Шаг 6. Обогащение событий

Это необязательный шаг мастера установки. На вкладке мастера установки Обогащение событий можно указать, какими данными и из каких источников следует дополнить обрабатываемые коллектором события. События можно обогащать данными, полученными с помощью правил обогащения или с помощью LDAP.

Поступающие события сначала обогащаются данными из источников, которые вы выбираете на этом шаге мастера, а затем выполняется автоматическое обогащение данными об активах. Например, если у вас настроено dns-обогащение и в результате IP-адрес, указанный в событии, обогатился соответствующим DNS-именем актива, то произойдет обогащение события этим активом.

Коллектор получает сведения об активах от Ядра KUMA и обогащает ими события следующим образом:

• Если в поле события с именем (например, SourceHostName) содержится FQDN, совпадающий с FQDN актива, коллектор добавляет поле SourceAssetID с идентификатором этого актива. Значение поля SourceAddress при этом не учитывается.
• Если в поле события с IP-адресом (например, DestinationAddress) указан IP-адрес актива, а поле с именем пустое, коллектор добавляет поле DestinationAssetID с идентификатором актива, IP-адрес которого совпадает.
• Если в поле события с именем есть значение, которое не совпадает ни с одним FQDN из базы активов, коллектор не проверяет поле с IP-адресом и не добавляет идентификатор актива. Это относится как к случаям, когда в поле HostName указан FQDN, который не соответствует ни одному активу, так и к ситуациям, когда в поле HostName указано неполное имя (например, только имя хоста без домена).

Обогащение с помощью правил обогащения

Правил обогащения может быть несколько. Их можно добавить с помощью кнопки Добавить обогащение или удалить с помощью кнопки . Можно использовать существующие правила обогащения или же создать правила непосредственно в мастере установки.

Чтобы добавить в набор ресурсов коллектора существующее правило обогащения:

1. Нажмите Добавить обогащение.

   Откроется блок параметров правил обогащения.

2. В раскрывающемся списке Правило обогащения выберите нужное правило обогащения.

Правило обогащения добавлено в набор ресурсов для коллектора.

Чтобы создать в наборе ресурсов коллектора правило обогащения:

1. Нажмите Добавить обогащение.

   Откроется блок параметров правил обогащения.

2. В поле Название введите уникальное имя правила. Название должно содержать от 1 до 128 символов в кодировке Unicode.
3. В раскрывающемся списке Правило обогащения выберите Создать.
4. В раскрывающемся списке Тип источника данных выберите, откуда будут поступать данные для обогащения, и заполните относящиеся к нему параметры:
   • шаблон

     Этот тип обогащения используется, если в поле события необходимо записать значение, полученное при обработке шаблонов Go. Мы рекомендуем сопоставлять значение и размер поля. Доступные параметры типа обогащения описаны в таблице ниже.

     Доступные параметры типа обогащения

     Параметр	Описание
     Шаблон	Шаблон Go. Имена полей событий передаются в формате {{.EventField}}, где EventField – это название поля события, значение которого должно быть передано в скрипт, например Атака на {{.DestinationAddress}} со стороны {{.SourceAddress}}.
     Целевое поле	Поле события KUMA, в которое требуется поместить данные.

     Если вы используете обогащение событий, у которого в качестве параметра Тип источника данных выбрано значение шаблон, целевым полем является поле с типом Строка, а исходным полем является поле расширенной схемы событий, содержащее массив строк, в шаблоне может быть использован один из следующих примеров:

     • {{.SA.StringArrayOne}}
     • {{- range $index, $element := . SA.StringArrayOne -}}

       {{- if $index}}, {{end}}"{{$element}}"{{- end -}}

     Для преобразования в шаблоне данных поля массива в формат TSV необходимо использовать функцию toString, например:

     template {{toString .SA.StringArray}}

   • таблица

     Этот тип обогащения используется, если в поле события необходимо добавить значение из словаря типа Таблица. Доступные параметры типа обогащения описаны в таблице ниже.

     Доступные параметры типа обогащения

     Параметр	Описание
     Название словаря	Словарь, из которого будут браться значения.
     Ключевые поля	Поля событий, значения которых будут использоваться для выбора записи словаря. Для добавления поля события нажмите на кнопку Добавить поле. Вы можете добавить несколько полей событий.
     Сопоставление	Поля событий для передачи данных: Поле словаря – поля словаря, из которых будут передаваться данные. Доступные поля зависят от выбранного ресурса словаря. Поле KUMA – поля событий, в которые будут передаваться данные. Для некоторых выбранных полей (*custom* и *flex*) в столбце Подпись вы можете задать название для помещаемых данных.

     Первое поле в таблице (Поле словаря) считается ключом, с которым будут сопоставляться поля, выбранные из события в качестве ключевых (Поле KUMA). В качестве ключа в Поле словаря вам нужно выбрать индикатор компрометации, по которому будет осуществляться обогащение, например IP-адрес, URL-адрес или хеш. В правиле необходимо выбрать поле события, соответствующее выбранному индикатору в поле словаря.

     Если вы хотите выбрать несколько ключевых полей, вы можете указать их через разделитель | (при указании через веб-интерфейс или импорте через CSV-файл), например <IP-адрес>|<имя пользователя>.

     Вы можете добавлять новые строки таблицы и удалять строки таблицы. Для добавления новой строки таблицы нажмите на кнопку Добавить элемент. Для удаления строки таблицы нажмите на кнопку .

   • обогащение активами

     Этот тип обогащения используется, когда необходимо добавить обогащение событий активами на определенных коллекторах.

     Для обогащения событий активами в блоке Сопоставление необходимо заполнить таблицу сопоставления полей события KUMA и полей для записи значениий из хеш-таблицы:

     1. Нажмите на кнопку Добавить.
     2. В раскрывающемся списке Поле KUMA выберите одно или несколько полей события, значение которого будет сопоставляться со значением из хеш-таблицы и записываться в соответствующее поле в таблице для записи данных актива.
     3. В раскрывающемся списке Поле для записи данных выберите поле, в которое, в случае соответствия поля события (Поле KUMA) и значения из хеш-таблицы, будет записано значение идентификатора актива.

        Возможные значения параметров в таблице сопоставления полей

        Поле KUMA	Поле для записи данных
        DestinationAddress DestinationHostName DeviceAddress DeviceHostName SourceAddress SourceHostName DestinationMacAddress DeviceMacAddress SourceMacAddress DeviceCustomString1 DeviceCustomString2 DeviceCustomString3 DeviceCustomString4 DeviceCustomString5 DeviceCustomString6	SourceAssetID DeviceAssetID DestinationAssetID

        Если пользователь выбирает несколько полей, к значениям полей применяется условие И. Если пользователь добавляет несколько строк в столбце Поле KUMA, к значениям полей применяется условие ИЛИ. Проверка начинается с первого поля в списке. Если значение поля совпадает со значением атрибута, проверка прекращается.

        Например, в событие поступают следующие данные:

        SourceAddress=192.168.х.хх
SourceHostName=kuma.example.com.

        В KUMA есть два актива: company.example.com (IP-адрес: 192.168.х.хх, FQDN: company.example.com) и kuma.example.com (IP-адрес: 192.168.y.yyy, FQDN: kuma.example.com). Сопоставление для них осуществляется следующим образом:

        • Если пользователь указал отдельно sourceAddress → sourceAssetID, а затем sourceHostname → sourceAssetID, то актив будет соответствовать первому условию (company.example.com).
        • Если пользователю важнее получить значение параметра sourceHostname (kuma.example.com), то первым указывается sourceHostname → sourceAssetID, а затем sourceAddress → sourceAssetID.
        • Если пользователь указал sourceAddress + sourceHostname → sourceAssetID, обогащение не произойдет.

        В таблице сопоставления полей должно быть указано хотя бы одно условие сопоставления.

        Вы также можете нажать на кнопку Применить сопоставление по умолчанию, расположенную над таблицей. В этом случае будут применены значения параметров Поле KUMA и Поле для записи данных.

        Установленные по умолчанию значения параметров в таблице сопоставления полей

        Поле KUMA	Поле для записи данных
        DestinationAddress	DestinationAssetID
        DestinationHostName	DestinationAssetID
        DeviceAddress	DeviceAssetID
        DeviceHostName	DeviceAssetID
        SourceAddress	SourceAssetID
        SourceHostName	SourceAssetID

   • константа

     Этот тип обогащения используется, если в поле события необходимо добавить константу. Доступные параметры типа обогащения описаны в таблице ниже.

     Доступные параметры типа обогащения

     Параметр	Описание
     Константа	Значение, которое требуется добавить в поле события. Максимальная длина значения: до 255 символов в кодировке Unicode. Если оставить поле пустым, существующее значение поля события будет удалено.
     Целевое поле	Поле события KUMA, в которое требуется поместить данные.

     Если вы используете функции обогащения событий для полей расширенной схемы с типом Строка, Число или Число с плавающей точкой с помощью константы, в поле будет добавлена константа.

     Если вы используете функции обогащения событий для полей расширенной схемы с типом Массив строк, Массив чисел или Массив чисел с плавающей точкой с помощью константы, константа будет добавлена к элементам массива.

   • словарь

     Этот тип обогащения используется, если в поле события необходимо добавить значение из словаря типа Словарь. Доступные параметры типа обогащения описаны в таблице ниже.

     Доступные параметры типа обогащения

     Параметр	Описание
     Название словаря	Словарь, из которого будут браться значения.
     Ключевые поля	Поля событий, значения которых будут использоваться для выбора записи словаря. Для добавления поля события нажмите на кнопку Добавить поле. Вы можете добавить несколько полей событий.

     Если вы используете обогащение событий, у которого в качестве параметра Тип источника данных выбрано значение словарь, а в параметре Ключевые поля обогащения указано поле-массив, при передаче массива в качестве ключа словаря массив будет сериализован в строку согласно правилам сериализации одного значения в формате TSV.

     Пример: в параметре Ключевые поля обогащения используется поле расширенной схемы SA.StringArrayOne. В поле расширенной схемы SA.StringArrayOne находятся значения "a", "b", "c". В качестве ключа в словарь будут переданы значения ['a','b','c'].

     Если в параметре Ключевые поля обогащения используется поле-массив расширенной схемы и обычное поле схемы событий, значения полей при обращении в словарь будут разделены символом |.

     Пример: в параметре Ключевые поля обогащения используется поле расширенной схемы SA.StringArrayOne и строковое поле Code. В поле расширенной схемы SA.StringArrayOne находятся значения "a", "b", "c", а строковое поле Code содержит последовательность символов myCode. В качестве ключа в словарь будут переданы значения ['a','b','c']|myCode.

   • событие

     Этот тип обогащения используется, если в поле события необходимо записать значение другого поля события. Параметры этого типа обогащения:

     • В раскрывающемся списке Целевое поле выберите поле события KUMA, в которое следует поместить данные.
     • В раскрывающемся списке Исходное поле выберите поле события, значение которого будет записано в целевое поле.
     • В блоке параметров Преобразование можно создать правила изменения исходных данных перед тем, как они будут записаны в поля событий KUMA. Тип преобразования можно выбрать в раскрывающемся списке. С помощью кнопок Добавить преобразование и Удалить можно добавить или удалить преобразование. Порядок преобразований имеет значение.

       Доступные преобразования

       Преобразования – это изменения, которые применяются к значению перед записью в поле события. Вы можете выбрать в раскрывающемся списке один из следующих типов преобразования:

       • entropy – используется для преобразования значения исходного поля с помощью функции вычисления информационной энтропии и помещения результата преобразования в целевое поле типа float. Результатом преобразования будет число. Показатель вычисления информационной энтропии позволяет выявлять DNS-туннели и компрометацию паролей, например когда пользователь ввел пароль вместо логина и пароль записывается в журнал в открытом виде.
       • lower – используется для перевода всех символов значения в нижний регистр.
       • upper – используется для перевода всех символов значения в верхний регистр.
       • regexp – используется для преобразования значения с помощью указанного регулярного выражения RE2. При выборе этого типа преобразования отображается поле, в котором вам нужно указать регулярное выражение RE2.
       • substring – используется для извлечения символов в указанном диапазоне позиций. При выборе этого типа преобразования отображаются поля Начало и Конец, в которых вам нужно указать диапазон позиций.
       • replace – используется для замены указанной последовательности символов на другую последовательность символов. При выборе этого типа преобразования отображаются следующие поля:
         • Символы на замену – последовательность символов, которую требуется заменить.
         • Чем заменить – последовательность символов, которую требуется использовать вместо заменяемой последовательности символов.
       • trim – используется для удаления указанных символов одновременно с начала и с конца значения поля события. При выборе этого типа преобразования отображается поле Символы, в котором вам нужно указать символы. Например, если для значения Microsoft-Windows-Sysmon выполнить преобразование trim со значением Micromon, новым значением будет soft-Windows-Sys.
       • append – используется для добавления указанных символов в конец значения поля события. При выборе этого типа преобразования отображается поле Константа, в котором вам нужно указать символы.
       • prepend – используется для добавления указанных символов к началу значения поля события. При выборе этого типа преобразования отображается поле Константа, в котором вам нужно указать символы.
       • replace with regexp – используется для замены результатов регулярного выражения RE2 на указанную последовательность символов. При выборе этого типа преобразования отображаются следующие поля:
         • Выражение – регулярное выражение RE2, результаты которого требуется заменить.
         • Чем заменить – последовательность символов, которую требуется использовать вместо заменяемой последовательности символов.
       • Конвертация закодированных строк в текст:
         • decodeHexString – используется для конвертации HEX-строки в текст.
         • decodeBase64String – используется для конвертации Base64-строки в текст.
         • decodeBase64URLString – используется для конвертации Base64url-строки в текст.

         При конвертации поврежденной строки или при ошибках конвертации в поле события могут быть записаны поврежденные данные.

         При обогащении событий, если длина закодированной строки превышает размер поля нормализованного события, строка будет обрезана и не будет раскодирована.

         Если длина раскодированной строки превышает размер поля события, в которое должно быть помещено раскодированное значение, строка будет обрезана до размера этого поля события.

       • Преобразование формата IP-адреса в IPv4:
         • ipDecimalToDotted – используется для преобразования IP-адреса в формате десятичного числа в IP-адрес в формате IPv4, в котором октеты разделены точками.
         • ipHexToDotted – используется для преобразования IP-адреса в формате шестнадцатиричного числа в IP-адрес в формате IPv4, в котором октеты разделены точками. с октетами, разделенными точками.

       Преобразования при использовании расширенной схемы событий

       Возможность использования преобразования зависит от типа используемого поля расширенной схемы событий:

       • для дополнительного поля с типом Строка доступны все типы преобразования.
       • для полей с типами Число и Число с плавающей точкой доступны следующие типы преобразования: regexp, substring, replace, trim, append, prepend, replaceWithRegexp, decodeHexString, decodeBase64String и decodeBase64URLString.
       • для полей с типами Массив строк, Массив чисел и Массив чисел с плавающей точкой доступны следующие типы преобразования: append и prepend.

   • dns

     Этот тип обогащения используется для отправки запросов на DNS-сервер частной сети для преобразования IP-адресов в доменные имена или наоборот. Преобразование IP-адресов в DNS-имена происходит только для частных адресов: 10.0.0.0/8, 172.16.0.0/12, 192.168.0.0/16, 100.64.0.0/10.

     Доступные параметры:

     • URL – в этом поле можно указать URL DNS-сервера, которому вы хотите отправлять запросы. С помощью кнопки Добавить URL можно указать несколько URL.
     • Запросов в секунду – максимальное количество запросов к серверу в секунду. Значение по умолчанию: 1000.
     • Обработчики – количество обработчиков, которые сервис может запускать одновременно для параллельной обработки событий. Укажите целое положительное число от 0 до 999. Если указано 0, то используется число логических ядер CPU.
     • Количество задач – максимальное количество одновременно выполняемых запросов. Значение по умолчанию равно количеству vCPU сервера, на котором установлено Ядро KUMA.
     • Срок жизни кеша – время жизни значений (в секундах), хранящихся в кеше. Значение по умолчанию: 60 (сек).
     • Кеш отключен – с помощью этого переключателя можно включить или отключить кеширование. По умолчанию кеширование включено.
     • Обновление кеша отключено – если обновление кеша включено, то по истечении срока жизни кеша коллектор отправляет повторные запросы на DNS-сервер для обновления хранящихся в кеше данных. Этот параметр доступен только при включенном кеше. По умолчанию обновление кеша включено.
     • Требуется рекурсия – параметр доступен начиная с KUMA 3.4.1. С помощью переключателя можно включить отправку коллектором KUMA рекурсивных запросов к авторитативным DNS-серверам для выполнения обогащения. Значение по умолчанию: Выключено.
   • cybertrace

     Для систем с большой нагрузкой на коллектор или коррелятор рекомендуется использовать тип обогащения cybertrace-http. Этот тип возвращает структурированный ответ в формате JSON и корректно различает строки и массивы пользовательских атрибутов, исключая ошибки парсинга.

     При обогащении через cybertrace коллектор получает неструктурированный ответ. Если значение пользовательского атрибута в CyberTrace содержит квадратные скобки, например [str1, str2]), KUMA обрабатывает его как массив, а не как строку.

     Этот тип обогащения используется для добавления в поля события сведений из потоков данных CyberTrace.

     Доступные параметры:

     • URL (обязательно) – в этом поле можно указать URL сервера CyberTrace, которому вы хотите отправлять запросы. Порт CyberTrace по умолчанию 9999.
     • Количество подключений – максимальное количество подключений к серверу CyberTrace, которые может одновременно установить KUMA. Значение по умолчанию равно количеству vCPU сервера, на котором установлено Ядро KUMA.
     • Запросов в секунду – максимальное количество запросов к серверу в секунду. Значение по умолчанию: 1000.
     • Время ожидания – время ожидания отклика от сервера CyberTrace в секундах. Значение по умолчанию: 30.
     • Максимальное кол-во событий в очереди обогащения – максимальное количество событий, сохраняемое в очереди для переотправки. Значение по умолчанию: 1 000 000.
     • Сопоставление (обязательно) – этот блок параметров содержит таблицу сопоставления полей событий KUMA с типами индикаторов CyberTrace. В столбце Поле KUMA указаны названия полей событий KUMA, а в столбце Индикатор CyberTrace указаны типы индикаторов CyberTrace.

       Доступные типы индикаторов CyberTrace:

       • ip
       • url
       • hash

       В таблице сопоставления требуется указать как минимум одну строку. С помощью кнопки Добавить строку можно добавить строку, а с помощью кнопки – удалить.

   • cybertrace-http

     Это новый тип потокового обогащения событий в CyberTrace, который позволяет отправлять большое количество событий одним запросом на API-интерфейс CyberTrace. Мы рекомендуем применять в системах с большим потоком событий. Производительность cybertrace-http превосходит показатели типа cybertrace.

     Ограничения:

     • Тип обогащения cybertrace-http неприменим для ретроспективного сканирования в KUMA.
     • В случае использования типа обогащения cybertrace-http обнаружения киберугроз не сохраняются в истории CyberTrace в окне Detections.

     Доступные параметры:

     • Название (обязательно) – уникальное название правила обогащения. Максимум 128 символов в кодировке Unicode.
     • Тенант (обязательно) – имя тенанта, в рамках которого вы планируете вести работу с CyberTrace.
     • URL (обязательно) – в этом поле можно указать URL сервера CyberTrace, которому вы хотите отправлять запросы и порт, который использует API CyberTrace. Порт по умолчанию 443.
     • Секрет (обязательно) – раскрывающийся список для выбора секрета, в котором хранятся учетные данные для подключения.
     • Время ожидания – время ожидания отклика от сервера CyberTrace в секундах. Значение по умолчанию: 30.
     • Ключевые поля (обязательно) – список полей событий, используемых для обогащения событий данными из CyberTrace.
     • Максимальное кол-во событий в очереди обогащения – максимальное количество событий, сохраняемое в очереди для переотправки. Значение по умолчанию: 1 000 000. По достижении 1 млн получаемых событий от сервера CyberTrace события перестают обогащаться, пока число получаемых событий не станет меньше 500 тыс.
     • Основная версия CyberTrace – выбор версии CyberTrace. Доступные значения: <5, ≥ 5.0. При выборе версии ≥ 5.0 запросы будут выполняться в тенанте General в CyberTrace и будут использовать новую версию API, соответствующую Kaspersky CyberTrace 5.0 и выше. При выборе значения <5 запросы будут использовать версию API, соответствующую Kaspersky CyberTrace 4.x. Значение по умолчанию: <5.
     • Отладка – переключатель, включающий логирование ресурса. По умолчанию переключатель выключен.
     • Теги – теги для поиска ресурса.
   • часовой пояс

     Этот тип обогащения используется в коллекторах и корреляторах для присваивания событию определенного часового пояса. Сведения о часовом поясе могут пригодиться при поиске событий, случившихся в нетипичное время, например ночью.

     При выборе этого типа обогащения в раскрывающемся списке Часовой пояс необходимо выбрать требуемую временную зону.

     Убедитесь, что требуемый часовой пояс установлен на сервере сервиса, использующего обогащение. Например, это можно сделать с помощью команды timedatectl list-timezones, которая показывает все установленные на сервере часовые пояса. Подробнее об установке часовых поясов смотрите в документации используемой вами операционной системы.

     При обогащении события в поле события DeviceTimeZone записывается смещение времени выбранного часового пояса относительно всемирного координированного времени (UTC) в формате +-чч:мм. Например, если выбрать временную зону Asia/Yekaterinburg в поле DeviceTimeZone будет записано значение +05:00. Если в обогащаемом событии есть значение поля DeviceTimeZone, оно будет перезаписано.

     По умолчанию, если в обрабатываемом событии не указан часовой пояс и не настроены правила обогащения по часовому поясу, событию присваивается часовой пояс сервера, на котором установлен сервис (коллектор или коррелятор), обрабатывающий событие. При изменении времени сервера сервис необходимо перезапустить.

     Допустимые форматы времени при обогащении поля DeviceTimeZone

     При обработке в коллекторе поступающих сырых событий следующие форматы времени могут быть автоматически приведены к формату +-чч:мм:

     Формат времени в обрабатываемом событии	Пример
     +-чч:мм	-07:00
     +-ччмм	-0700
     +-чч	-07

     Если формат даты в поле DeviceTimeZone отличается от указанных выше, при обогащении события сведениями о часовом поясе в поле записывается часовой пояс серверного времени коллектора. Вы можете создать особые правила нормализации для нестандартных форматов времени.

   • геоданные

     Этот тип обогащения используется для добавления в поля событий сведений о географическом расположении IP-адресов. Подробнее о привязке IP-адресов к географическим данным.

     При выборе этого типа в блоке параметров Сопоставление геоданных с полями события необходимо указать, из какого поля события будет считан IP-адрес, а также выбрать требуемые атрибуты геоданных и определить поля событий, в которые геоданные будут записаны:

     1. В раскрывающемся списке Поле события с IP-адресом выберите поле события, из которого считывается IP-адрес. По этому IP-адресу будет произведен поиск соответствий по загруженным в KUMA геоданным.

        С помощью кнопки Добавить поле события с IP-адресом можно указать несколько полей события с IP-адресами, по которым требуется обогащение геоданными. Удалить добавленные таким образом поля событий можно с помощью кнопки Удалить поле события с IP-адресом.

        При выборе полей события SourceAddress, DestinationAddress и DeviceAddress становится доступна кнопка Применить сопоставление по умолчанию. С ее помощью можно добавить преднастроенные пары соответствий атрибутов геоданных и полей события.

     2. Для каждого поля события, откуда требуется считать IP-адрес, выберите тип геоданных и поле события, в которое следует записать геоданные.

        С помощью кнопки Добавить атрибут геоданных вы можете добавить пары полей Атрибут геоданных – Поле события для записи. Так вы можете настроить запись разных типов геоданных одного IP-адреса в разные поля события. Пары полей можно удалить с помощью значка .

        • В поле Атрибут геоданных выберите, какие географические сведения, соответствующие считанному IP-адресу, необходимо записать в событие. Доступные атрибуты геоданных: Страна, Регион, Город, Долгота, Широта.
        • В поле Поле события для записи выберите поле события, в которое необходимо записать выбранный атрибут геоданных.

        Вы можете записать одинаковые атрибуты геоданных в разные поля событий. Если вы настроите запись нескольких атрибутов геоданных в одно поле события, событие будет обогащено последним по очереди сопоставлением.

   • проверка DLL Hijacking

     DLL Hijacking – это техника атаки, которая заключается в том, что на целевую систему доставляется уязвимое легитимное программное обеспечение вместе с вредоносной динамической библиотекой (DLL). Для обнаружения таких атак KUMA использует модуль AI. Модуль AI анализирует параметры запуска и исполнения программ и определяет подозрительные случаи запуска легитимного программного обеспечения с вредоносными библиотеками.

     Для получения заключения KUMA отправляет запрос с информацией из полей события в KSN. В ответ на запрос KSN присылает результат анализа.

     Вы можете настроить обнаружение атак DLL Hijacking в коллекторе или корреляторе.

     Для использования обогащения типа Проверка DLL Hijacking ваша лицензия должна включать в себя модуль AI. Главный администратор также должен принять дополнительное Положение о KSN в разделе Kaspersky Security Network (Параметры → Интеграции → AI-сервисы → Обнаружение атак DLL Hijacking).

     Доступные параметры:

     • Обработчики – количество обработчиков, которые сервис может запускать одновременно для параллельной обработки событий. Укажите целое положительное число от 0 до 999. Если указано 0, то используется число логических ядер CPU.
     • Максимальный размер кеша – максимальный размер кеша для ответов, получаемых из KSN, в мегабайтах. Значение по умолчанию: 128 МБ.

       Каждый ответ из KSN имеет свое время жизни, в течение которого он хранится в кеше. Если KUMA отправляет повторный запрос по файлу DLL, для которого KSN уже выдал ответ, и время жизни этого ответа еще не истекло, то запрос не отправляется в KSN, а ответ берется из кеша.

     • Максимальное количество событий в очереди обогащения – при превышении указанного значения, новые события обрабатываться не будут. Значение по умолчанию: 1 000 000. Значение 0 означает, что при возникновении очереди события перестают обогащаться.
     • Выполнять повторный запрос – в ответе KSN может выдать заключение В обработке. Этот заключение означает, что KSN принял запрос и в данный момент обрабатывает его, но заключения пока нет. Обработка может занять длительное время, поэтому требуется повторная отправка запроса. Если этот параметр включен, настройте дополнительные параметры:
       • Создавать дубликаты событий – если этот параметр включен, KUMA создает дубликат события и использует его для повторных запросов к KSN. Основное событие при этом отправляется дальше по потоку. Дубликат события будет записан в базу данных, когда выполнится одно из следующих условий:
         • Из KSN получено заключение, отличное от В обработке.
         • Переполнен дисковый буфер, размер которого указан в параметре Размер буфера.
         • Превышено значение, указанное в параметре Количество запросов.

         Если этот параметр выключен, KUMA продолжит отправлять запросы с использованием основного события. Событие будет записано в базу данных, когда выполнится одно из следующих условий:

         • Из KSN получено заключение, отличное от В обработке.
         • Переполнен дисковый буфер, размер которого указан в параметре Размер буфера.
         • Превышено значение, указанное в параметре Количество запросов.
       • Количество запросов – максимальное количество запросов в KSN. Если за указанное число запросов так и не будет получено заключение, отличное от В обработке, событие будет записано в базу данных с заключением В обработке. Значение по умолчанию: 10.
       • Интервал запросов – интервал между запросами, в минутах. Значение по умолчанию: 1 минута. Минимальное значение: 1 минута.
       • Размер буфера – размер дискового буфера, который используется для хранения событий, ожидающих повторного запроса, в мегабайтах. Значение по умолчанию: 10240 МБ. Минимальное значение: 10 МБ.
     • Прокси-сервер – параметры прокси-сервера, если он требуется для подключения к серверу KSN. Можно выбрать один из доступных или создать новый прокси-сервер. По умолчанию прокси-сервер не используется.
     • Сопоставление – таблица параметров, которые нужно отправить в запросе в KSN для получения заключения, и списком соответствующих полей событий KUMA. Список параметров в запросе:
       • Хеш файла DLL (md5) – рекомендованное поле для сопоставления: OldFileHash.
       • Путь до файла DLL – полный путь, включающий имя файла; рекомендованное поле для сопоставления: OldFilePath. Так как путь может содержать персональные данные, KUMA передает этот параметр в KSN в обезличенном виде. Например:

         Путь до обезличивания: C:\Windows\Device\HarddiskVolume1\Users\Alex\malware.dll

         Тот же путь в обезличенном виде: device\harddiskvolume1\users\username

       • Хеш процесса (md5) – рекомендованное поле для сопоставления: FileHash.
       • Путь до процесса – полный путь, включающий имя файла. Так как путь может содержать персональные данные, KUMA передает этот параметр в KSN в обезличенном виде. Например:

         Путь до обезличивания: C:\Windows\Device\HarddiskVolume1\Users\Alex\malware.dll

         Тот же путь в обезличенном виде: device\harddiskvolume1\users\username

       • Имя файла DLL – рекомендованное поле для сопоставления: OldFileName.
       • Имя процесса – рекомендованное поле для сопоставления: FileName.
       • Подпись процесса – необязательный параметр; рекомендованное поле для сопоставления: FileID. В этом поле нужно указать поле KUMA, которое передает Organization из Subject подписи. Если этих значений нет, подпись стоит оставить пустой. Чтобы добавить этот параметр, нажмите на кнопку Добавить, затем в столбце Поле DLL Hijacking в выпадающем списке выберите подпись процесса.
       • Размер файла DLL – необязательный параметр; рекомендованное поле для сопоставления: OldFileSize. Чтобы добавить этот параметр, нажмите на кнопку Добавить, затем в столбце Поле DLL Hijacking в выпадающем списке выберите размер файла DLL.

       Для каждого параметра укажите в таблице соответствующее ему поле события KUMA.

5. При необходимости с помощью переключателя Отладка включите логирование операций сервиса.
6. При необходимости в раскрывающемся списке Теги выберите теги для правила обогащения.
7. При необходимости в поле Описание добавьте описание правила обогащения. Описание правила может содержать до 4000 символов в кодировке Unicode.
8. В блоке Параметры фильтра можно задать условия определения событий, которые будут обрабатываться с применением правила обогащения. В раскрывающемся списке Фильтр можно выбрать существующий фильтр или создать новый фильтр.

   Добавление условий и группы условий для фильтра

   Чтобы добавить условия и группы условий для фильтра:

   1. При создании правила обогащения убедитесь, что в блоке Параметра фильтра выбрано Конструктор.
   2. Нажмите на кнопку Добавить условие и в последовательно появляющихся раскрывающихся списках выберите значения событий и оператор фильтра.

      Вы можете добавить несколько условий для фильтра.

   3. При необходимости нажмите на кнопку Добавить группу, чтобы добавить группу условий для фильтра.

      Вы можете добавить несколько групп условий.

   4. Нажмите на название логического оператора (И, ИЛИ, НЕ). По умолчанию выбрано значение И.

В набор ресурсов для коллектора добавлено новое правило обогащения.

Обогащение с помощью LDAP

Чтобы включить обогащение с помощью LDAP:

1. Нажмите Добавить сопоставление с учетными записями LDAP.

   Откроется блок параметров обогащения с помощью LDAP.

2. В поле Сопоставление с учетными записями LDAP добавьте одно или несколько названий подключений к LDAP-серверу, которые вы создавали в настройках интеграции с LDAP-сервером.
3. В таблице Обогащение полей KUMA задайте правила сопоставления полей KUMA с атрибутами LDAP:
   • В столбце Поле KUMA укажите поле события KUMA, данные из которого следует сравнивать с атрибутом LDAP.
   • В столбце LDAP-атрибут, укажите атрибут, с которым необходимо сравнивать поле события KUMA. Раскрывающийся список содержит часть стандартных атрибутов, по которым может быть выполнено обогащение. Список может быть дополнен пользовательскими атрибутами.

     Перед настройкой обогащения событий с помощью пользовательских атрибутов убедитесь, что пользовательские атрибуты настроены в AD.

     Чтобы обогащать события учетными записями с помощью пользовательских атрибутов:

     1. Добавьте Пользовательские атрибуты учетных записей AD в параметрах подключения к LDAP.

        Невозможно добавить стандартные импортируемые атрибуты из AD в качестве пользовательских. Например, если вы захотите добавить стандартный атрибут accountExpires в качестве пользовательского атрибута, при сохранении параметров подключения KUMA вернет ошибку.

        Список ипортируемых атрибутов из AD

        Из Active Directory можно запросить следующие атрибуты учетных записей:

        • accountExpires
        • badPasswordTime
        • cn
        • company
        • department
        • displayName
        • distinguishedName
        • division
        • employeeID
        • ipaUniqueID
        • l
        • mail
        • mailNickname
        • managedObjects
        • manager
        • memberOf (по этому атрибуту события можно искать при корреляции)
        • mobile
        • objectGUID (этот атрибут запрашивается из Active Directory всегда)
        • objectSid
        • physicalDeliveryOfficeName
        • sAMAccountName
        • sAMAccountType
        • sn
        • streetAddress
        • telephoneNumber
        • title
        • userAccountControl
        • userPrincipalName
        • whenChanged
        • whenCreated

        После того, как вы добавите пользовательские атрибуты в параметрах подключения к LDAP, раскрывающийся список LDAP-атрибуты в коллекторе будет автоматически дополнен. Пользовательские атрибуты можно отличить по знаку вопроса рядом с именем атрибута. Если для нескольких доменов вы добавили один и тот же атрибут, в раскрывающемся списке атрибут будет указан один раз, а домены можно просмотреть, если навести курсор на знак вопроса. Названия доменов отображаются в виде ссылок: если вы нажмете на ссылку, домен автоматически добавится в Сопоставление с учетными записями LDAP, если прежде он не был добавлен.

        Если вы удалили пользовательский атрибут в параметрах подключения к LDAP, удалите вручную строку с атрибутом из таблицы сопоставления в коллекторе. Информация об атрибутах учетных записей в KUMA обновляется каждый раз после того, как вы выполните импорт учетных записей.  

     2. Импортируйте учетные записи.
     3. В коллекторе в таблице Обогащение полей KUMA задайте правила сопоставления полей KUMA с атрибутами LDAP.
     4. Перезапустите коллектор.

        После перезапуска коллектора KUMA начнет обогащать события учетными записями.

   • В столбце Поле для записи данных укажите, в какое поле события KUMA следует помещать идентификатор пользовательской учетной записи, импортированной из LDAP, если сопоставление успешно.

   С помощью кнопки Добавить в таблицу можно добавить строку, а с помощью кнопки Удалить – удалить. С помощью кнопки Применить сопоставление по умолчанию можно заполнить таблицу сопоставления стандартными значениями.

В список ресурсов коллектора добавлено сопоставление для обогащения событий данными, полученными из LDAP.

При добавлении в существующий коллектор обогащения с помощью LDAP или изменении параметров обогащения требуется остановить и запустить сервис снова.

Перейдите к следующему шагу мастера установки.