Отправка событий Kaspersky Industrial CyberSecurity for Networks в SIEM-системы

Развернуть все | Свернуть все

В Kaspersky Industrial CyberSecurity for Networks вы можете использовать коннектор для отправки данных на сервер SIEM-системы. После добавления коннектора вам нужно настроить передачу событий через этот коннектор.

Содержание и порядок отображения сведений о событиях, передаваемых в SIEM-систему, могут отличаться от отображаемых данных в разделе События веб-интерфейса Сервера Kaspersky Industrial CyberSecurity for Networks.

• Проверка передачи событий на примере системы HP ArcSight
  1. Убедитесь, что настроен канал приема сообщений от Kaspersky Industrial CyberSecurity for Networks штатными средствами системы HP ArcSight.
  2. Откройте браузер и перейдите по адресу вашей системы HP ArcSight.
  3. Войдите под своей учетной записью и перейдите к разделу Analyze → Live Event Viewer (см. рис. ниже).

     

     Открытие раздела Live Event Viewer в системе HP ArcSight

  4. Нажмите на кнопку Start (см. рис. ниже).

     

     Запуск Live Event Viewer в системе HP ArcSight

  5. Откройте интерфейс командной строки и введите команду, чтобы соединиться с сервером по протоколу Telnet:

     telnet <адрес сервера ArcSight> <порт>

  6. Отправьте тестовое сообщение в формате CEF:

     CEF:0|KasperskyLab|TMS|1.0|KLAUD_EV_TESTEVENT|Critical Test event|1|src=10.0.0.1 dst=10.0.0.2 code=1234

  Если есть соединение с системой HP ArcSight, в разделе Live Event Viewer появится событие, содержимое которого совпадает с отправленным сообщением (см. рис. ниже).

  

  Проверка результатов работы

• Формат сообщений, посылаемых в SIEM-систему

  Программа передает данные в SIEM-систему в формате CEF 20. При передаче данных используется внутренняя структура EventMessage.

  Получаемые сообщения не преобразуются в формат протокола системного журнала.

  Формат структуры EventMessage

  В таблице ниже данные представлены в следующих графах:

  • EventMessage — имя поля в сообщении.
  • Event — соответствующее поле события в Kaspersky Industrial CyberSecurity for Networks или конкретное значение.
  • Описание — описание поля.

    EventMessage	Event	Описание
    dateTime	Начало	Дата и время (с точностью до миллисекунды) перехвата сетевого пакета, который привел к возникновению события.
    hostname	Адрес Сервера Kaspersky Industrial CyberSecurity for Networks	Адрес Сервера Kaspersky Industrial CyberSecurity for Networks.
    cefVersion	0	Номер версии CEF.
    deviceVendor	Kaspersky Lab	Производитель.
    deviceProduct	Kaspersky Industrial CyberSecurity for Networks	Название продукта.
    deviceVersion	Пример: 3.0.0.472.	Версия Kaspersky Industrial CyberSecurity for Networks.
    signatureId	Тип события	Идентификатор типа события.
    name	Заголовок	Описание события.
    severity	Уровень важности события: 10 – Критические; 5 – Важные; 0 – Информационные.	Уровень важности события. Значения от 0 до 10, где 10 – наиболее важное событие.
    extension	Указано в таблице Extension Fields	Определяется отдельно для каждого типа сообщения.

  Дата и время отправляются в формате: ГГГГ-ММ-ДДTчч:мм:сс.мсZ. Пример: 2021-04-01T22:14:15.030Z — время события, которое возникло 01 апреля 2021 года в 22 часа, 14 минут, 15 секунд, 030 миллисекунд.

  Содержимое Extension Fields

  В таблице ниже данные представлены в следующих графах:

  • Extension — имя поля в сообщении.
  • Связанные события — события, в которых отправляется конкретное поле.
  • Описание — описание поля.

    Extension	Связанные события	Описание
    cnt	Общие поля событий	Счетчик количества повторов после регистрации события.
    dmac	Общие поля событий	MAC-адрес получателя.
    dpt	Общие поля событий	Порт получателя.
    dst	Общие поля событий	IP-адрес получателя.
    end	Общие поля событий	Время завершения события.
    smac	Общие поля событий	MAC-адрес отправителя.
    spt	Общие поля событий	Порт отправителя.
    src	Общие поля событий	IP-адрес отправителя.
    start	Общие поля событий	Время регистрации события.
    technology	Общие поля событий	Технология, которая использовалась для регистрации события.
    triggeredRule	Общие поля событий	Сработавшее правило.
    protocol	Общие поля событий	Протокол.
    vlanId	Общие поля событий	VLAN ID.
    monitoringPoint	Общие поля событий	Точка мониторинга, трафик с которой вызвал регистрацию события.
    sourceIndustrialAddress	Общие поля событий	Адрес прикладного уровня для отправителя.
    destinationIndustrialAddress	Общие поля событий	Адрес прикладного уровня для получателя.
    eventIdentifier	Общие поля событий	Идентификатор события.
    noTrafficDuration	Отсутствует трафик на точке мониторинга	Длительность отсутствия трафика.
    tagId	Неверный тип тега	ID тега.
    expectedTagType	Неверный тип тега	Ожидаемый тип данных тега.
    actualTagType	Неверный тип тега	Фактический тип данных тега.
    ruleName	Нарушение правила контроля процесса Сработало правило обнаружения вторжений из системного набора правил	Имя правила.
    tags	Нарушение правила контроля процесса	Теги.
    msg	Сработало правило обнаружения вторжений из системного набора правил	Сообщение.
    substitutedIpAddress	Обнаружены признаки ARP‑подмены в ARP‑ответах Обнаружены признаки ARP‑подмены в ARP‑запросах	IP-адрес отправителя сетевых пакетов.
    targetIpAddress	Обнаружены признаки ARP‑подмены в ARP‑ответах Обнаружены признаки ARP‑подмены в ARP‑запросах	IP-адрес получателя сетевых пакетов.
    attackStartTimestamp	Обнаружены признаки ARP‑подмены в ARP‑ответах Обнаружены признаки ARP‑подмены в ARP‑запросах	Время начала действий, имеющих признаки атаки.
    ownerMac	Обнаружен конфликт IP-адреса Обнаружен новый IP-адрес Обнаружено новое устройство Получена новая информация Обнаружен трафик с MAC-адреса Добавлен MAC-адрес к устройству Добавлен IP-адрес к устройству	MAC-адрес владельца.
    ownerIp	Обнаружено новое устройство Добавлен MAC-адрес к устройству Добавлен IP-адрес к устройству Обнаружен конфликт IP-адреса Обнаружен новый MAC-адрес	IP-адрес владельца.
    challengerMac	Обнаружен конфликт IP-адреса	MAC-адрес претендента.
    newIpAddress	Обнаружен новый IP-адрес	Новый IP-адрес.
    newMacAddress	Обнаружен новый MAC-адрес	Новый MAC-адрес.
    oldIpAddress	Обнаружен новый IP-адрес	Старый IP-адрес.
    assetName	Обнаружено новое устройство	Имя устройства.

  Параметры устройств

  В таблице ниже представлены данные о параметрах устройств.

  Если для обнаруженного взаимодействия определены одно или два устройства, Kaspersky Industrial CyberSecurity for Networks дополнительно отправляет в SIEM-систему известную информацию об одном или двух устройствах.

  Если для обнаруженного взаимодействия определены несколько устройств, сообщение дублируется с другой адресной информацией и другими параметрами устройств (если устройства различны).

  Extension	Параметр устройства
  srcAssetName	Имя устройства-отправителя.
  srcVendor	Производитель устройства-отправителя.
  srcOS	Операционная система устройства-отправителя.
  srcNetworkName	Сетевое имя устройства-отправителя.
  srcModel	Модель устройства-отправителя.
  dstAssetName	Имя устройства-получателя.
  dstVendor	Производитель устройства-получателя.
  dstOS	Операционная система устройства-получателя.
  dstNetworkName	Сетевое имя устройства-получателя.
  dstModel	Модель устройства-получателя.