Интеграция с SIEM

Kaspersky Industrial CyberSecurity for Nodes позволяет подключаться к SIEM-системам, чтобы отправлять события для их анализа и последующего реагирования на потенциальные угрозы. SIEM-система позволяет обнаруживать, анализировать и устранять угрозы безопасности раньше, чем они нанесут ущерб организации.

Интеграция с SIEM подразумевает, что приложение Kaspersky Industrial CyberSecurity for Nodes, установленное на защищаемых устройствах под управлением операционных систем Windows, может отправлять на SIEM-сервер следующие события Kaspersky Industrial CyberSecurity for Nodes:

• События безопасности. Поддерживается конвертация событий в форматы JSON Lines и Syslog (RFC 5424). Вы можете выбрать события, которые приложение будет отправлять на SIEM-сервер.
• События Журнала событий Windows (Windows Event Log). Приложение конвертирует события Windows Event Log в формат JSON Lines. При необходимости вы можете исключить события из отправляемой телеметрии c помощью правил фильтрации.

  Kaspersky Industrial CyberSecurity for Nodes, установленное на защищаемых устройствах под управлением Windows XP, не поддерживает отправку событий Windows Event Log.

Kaspersky Industrial CyberSecurity for Nodes поддерживает следующие протоколы для отправки событий на SIEM-серверы:

• TCP;
• UDP;
• HTTP/HTTPS (только для отправки событий Windows Event Log).

Интеграция с SIEM состоит из следующих этапов:

1. Установка компонента Интеграция с SIEM

   В параметрах инсталляционного пакета или мастере установки приложения, а также с помощью изменения состава компонентов приложения через Панель управления Windows, на этапе выбора компонентов приложения для установки выберите Полная функциональность → Endpoint Agent → Интеграция с SIEM.

2. Включение и настройка компонента Интеграция с SIEM

   Интеграция с SIEM не применяется по умолчанию. Вы можете включать и выключать интеграцию с SIEM, а также настраивать соответствующие параметры.

   Чтобы снизить риск неудачной отправки событий на SIEM-сервер, задайте параметры подключения к нескольким SIEM-серверам. Kaspersky Industrial CyberSecurity for Nodes подключается к первому серверу SIEM из списка. Если подключиться не удается, Kaspersky Industrial CyberSecurity for Nodes последовательно пытается установить соединение с другими серверами из списка. Также Kaspersky Industrial CyberSecurity for Nodes использует события системного аудита для уведомления о неудачных попытках подключения к SIEM-серверу и об ошибках отправки событий на SIEM-сервер.

   Как настроить интеграцию с SIEM в Консоли администрирования Kaspersky Security Center

   1. В дереве Консоли администрирования Kaspersky Security Center выберите папку Политики.
   2. Выберите нужную политику и откройте свойства политики двойным щелчком мыши.
   3. Выберите раздел Серверы сбора телеметрии.
   4. В блоке Интеграция с SIEM нажмите на кнопку Настройка.

      Откроется окно Интеграция с SIEM.

   5. Установите флажок Интеграция с SIEM.
   6. Настройте подключение к SIEM-серверам для отправки событий безопасности:
      1. Перейдите на вкладку Настройки отправки событий безопасности.
      2. Нажмите на кнопку Добавить.
      3. В открывшемся окне Добавление сервера введите адрес сервера SIEM (IPv4, DNS), порт и протокол подключения к серверу.
      4. Нажмите на кнопку Настройки безопасности TCP-соединения.
      5. В открывшемся окне Настройки безопасности TCP-соединения настройте параметры подключения к SIEM-серверам (см. таблицу ниже).
      6. Если требуется, в блоке Настройки отправки событий на сервер SIEM установите флажок Удалять локальные копии событий при записи на внешний syslog-сервер. Если флажок установлен, приложение удаляет локальные копии событий после того, как они были успешно опубликованы на SIEM-сервере. Рекомендуется использовать этот режим на маломощных устройствах. Если флажок снят, программа только отправляет события на SIEM-сервер. Копии журналов продолжают храниться локально. По умолчанию флажок снят.

         Приложение никогда не удаляет локальные версии журнала безопасности.

      7. В блоке Формат событий выберите формат, в который вы хотите конвертировать события программы для их отправки на SIEM-сервер:
         • Конвертировать события в формат структурированных данных (значение по умолчанию). Приложение будет отправлять события в формате Syslog (RFC 5424).
         • Конвертировать события в формат JSON. Приложение будет отправлять события в формате JSON Lines.

         Рекомендуется выбирать формат событий на основе конфигурации используемого SIEM-сервера.

   7. Настройте подключение к SIEM-серверам для отправки событий Windows Event Log:
      1. Перейдите на вкладку Настройки отправки событий Windows.
      2. В блоке Настройки подключения к серверам SIEM установите флажок Использовать шифрование TLS, если необходимо включить шифрование соединения между Kaspersky Industrial CyberSecurity for Nodes и серверами SIEM.
      3. Нажмите на кнопку Добавить.
      4. В открывшемся окне Сервер SIEM введите адрес сервера SIEM (IPv4, DNS), порт и протокол подключения к серверу.
      5. Нажмите на кнопку Настройки подключения к серверам SIEM.
      6. В открывшемся окне Настройки подключения к серверам SIEM настройте параметры подключения к SIEM-серверам (см. таблицу ниже).
      7. Если требуется, в блоке Настройка передачи данных настройте параметр Максимальная задержка отправки событий (сек.). По истечении указанного времени Kaspersky Industrial CyberSecurity for Nodes повторно пробует подключиться к тому же серверу или подключается к следующему в списке серверу, если их несколько. По умолчанию установлено значение 30 секунд.

         Приложение будет отправлять события Windows Event Log на SIEM-сервер в формате JSON Lines.

   8. Закройте замок для применения политики на компьютерах.
   9. Нажмите на кнопку ОК для сохранения внесенных изменений.

   Как настроить интеграцию с SIEM в Web Console

   1. В главном окне Web Console выберите Управление активами → Политики.
   2. Нажмите на название политики Kaspersky Industrial CyberSecurity for Nodes.

      Откроется окно свойств политики.

   3. Выберите вкладку Параметры приложения.
   4. Выберите раздел Серверы сбора телеметрии.
   5. В блоке Интеграция с SIEM нажмите на кнопку Настроить.

      Откроется окно Интеграция с SIEM.

   6. Установите флажок Включить Интеграцию с SIEM.
   7. Настройте подключение к SIEM-серверам для отправки событий безопасности:
      1. Перейдите на вкладку Настройки отправки событий безопасности.
      2. Нажмите на кнопку Добавить.
      3. В открывшемся окне Сервер SIEM введите адрес сервера SIEM (IPv4, DNS), порт и протокол подключения к серверу.
      4. В блоке Защита соединения нажмите на ссылку Настройки подключения к серверам SIEM.
      5. В открывшемся окне Настройки подключения к серверам SIEM настройте параметры подключения к SIEM-серверам (см. таблицу ниже).
      6. В разделе Формат событий выберите формат, в который вы хотите конвертировать события программы для их отправки на SIEM-сервер:
         • Конвертировать события в формат структурированных данных (значение по умолчанию). Приложение будет отправлять события в формате Syslog (RFC 5424).
         • Конвертировать события в формат JSON. Приложение будет отправлять события в формате JSON Lines.

         Рекомендуется выбирать формат событий на основе конфигурации используемого SIEM-сервера.

      7. Если требуется, в блоке Настройки подключения установите флажок Удалять локальные копии событий при записи на внешний syslog-сервер. Если флажок установлен, приложение удаляет локальные копии событий после того, как они были успешно опубликованы на SIEM-сервере. Рекомендуется использовать этот режим на маломощных устройствах. Если флажок снят, программа только отправляет события на SIEM-сервер. Копии журналов продолжают храниться локально. По умолчанию флажок снят.

         Приложение никогда не удаляет локальные версии журнала безопасности.

   8. Настройте подключение к SIEM-серверам для отправки событий Windows Event Log:
      1. Перейдите на вкладку Настройки отправки событий Windows.
      2. Нажмите на кнопку Добавить.
      3. В открывшемся окне Сервер SIEM введите адрес сервера SIEM (IPv4, DNS), порт и протокол подключения к серверу.
      4. В блоке Защита соединения нажмите на ссылку Настройки подключения к серверам SIEM.
      5. В открывшемся окне Настройки подключения к серверам SIEM настройте параметры подключения к SIEM-серверам (см. таблицу ниже).
      6. Если требуется, в блоке Настройки подключения настройте параметр Максимальная задержка отправки событий (сек.). По истечении указанного времени Kaspersky Industrial CyberSecurity for Nodes повторно пробует подключиться к тому же серверу или подключается к следующему в списке серверу, если их несколько. По умолчанию установлено значение 30 секунд.

         Приложение будет отправлять события Windows Event Log на SIEM-сервер в формате JSON Lines.

   9. Нажмите на кнопку ОК для сохранения внесенных изменений.

   Как настроить интеграцию с SIEM в Консоли приложения

   1. В дереве Консоли приложения выберите раздел Телеметрия Endpoint Agent → Интеграция с SIEM.
   2. В панели результатов перейдите по ссылке Свойства.

      Откроется окно Свойства: Интеграция с SIEM.

   3. Установите флажок Интеграция с SIEM.
   4. Настройте подключение к SIEM-серверам для отправки событий безопасности:
      1. Перейдите на вкладку Настройки отправки событий безопасности.
      2. Нажмите на кнопку Добавить.
      3. В открывшемся окне Добавление сервера введите адрес сервера SIEM (IPv4, DNS), порт и протокол подключения к серверу.
      4. Нажмите на кнопку Настройки безопасности TCP-соединения.
      5. В открывшемся окне Настройки безопасности TCP-соединения настройте параметры подключения к SIEM-серверам (см. таблицу ниже).
      6. Если требуется, в блоке Настройки отправки событий на сервер SIEM установите флажок Удалять локальные копии событий при записи на внешний syslog-сервер. Если флажок установлен, приложение удаляет локальные копии событий после того, как они были успешно опубликованы на SIEM-сервере. Рекомендуется использовать этот режим на маломощных устройствах. Если флажок снят, программа только отправляет события на SIEM-сервер. Копии журналов продолжают храниться локально. По умолчанию флажок снят.

         Приложение никогда не удаляет локальные версии журнала безопасности.

      7. В блоке Формат событий выберите формат, в который вы хотите конвертировать события программы для их отправки на SIEM-сервер:
         • Конвертировать события в формат структурированных данных (значение по умолчанию). Приложение будет отправлять события в формате Syslog (RFC 5424).
         • Конвертировать события в формат JSON. Приложение будет отправлять события в формате JSON Lines.

         Рекомендуется выбирать формат событий на основе конфигурации используемого SIEM-сервера.

   5. Настройте подключение к SIEM-серверам для отправки событий Windows Event Log:
      1. Перейдите на вкладку Настройки отправки событий Windows.
      2. В блоке Настройки подключения к серверам SIEM установите флажок Использовать шифрование TLS, если необходимо включить шифрование соединения между Kaspersky Industrial CyberSecurity for Nodes и серверами SIEM.
      3. Нажмите на кнопку Добавить.
      4. В открывшемся окне Сервер SIEM введите адрес сервера SIEM (IPv4, DNS), порт и протокол подключения к серверу.
      5. Нажмите на кнопку Настройки подключения к серверам SIEM.
      6. В открывшемся окне Настройки подключения к серверам SIEM настройте параметры подключения к SIEM-серверам (см. таблицу ниже).
      7. Если требуется, в блоке Настройка передачи данных настройте параметр Максимальная задержка отправки событий (сек.). По истечении указанного времени Kaspersky Industrial CyberSecurity for Nodes повторно пробует подключиться к тому же серверу или подключается к следующему в списке серверу, если их несколько. По умолчанию установлено значение 30 секунд.

         Приложение будет отправлять события Windows Event Log на SIEM-сервер в формате JSON Lines.

   6. Нажмите на кнопку ОК для сохранения внесенных изменений.

Параметры подключения к SIEM-серверам