используется для дополнительной защиты подключения с помощью двусторонней аутентификации (проверки устройств с Kaspersky Endpoint Security сервером KUMA). Один и тот же сертификат клиента может использоваться несколькими устройствами. По умолчанию сервер KUMA не выполняет проверку сертификатов клиентов, но двусторонняя аутентификация может быть включена на стороне Kaspersky Unified Monitoring and Analysis Platform. В этом случае вам нужно включить двустороннюю аутентификацию в параметрах интеграции с Kaspersky Unified Monitoring and Analysis Platform и добавить сертификат клиента (криптоконтейнер с сертификатом и закрытым ключом).

4. Настройте параметры интеграции с Kaspersky Unified Monitoring and Analysis Platform

   Как настроить интеграцию с KUMA в Web Console

   1. В главном окне Web Console выберите Управление активами → Политики.
   2. Нажмите на название политики Kaspersky Endpoint Security.

      Откроется окно свойств политики.

   3. Выберите вкладку Параметры приложения.
   4. Перейдите в раздел Встроенные агенты → Интеграция с KUMA.
   5. Включите переключатель Интеграция с KUMA ВКЛЮЧЕНА.
   6. Добавьте серверы KUMA:
      1. Нажмите на кнопку Добавить.

         Откроется форма добавления серверов KUMA.

      2. Выберите протокол для подключения к серверу KUMA: HTTP/HTTPS, TCP, UDP.

         Протокол для подключения к коллектору в Kaspersky Endpoint Security должен соответствовать типу коннектора в KUMA: http, tcp или udp.

         Если вы выбрали протокол HTTP/HTTPS, то по умолчанию приложение использует HTTPS-протокол для подключения к серверам KUMA. Для использования HTTP-протокола вам нужно вручную указать протокол в адресе сервера (например, http://server.com).

      3. Введите адрес сервера (IPv4, IPv6), а также порт подключения к серверу (по умолчанию 443).

         Вы можете посмотреть адрес сервера в свойствах коннектора в консоли KUMA. Подробнее о коннекторах KUMA см. в справке Kaspersky Unified Monitoring and Analysis Platform.

      4. Нажмите на кнопку OK.

      Kaspersky Endpoint Security подключается к первому серверу KUMA из списка. Если подключение не удается, Kaspersky Endpoint Security подключается ко второму серверу KUMA и так далее по списку.

   7. Если требуется, в блоке Настройки подключения к серверам настройте параметр Максимальная задержка отправки событий (сек.). По истечении указанного времени Kaspersky Endpoint Security повторно пробует подключиться к тому же коллектору или подключается к следующему в списке коллектору, если их несколько. По умолчанию установлено значение 30 секунд.
   8. Сохраните внесенные изменения.

   Как настроить интеграцию с KUMA в командной строке

   1. Для добавления сервера KUMA выполните команду:

      kesl-control --set-settings 33 Servers.item_001.ServerAddress=<kuma server address> Servers.item_001.Port=<kuma server port> Servers.item_001.ServerProtocol=<tcp|HTTPWithCompression|udp>

   2. Для добавления сертификата сервера KUMA выполните команду:

      kesl-control [-M] --add-kuma-server-certificate <path to the file>

   3. Для настройки параметров интеграции выполните команду:

      kesl-control --set-settings 33 [<setting name>=<setting value>]

      Параметры и их возможные значения приведены в таблице ниже.

   4. Для добавления сертификата клиента для подключения к серверу реагирования выполните команду:

      kesl-control [-M] --add-kuma-client-certificate <path to the file>

   5. Для включения интеграции с EDR (KATA) выполните команду:

      kesl-control --start-task 33

      Параметры задачи Интеграция с Kaspersky Unified Monitoring and Analysis Platform

      Параметр	Описание	Значение
      UseTls	Включение и выключение проверки сертификата сервера для дополнительной защиты подключения к серверу KUMA.	Yes – использовать сертификат для дополнительной защиты подключения к серверу KUMA. No (значение по умолчанию) – не использовать сертификат для защиты подключения к серверу KUMA.
      UseClientCertificate	Включение и выключение двусторонней аутентификации для дополнительной защиты подключения к серверу KUMA. Если проверка сертификата клиента включена на стороне сервера KUMA, вам нужно включить использование сертификата клиента и добавить сертификат клиента перед запуском задачи Интеграция с Kaspersky Unified Monitoring and Analysis Platform.	Yes – использовать двустороннюю аутентификацию для дополнительной защиты подключения к серверу KUMA. No (значение по умолчанию) – не использовать двустороннюю аутентификацию.
      ConnectionTimeout	Максимальное время ожидания соединения с сервером KUMA в секундах.	Значение по умолчанию: 5.
      Секция [Servers.item_#] содержит параметры сервера KUMA.
      ServerAddress	Адрес сервера KUMA. Вы можете указать IP-адрес (IPv4 или IPv6) или полное доменное имя (FQDN) сервера. Если вы установили значение параметра UseTls=Yes, требуется указать полное доменное имя (FQDN) сервера из сертификата, полученного при приобретении лицензии на использование KUMA.	Значение по умолчанию: 127.0.0.1.
      ServerPort	Порт для подключения к серверу KUMA.	Значение по умолчанию: 443.
      ServerProtocol	Протокол для подключения к серверу KUMA.	tcp (значение по умолчанию) – использовать для подключения к серверу KUMA протокол TCP. HTTPWithCompression – использовать для подключения к серверу KUMA протокол HTTP c возможностью сжатия событий при их передаче. udp – использовать для подключения к серверу KUMA протокол UDP. При выборе протокола UDP использование сертификатов для обеспечения безопасности соединения не поддерживается (значения параметров UseTls, UseClientCertificate и ConnectionTimeout не учитываются), а также отсутствуют события о соединении с сервером KUMA.
      Секция [KumaTransferSettings] содержит параметры передачи событий на сервер KUMA.
      EventTransferTimeMax	Максимальная задержка отправки событий на сервер KUMA в секундах.	Значение по умолчанию: 30.

5. Убедитесь, что подключение к Kaspersky Unified Monitoring and Analysis Platform выполнено успешно

   Проверьте статус работы KUMA удобным для вас способом.