Настройка получения событий Windows с помощью Kaspersky Endpoint Security для Windows

В Kaspersky Endpoint Security for Windows, начиная с версии 12.6, есть возможность отправлять события из журналов Windows в коллектор KUMA. Это позволяет получать в KUMA события из журналов Windows со всех хостов, на которых установлен Kaspersky Endpoint Security for Windows версии 12.6 и выше, без установки агентов KUMA на эти хосты.

Kaspersky Endpoint Security for Windows версии 12.6–12.10 поддерживает ограниченный набор EventID продуктов компании Microsoft.
В версиях Kaspersky Endpoint Security for Windows 12.6-12.12 схожие по параметрам события фильтруются и отправляется первое из них, а последующие аналогичные события не передаются. При массовом возникновении однотипных событий некоторые из них будут отправлены, для этого может потребоваться появление порядка сотен и тысяч схожих событий. При этом отличающееся событие, например, при входе другого пользователя, будет отправлено. Логика фильтрации определена экспертами "Лаборатории Касперского" и позволяет снизить объем передаваемых событий без потери данных, необходимых для обнаружения атак.

Для активации функциональности требуется:

• иметь действующую лицензию KUMA.
• использовать Kaspersky Security Center 14.2 и выше.
• использовать Kaspersky Endpoint Security for Windows 12.6 или выше.

Настройка получения событий состоит из следующих этапов:

1. Импорт нормализатора в KUMA

   В KUMA должно быть настроено получение обновлений через серверы обновлений "Лаборатории Касперского".

   В разделе Ресурсы нажмите Импортировать ресурсы и выберите [OOTB] Microsoft Products via KES WIN в списке доступных к установке нормализаторов.

2. Создание коллектора KUMA для получения событий Windows

   В зависимости от используемой версии Kaspersky Endpoint Security for Windows выполните следующие действия:

   • Если вы используете Kaspersky Endpoint Security for Windows версии 12.6–12.10, на шаге Транспорт выберите TCP или UDP и укажите номер порта, который будет прослушивать коллектор. На шаге Парсинг событий выберите нормализатор [OOTB] Microsoft Products via KES WIN и на шаге Фильтрация событий выберите фильтр [OOTB] Microsoft Products via KES WIN - Event filter for collector.
   • Если вы используете Kaspersky Endpoint Security for Windows версии 12.11 и выше, на шаге Транспорт выберите TCP или UDP и укажите номер порта, который будет прослушивать коллектор. На шаге Парсинг событий выберите один из следующих нормализаторов:
     • Для KUMA версии 3.2–4.0 – [OOTB] Microsoft Products via KES WIN NG for KUMA 3.2.
     • Для KUMA версии 4.0.1 и выше – [OOTB] Microsoft Products via KES WIN NG for KUMA 4.0.1.
3. Запрос ключа в Службе технической поддержки

   Если в вашей лицензии не было ключа активации функционала отправки журналов Windows в коллектор KUMA, направьте в Службу технической поддержки письмо следующего содержания: "У нас приобретена лицензия KUMA и используется Kaspersky Endpoint Security for Windows версии 12.6. Мы планируем активировать функционал отправки журналов Windows в коллектор KUMA. Просим предоставить файл ключа для активации соответствующего функционала". Новым пользователям KUMA не требуется писать запрос в Службу технической поддержки, поскольку новым пользователям будет предоставлено 2 ключа с лицензиями для KUMA и для активирования функционала Kaspersky Endpoint Security for Windows.

   В ответ на письмо вам будет предоставлен файл ключа.

4. Настройка на стороне Kaspersky Security Center и Kaspersky Endpoint Security for Windows

   Файл ключа, активирующий функционал отправки событий Windows в коллекторы KUMA, необходимо импортировать в Kaspersky Security Center и распространить по конечным устройствам Kaspersky Endpoint Security в соответствии с инструкцией. Также необходимо в политике Kaspersky Endpoint Security добавить адреса серверов KUMA и настроить сетевые параметры подключения.

5. Проверка поступления событий Windows в коллектор KUMA

   Вы можете проверить, что настройка сервера источника событий Windows выполнена правильно, в разделе веб-интерфейса KUMA Поиск связанных событий.

Перечень событий продуктов Microsoft, которые Kaspersky Endpoint Security for Windows версии 12.6–12.10 передает в KUMA, приведен в таблице ниже.