Настройка коллектора и правил парсинга событий в KUMA

В KUMA для получения сообщений от Kaspersky Safe Web необходим коллектор. Коллектор прослушивает события и выполняет их парсинг в соответствии с созданными правилами. Это позволяет визуализировать результаты и отображать их на панели мониторинга KUMA. Более подробную информацию о коллекторах см. в справке KUMA.

Чтобы получать сообщения от Kaspersky Safe Web в KUMA, необходимо выполнить следующие действия:

1. Настроить коллектор.
2. Настроить правила парсинга событий.

Настройка коллектора

Чтобы настроить коллектор:

1. В веб-интерфейсе KUMA в разделе Ресурсы → Коллекторы выберите [OOTB] Syslog.

   Откроется окно Редактирование коллектора.

   Вы можете создать новый коллектор вместо [OOTB] Syslog. Более подробную информацию о создании коллекторов см. в справке KUMA.

2. Нажмите Транспорт.
3. В раскрывающемся списке Тип выберите udp.
4. В поле URL укажите IP-адрес и порт вашего сервера KUMA.
5. Выберите Проверка параметров → Сохранить и создать сервис.
6. Выполните рекомендованную команду в SSH-консоли KUMA.
7. Нажмите Сохранить.

Коллектор настроен.

Настройка правил парсинга событий

Чтобы настроить правила парсинга событий:

1. В веб-интерфейсе KUMA в разделе Ресурсы → Коллекторы выберите [OOTB] Syslog.

   Откроется окно Редактирование коллектора.

   Вы можете создать новый коллектор вместо [OOTB] Syslog. Более подробную информацию о создании коллекторов см. в справке KUMA.

2. Нажмите Парсинг событий, а затем нажмите на круглый значок со списком.

   Откроется окно Основной парсинг событий.

3. В раскрывающемся списке Нормализатор нажмите Создать и установите флажок Сохранить нормализатор.
4. В поле Имя введите имя нового нормализатора.
5. В раскрывающемся списке Метод парсинга выберите regexp.
6. В раскрывающемся списке Сохранить исходное событие выберите Всегда.
7. В раскрывающемся списке Сохранить дополнительные поля выберите Да.
8. В поле Примеры событий введите пример из syslog-сообщений.
9. В поле Нормализация введите следующее регулярное выражение:

   \S+?\s\S+\s+\S+\s+\S+\s+\S+:\S+\s(?P<DeviceHost>\S+)\s(?P<ProcessName>\S+)\s(?P<ProcessPID>\S+)\s(?P<Program>\S+).+query:\s(?P<domain>\S+)\s(?P<query>\S+)\s(?P<net>\S+)\s(?P<SourceIP>\S+)\s(?P<ResolvedIP>\S+)\s(?P<port>\S+)\sverdict:\s(?P<verdict>\S+)\s(?P<source>\S+)\s(?P<Categories>\S+)\s(?P<profile>.+)

10. В разделе Сопоставление настройте сопоставление полей.

    Сопоставление полей

    Исходные данные	Поле KUMA	Подпись
    DeviceHost	DeviceHostName	–
    ProcessName	DeviceProcessName	–
    ProcessPID	DeviceProcessID	–
    domain	DeviceDnsDomain	–
    query	DeviceCustomString1	Query
    net	DeviceCustomString2	Net
    SourceIP	SourceAddress	–
    ResolvedIP	DestinationAddress	–
    port	DestinationPort	–
    verdict	DeviceCustomString3	Status
    source	DeviceCustomString4	Source
    Categories	DeviceEventCategory	–
    Profile	DeviceCustomString5	Profile
    Message	Message	–

11. Нажмите ОК.
12. Нажмите Сохранить.

Правила парсинга событий настроены.