Интеграция с Kaspersky Unified Monitoring and Analysis Platform

Kaspersky Industrial CyberSecurity for Linux Nodes поддерживает работу с решением Kaspersky Unified Monitoring and Analysis Platform. Kaspersky Unified Monitoring and Analysis Platform (KUMA) – решение класса SIEM для управления информацией о безопасности и событиями безопасности в ИТ-инфраструктуре организации. KUMA позволяет обнаруживать, анализировать и устранять угрозы безопасности раньше, чем они нанесут ущерб организации.

Подробнее о решении см. в справке Kaspersky Unified Monitoring and Analysis Platform.

Приложение Kaspersky Industrial CyberSecurity for Linux Nodes устанавливается на отдельных компьютерах, входящих в IT-инфраструктуру организации, и осуществляет постоянное наблюдение за процессами, открытыми сетевыми соединениями и изменяемыми файлами. Данные о событиях на компьютере (телеметрия) отправляются на сервер Kaspersky Unified Monitoring and Analysis Platform.

Kaspersky Industrial CyberSecurity for Linux Nodes отправляет на KUMA-сервер события приложения в формате JSON Lines и поддерживает следующие протоколы отправки событий:

• TCP;
• UDP.

Перед началом настройки интеграции с Kaspersky Unified Monitoring and Analysis Platform

• Разрешите подключение через порты 443 и 1443 либо через порты, настроенные на стороне коллектора KUMA.
• Добавьте в приложение отдельный лицензионный ключ KUMA (KICS KUMA Integration Agent).

Основные этапы настройки

1. Настройте запись событий в журнал операционной системы

   Включите запись событий Kaspersky Industrial CyberSecurity for Linux Nodes в журнал операционной системы (syslog). Данные о событиях, которые записываются в журнал операционной системы, будут отправлены на сервер Kaspersky Unified Monitoring and Analysis Platform для дальнейшего анализа и корреляции.

2. Получите сертификаты KUMA

   Во время интеграции с Kaspersky Unified Monitoring and Analysis Platform устройства с Kaspersky Industrial CyberSecurity for Linux Nodes устанавливают защищенные соединения с сервером KUMA. Для обеспечения безопасности соединения используются сертификат сервера и сертификат клиента.

   

   Этот сертификат используется для дополнительной защиты подключения с помощью двусторонней аутентификации (проверки устройств с Kaspersky Industrial CyberSecurity for Linux Nodes сервером KUMA). Один и тот же сертификат клиента может использоваться несколькими устройствами. По умолчанию сервер KUMA не выполняет проверку сертификатов клиентов, но двусторонняя аутентификация может быть включена на стороне Kaspersky Unified Monitoring and Analysis Platform. В этом случае вам нужно включить двустороннюю аутентификацию в параметрах интеграции с Kaspersky Unified Monitoring and Analysis Platform и добавить сертификат клиента (криптоконтейнер с сертификатом и закрытым ключом).

   

   Соединение шифруется с помощью TLS-сертификата сервера. Вы можете повысить уровень безопасности соединения, включив проверку сертификата сервера на стороне Kaspersky Industrial CyberSecurity for Linux Nodes. Для этого вам нужно добавить сертификат сервера перед включением интеграции.

   Сертификаты для защиты соединения с сервером KUMA предоставляет администратор Kaspersky Unified Monitoring and Analysis Platform.

3. Настройте параметры интеграции с Kaspersky Unified Monitoring and Analysis Platform

   По умолчанию интеграция с KUMA выключена. Вы можете включать и выключать интеграцию с KUMA, а также настраивать соответствующие параметры.

   Чтобы снизить риск неудачной отправки событий на KUMA-сервер, задайте параметры подключения к нескольким KUMA-серверам. Kaspersky Industrial CyberSecurity for Linux Nodes подключается к первому серверу KUMA из списка. Если подключиться не удается, Kaspersky Industrial CyberSecurity for Linux Nodes последовательно пытается установить соединение с другими серверами из списка. Также Kaspersky Industrial CyberSecurity for Linux Nodes использует события системного аудита для уведомления о неудачных попытках подключения к KUMA-серверу и об ошибках отправки событий на KUMA-сервер.