Интеграция с SIEM

Kaspersky Industrial CyberSecurity for Nodes позволяет подключаться к SIEM-системам, чтобы отправлять события для их анализа и последующего реагирования на потенциальные угрозы. SIEM-система позволяет обнаруживать, анализировать и устранять угрозы безопасности раньше, чем они нанесут ущерб организации.

Интеграция с SIEM подразумевает, что приложение Kaspersky Industrial CyberSecurity for Nodes, установленное на компьютерах под управлением операционных систем Windows, входящих в IT-инфраструктуру организации, отправляет на SIEM-сервер данные о событиях безопасности и событиях Windows Event Log.

Интеграция с SIEM состоит из следующих этапов:

1. Установка компонента Интеграция с SIEM

   В параметрах инсталляционного пакета или мастере установки приложения, а также с помощью изменения состава компонентов приложения через Панель управления Windows, на этапе выбора компонентов приложения для установки выберите Полная функциональность → Endpoint Agent → Интеграция с SIEM.

2. Включение и настройка компонента Интеграция с SIEM

   Интеграция с SIEM не применяется по умолчанию. Вы можете включать и выключать интеграцию с SIEM, а также настраивать соответствующие параметры.

   Чтобы снизить риск неудачной отправки событий на SIEM-сервер, задайте параметры подключения к нескольким SIEM-серверам. Kaspersky Industrial CyberSecurity for Nodes подключается к первому серверу SIEM из списка. Если подключиться не удается, Kaspersky Industrial CyberSecurity for Nodes последовательно пытается установить соединение с другими серверами из списка. Также Kaspersky Industrial CyberSecurity for Nodes использует события системного аудита для уведомления о неудачных попытках подключения к SIEM-серверу и об ошибках отправки событий на SIEM-сервер.

   Как настроить интеграцию с SIEM в Консоли администрирования Kaspersky Security Center

   1. В дереве Консоли администрирования Kaspersky Security Center выберите папку Политики.
   2. Выберите нужную политику и откройте свойства политики двойным щелчком мыши.
   3. Выберите раздел Серверы сбора телеметрии.
   4. В блоке Интеграция с SIEM нажмите на кнопку Настройка.

      Откроется окно Интеграция с SIEM.

   5. Установите флажок Интеграция с SIEM.
   6. Настройте подключение к SIEM-серверам для отправки событий безопасности:
      1. Перейдите на вкладку Настройки отправки событий безопасности.
      2. Нажмите на кнопку Добавить.
      3. В открывшемся окне Добавление сервера введите адрес сервера SIEM (IPv4, DNS), порт и протокол подключения к серверу.
      4. Нажмите на кнопку Настройки безопасности TCP-соединения.
      5. В открывшемся окне Настройки безопасности TCP-соединения настройте параметры подключения к SIEM-серверам (см. таблицу ниже).
      6. Если требуется, в блоке Настройки отправки событий на сервер SIEM установите флажок Удалять локальные копии событий при записи на внешний syslog-сервер. Если флажок установлен, приложение удаляет локальные копии событий после того, как они были успешно опубликованы на SIEM-сервере. Рекомендуется использовать этот режим на маломощных устройствах. Если флажок снят, программа только отправляет события на SIEM-сервер. Копии журналов продолжают храниться локально. По умолчанию флажок снят.

         Приложение никогда не удаляет локальные версии журнала безопасности.

      7. В блоке Формат событий выберите формат, в который вы хотите конвертировать события программы для их отправки на SIEM-сервер. По умолчанию выбран вариант Конвертировать события в формат структурированных данных. Рекомендуется выбирать формат событий на основе конфигурации используемого SIEM-сервера.
   7. Настройте подключение к SIEM-серверам для отправки событий Windows Event Log:
      1. Перейдите на вкладку Настройки отправки событий Windows.
      2. В блоке Настройки подключения к серверам SIEM установите флажок Использовать шифрование TLS, если необходимо включить шифрование соединения между Kaspersky Industrial CyberSecurity for Nodes и серверами SIEM.
      3. Нажмите на кнопку Добавить.
      4. В открывшемся окне Сервер SIEM введите адрес сервера SIEM (IPv4, DNS), порт и протокол подключения к серверу.
      5. Нажмите на кнопку Настройки подключения к серверам SIEM.
      6. В открывшемся окне Настройки подключения к серверам SIEM настройте параметры подключения к SIEM-серверам (см. таблицу ниже).
      7. Если требуется, в блоке Настройка передачи данных настройте параметр Максимальная задержка отправки событий (сек.). По истечении указанного времени Kaspersky Industrial CyberSecurity for Nodes повторно пробует подключиться к тому же серверу или подключается к следующему в списке серверу, если их несколько. По умолчанию установлено значение 30 секунд.
   8. Закройте замок для применения политики на компьютерах.
   9. Нажмите на кнопку ОК для сохранения внесенных изменений.

   Как настроить интеграцию с SIEM в Web Console

   1. В главном окне Web Console выберите Активы (Устройства) → Политики и профили политик.
   2. Нажмите на название политики Kaspersky Industrial CyberSecurity for Nodes.

      Откроется окно свойств политики.

   3. Выберите вкладку Параметры приложения.
   4. Выберите раздел Серверы сбора телеметрии.
   5. В блоке Интеграция с SIEM нажмите на кнопку Настроить.

      Откроется окно Интеграция с SIEM.

   6. Установите флажок Включить Интеграцию с SIEM.
   7. Настройте подключение к SIEM-серверам для отправки событий безопасности:
      1. Перейдите на вкладку Настройки отправки событий безопасности.
      2. Нажмите на кнопку Добавить.
      3. В открывшемся окне Сервер SIEM введите адрес сервера SIEM (IPv4, DNS), порт и протокол подключения к серверу.
      4. В блоке Защита соединения нажмите на ссылку Настройки подключения к серверам SIEM.
      5. В открывшемся окне Настройки подключения к серверам SIEM настройте параметры подключения к SIEM-серверам (см. таблицу ниже).
      6. В разделе Формат событий выберите формат, в который вы хотите конвертировать события программы для их отправки на SIEM-сервер. По умолчанию выбран вариант Конвертировать события в формат структурированных данных. Рекомендуется выбирать формат событий на основе конфигурации используемого SIEM-сервера.
      7. Если требуется, в блоке Настройки подключения установите флажок Удалять локальные копии событий при записи на внешний syslog-сервер. Если флажок установлен, приложение удаляет локальные копии событий после того, как они были успешно опубликованы на SIEM-сервере. Рекомендуется использовать этот режим на маломощных устройствах. Если флажок снят, программа только отправляет события на SIEM-сервер. Копии журналов продолжают храниться локально. По умолчанию флажок снят.

         Приложение никогда не удаляет локальные версии журнала безопасности.

   8. Настройте подключение к SIEM-серверам для отправки событий Windows Event Log:
      1. Перейдите на вкладку Настройки отправки событий Windows.
      2. Нажмите на кнопку Добавить.
      3. В открывшемся окне Сервер SIEM введите адрес сервера SIEM (IPv4, DNS), порт и протокол подключения к серверу.
      4. В блоке Защита соединения нажмите на ссылку Настройки подключения к серверам SIEM.
      5. В открывшемся окне Настройки подключения к серверам SIEM настройте параметры подключения к SIEM-серверам (см. таблицу ниже).
      6. Если требуется, в блоке Настройки подключения настройте параметр Максимальная задержка отправки событий (сек.). По истечении указанного времени Kaspersky Industrial CyberSecurity for Nodes повторно пробует подключиться к тому же серверу или подключается к следующему в списке серверу, если их несколько. По умолчанию установлено значение 30 секунд.
   9. Нажмите на кнопку ОК для сохранения внесенных изменений.

   Как настроить интеграцию с SIEM в Консоли приложения

   1. В дереве Консоли приложения выберите раздел Телеметрия Endpoint Agent → Интеграция с SIEM.
   2. В панели результатов перейдите по ссылке Свойства.

      Откроется окно Свойства: Интеграция с SIEM.

   3. Установите флажок Интеграция с SIEM.
   4. Настройте подключение к SIEM-серверам для отправки событий безопасности:
      1. Перейдите на вкладку Настройки отправки событий безопасности.
      2. Нажмите на кнопку Добавить.
      3. В открывшемся окне Добавление сервера введите адрес сервера SIEM (IPv4, DNS), порт и протокол подключения к серверу.
      4. Нажмите на кнопку Настройки безопасности TCP-соединения.
      5. В открывшемся окне Настройки безопасности TCP-соединения настройте параметры подключения к SIEM-серверам (см. таблицу ниже).
      6. Если требуется, в блоке Настройки отправки событий на сервер SIEM установите флажок Удалять локальные копии событий при записи на внешний syslog-сервер. Если флажок установлен, приложение удаляет локальные копии событий после того, как они были успешно опубликованы на SIEM-сервере. Рекомендуется использовать этот режим на маломощных устройствах. Если флажок снят, программа только отправляет события на SIEM-сервер. Копии журналов продолжают храниться локально. По умолчанию флажок снят.

         Приложение никогда не удаляет локальные версии журнала безопасности.

   5. В блоке Формат событий выберите формат, в который вы хотите конвертировать события программы для их отправки на SIEM-сервер. По умолчанию выбран вариант Конвертировать события в формат структурированных данных. Рекомендуется выбирать формат событий на основе конфигурации используемого SIEM-сервера.
   6. Настройте подключение к SIEM-серверам для отправки событий Windows Event Log:
      1. Перейдите на вкладку Настройки отправки событий Windows.
      2. В блоке Настройки подключения к серверам SIEM установите флажок Использовать шифрование TLS, если необходимо включить шифрование соединения между Kaspersky Industrial CyberSecurity for Nodes и серверами SIEM.
      3. Нажмите на кнопку Добавить.
      4. В открывшемся окне Сервер SIEM введите адрес сервера SIEM (IPv4, DNS), порт и протокол подключения к серверу.
      5. Нажмите на кнопку Настройки подключения к серверам SIEM.
      6. В открывшемся окне Настройки подключения к серверам SIEM настройте параметры подключения к SIEM-серверам (см. таблицу ниже).

      Если требуется, в блоке Настройка передачи данных настройте параметр Максимальная задержка отправки событий (сек.). По истечении указанного времени Kaspersky Industrial CyberSecurity for Nodes повторно пробует подключиться к тому же серверу или подключается к следующему в списке серверу, если их несколько. По умолчанию установлено значение 30 секунд.

   7. Нажмите на кнопку ОК для сохранения внесенных изменений.

   Параметры подключения к SIEM-серверам

   Параметр	Описание
   Время ожидания (сек.)	Максимальное время ожидания ответа от сервера SIEM. По истечении времени ожидания Kaspersky Industrial CyberSecurity for Nodes пытается подключиться к другому серверу SIEM.
   TLS-сертификат сервера	TLS-сертификат для установки доверенного соединения с сервером SIEM. Вы можете получить TLS-сертификат с помощью интерфейса управления SIEM.
   Использовать двустороннюю аутентификацию	Двусторонняя аутентификация при создании безопасного соединения между Kaspersky Industrial CyberSecurity for Nodes и SIEM. Для использования двусторонней аутентификации вам нужно в параметрах SIEM включить функцию двусторонней аутентификации, далее получить криптоконтейнер и установить пароль для защиты криптоконтейнера. Криптоконтейнер – PFX-архив с сертификатом и закрытым ключом агента. После настройки параметров SIEM вам нужно в параметрах Kaspersky Industrial CyberSecurity for Nodes включить функцию двусторонней аутентификации с помощью флажка и загрузить защищенный паролем криптоконтейнер. Криптоконтейнер должен быть защищен паролем. Добавить криптоконтейнер с пустым паролем невозможно.