Обнаружение неизвестных активов
На основе обрабатываемых событий KUMA позволяет вам обнаруживать в инфраструктуре неизвестные активы, которые не входят в список уже добавленных активов KUMA. Актив при этом должен иметь IP-адрес или имя хоста. Обнаружение неизвестного актива может свидетельствовать как о штатной ситуации, так и об инциденте информационной безопасности.
Для обнаружения неизвестных активов используются следующие предустановленные правила корреляции:
- [OOTB][Net] Detection unknown assets in device fields.
- [OOTB][Net] Detection unknown assets in source fields.
- [OOTB][Net] Detection unknown assets in destination fields.
В этих правилах корреляции используются фильтры для настройки контролируемого сетевого сегмента и фильтры исключений. С помощью фильтров вы можете настроить логику срабатывания правил, подходящую именно вашей сетевой инфраструктуре. В результате срабатывания правил обнаруженные неизвестные активы будут добавлены в активный лист [OOTB][Net] Detection unknown assets.
Запись об обнаруженном активе хранится в активном листе [OOTB][Net] Detection unknown assets в течение 7 дней. При повторном срабатывании какого-либо из правил, дублирующая запись об уже добавленном активе в активный лист не вносится.
Правила корреляции, фильтры и активный лист предустановлены. Вы также можете импортировать эти ресурсы из репозитория.
Правила корреляции
[OOTB][Net] Detection unknown assets in device fields
Правило анализирует данные в полях DeviceAddress и DeviceHostName событий. Если IP-адрес или имя хоста из этих полей отсутствует в списке активов KUMA, то правило сработает.
При этом должны выполняться следующие условия:
- Актив не входит в фильтр исключений [OOTB][Net] Exceptions from the device addresses.
- IP-адрес принадлежит подсети, указанной в фильтре [OOTB][Net] Controlled network device.
[OOTB][Net] Detection unknown assets in source fields
Правило анализирует данные в полях SourceAddress и SourceHostName событий. Если IP-адрес или имя хоста из этих полей отсутствует в списке активов KUMA, то правило сработает.
При этом должны выполняться следующие условия:
- Актив не входит в фильтр исключений [OOTB][Net] Exceptions from the source addresses.
- IP-адрес принадлежит подсети, указанной в [OOTB][Net] Controlled network source.
[OOTB][Net] Detection unknown assets in destination fields
Правило анализирует данные в полях DestinationAddress и DestinationHostName событий. Если IP-адрес или имя хоста из этих полей отсутствует в списке активов KUMA, то правило сработает.
При этом должны выполняться следующие условия:
- Актив не входит в фильтр исключений [OOTB][Net] Exceptions from the destination addresses.
- IP-адрес принадлежит подсети, указанной в [OOTB][Net] Controlled network destination.
Фильтры
Фильтры исключений
Фильтры исключений содержат списки IP-адресов и имен хостов активов, при обнаружении которых правила корреляции срабатывать не будут. Добавьте IP-адреса и имена хостов в фильтры исключений перед использованием правил корреляции. Для корректной работы правил фильтры не должны быть пустыми.
К фильтрам исключений относятся:
- [OOTB][Net] Exceptions from the device addresses.
- [OOTB][Net] Exceptions from the source addresses.
- [OOTB][Net] Exceptions from the destination addresses.
Фильтры исключений расположены в каталоге OOTB/Integration.
Фильтры контролируемых подсетей
Фильтры подсетей содержат списки подсетей, в которых правила корреляции отслеживают появление новых активов. Добавьте подсети в фильтры перед использованием правил корреляции. Без списка подсетей правила корреляции срабатывать не будут.
К фильтрам подсетей относятся:
- [OOTB][Net] Controlled network device.
- [OOTB][Net] Controlled network source.
- [OOTB][Net] Controlled network destination.
Фильтры подсетей расположены в каталоге OOTB/Integration.
Настройка обнаружения неизвестных активов в вашей сети
Чтобы настроить обнаружение неизвестных активов:
- В веб-интерфейсе KUMA перейдите в раздел Ресурсы → Фильтры.
- В списке фильтров последовательно выберите каждый из следующих фильтров и укажите IP-адреса или имена хостов, которые хотите исключить из правил корреляции:
- [OOTB][Net] Exceptions from the device addresses.
- [OOTB][Net] Exceptions from the source addresses.
- [OOTB][Net] Exceptions from the destination addresses.
- В списке фильтров последовательно выберите каждый из следующих фильтров и укажите подсети, в которых следует искать неизвестные активы:
- [OOTB][Net] Controlled network device.
- [OOTB][Net] Controlled network source.
- [OOTB][Net] Controlled network destination.
Обнаружение неизвестных активов в указанных вами подсетях настроено. Информация об обнаруженных активах будет добавляться в активный лист [OOTB][Net] Detection unknown assets.
