Журналы всех компонентов KUMA находятся в директории /opt/kaspersky/kuma/<имя сервиса>/<id>/log/<имя сервиса>, где:

• <имя сервиса> — collector, correlator, storage, agent;
• <id> — идентификатор сервиса.

Журналы Ядра KUMA:

• Журналы Ядра KUMA до версии 3.0 находятся по пути /opt/kaspersky/kuma/core/log/core
• Журналы Ядра KUMA версии 3.0 находятся по пути /opt/kaspersky/kuma/core/log/stdout.log и /opt/kaspersky/kuma/core/log/stderr.log
• Журналы Ядра KUMA версий 3.2 и 3.4 находятся по пути /opt/kaspersky/kuma/core/00000000-0000-0000-0000-000000000000/log/core
• Журналы Ядра KUMA версий 4.0 и 4.2 находятся по пути /opt/kaspersky/kuma/core/<идентификатор сервиса Ядра KUMA>/log/core

Журналы агента Windows находятся в директории C:\ProgramData\Kaspersky Lab\KUMA\<идентификатор агента>\agent.log

Журналы mongodb находятся в директории /opt/kaspersky/kuma/mongodb/log/mongod.log

Журналы grafana находятся в директории /opt/kaspersky/kuma/grafana/data/log/grafana.log

1. Откройте веб-интерфейс KUMA и перейдите в раздел Ресурсы → Активные сервисы.
2. Установите флажок слева от нужного сервиса.
3. Нажмите Копировать идентификатор в верхней части интерфейса.

Идентификатор сервиса будет скопирован в буфер обмена.

В KUMA доступны следующие способы отправки тестового события на коллектор:

• С помощью утилиты nc. Чтобы отправить события на коллектор в виде текста или файла, выполните соответствующие команды:
  nc <адрес коллектора> <порт коллектора> <<< "тестовое событие"
  nc <адрес коллектора> <порт коллектора> < events.txt
  По умолчанию события на коллектор отправляются по протоколу ТСP. Чтобы отправить события по протоколу UDP, добавьте к командам ключ -u.
• С помощью команды echo. Чтобы отправить события на коллектор по протоколам TCP и UDP, выполните соответствующие команды:
  echo "тестовое событие" > /dev/tcp/<адрес коллектора>/<порт коллектора>
  echo "тестовое событие" > /dev/udp/<адрес коллектора>/<порт коллектора>

Чтобы отправить событиe на http-коллектор, выполните POST-запрос на URL, поместив событие в тело запроса. Для этого выполните команду:

Чтобы открыть порт, воспользуйтесь стандартными командами межсетевых экранов.

• Для серверов с ОС Oracle Linux выполните настройку firewalld:
  firewall-cmd --add-port=7220/tcp --permanent
  firewall-cmd --reload
• Для серверов с ОС Astra Linux выполните настройку ufw:
  ufw allow 7220/tcp ufw reload

Чтобы отредактировать файл hosts:

1. Запустите командную строку cmd.exe от имени администратора.
2. Выполните команду:
   notepad.exe %WINDIR%\System32\drivers\etc\hosts
3. Внесите нужные изменения в файл hosts.
4. Сохраните файл hosts, нажав Ctrl+S на клавиатуре.

Чтобы проанализировать определенные журналы приложений, укажите название нужного журнала в поле Журналы Windows, выберите журнал в раскрывающемся списке и нажмите Добавить.

Например, чтобы проанализировать журнал PowerShell:

1. Откройте EventViewer и скопируйте полное название журнала из поля Full Name.

2. Добавьте скопированное название в поле Журналы Windows, нажмите Добавить и установите флажок напротив нужного журнала в раскрывающемся списке.

Чтобы устранить ошибку «No mapping between account names and security IDs was done», исправьте опечатку в логине пользователя, который указан в ключе --user.

Начиная с версии 2.1 в KUMA нет отдельного микросервиса kuma-clickhouse. ClickHouse стал дочерним процессом сервиса kuma-storage.

Агент KUMA последовательно направляет запросы на все серверы, чтобы принять с них события. Если один из серверов недоступен, агент записывает ошибку доступа в журнал и переходит к следующему серверу из списка.

Попытки получить события с проблемного сервера будут повторяться каждые 60 секунд без ограничения на число запросов.

Воспользуйтесь оператором != '' для строковых полей и != 0 для числовых. Например:

Чтобы узнать, какой объем дискового пространства занимают партиции с данными за день, откройте веб-интерфейс KUMA и перейдите на вкладку Активные сервисы → Хранилище → Смотреть разделы.

Если в хранилище заканчивается место, очистите его вручную:

1. Перейдите в раздел Ресурсы → Активные сервисы в веб-интерфейсе KUMA.
2. Установите флажок рядом с нужным хранилищем.
3. Нажмите Смотреть разделы.
4. Удалите наиболее старые партиции.

Чтобы избежать заполнения хранилища в будущем:

1. Перейдите в раздел Ресурсы и выберите Хранилище.
2. Уменьшите срок хранения событий.
3. Перезапустите сервисы хранилища.

Изменения применятся в течение часа.

Вы можете выбрать способ сбора журналов Kaspersky Security Center (далее KSC), исходя из ваших предпочтений:

• сбор из БД не требует дополнительной лицензии;
• сбор в формате CEF требует лицензию Расширенный и выше для KSC;
• сбор syslog требует долгой настройки как на стороне KSC, так и на стороне нормализатора.

Полный список поддерживаемых источников событий и нормализаторов KUMA смотрите в справке.

Чтобы обратиться к полю Extra, воспользуйтесь шаблоном:

Компоненты KUMA версии 2.1 и выше могут подключаться к серверу за NAT. Чтобы настроить подключение, при установке компонентов укажите дополнительные параметры:

--advertise.api.port string API port to be reported to Core
--advertise.fqdn string FQDN to be reported to Core

В корреляции вы можете обратиться к следующим служебным полям активного листа:

• _count — счетчик количества записей;
• _created — время создания записи UnixTime, в наносекундах;
• _updated — время обновления записи UnixTime, в наносекундах;
• _expires — время окончания жизни записи UnixTime, в наносекундах;
• _key — значение ключевой записи.

Вы можете задать время в теле запроса, указав в блоке period параметры from и to.

Для стандарта UTC задайте время в формате YYYY-MM-DDThh:mm:ssZ. Например, 2022-12-08T17:30:00Z.

При необходимости вы можете указать часовой пояс в формате +/-hh:mm без пробела после времени и литеры Z. Например, 2022-12-08T17:30:00+03:00.

Ошибка возникает, если для выполнения запроса не хватает оперативной памяти.

По умолчанию объем оперативной памяти для выполнения запроса составляет 10 ГБ. Чтобы увеличить объем оперативной памяти:

1. Рассчитайте объем оперативной памяти в битах по формуле * 0.8. Например, если на сервере установлено 55 Гб RAM, значение параметра будет 55 ГБ * 0,8 = 44 Гб, или 4294967296 байт.
2. Добавьте в секцию Переопределение параметров ClickHouse конфигурацию:

   <profiles>
   <default>
   <max_memory_usage>4294967296</max_memory_usage>
   </default>
   </profiles>
   

3. Перезагрузите все узлы хранилища.

Порты ниже 1024 в Linux считаются системными и не могут быть использованы сервисами KUMA по умолчанию.

Чтобы настроить прослушивание портов ниже 1024:

1. Перейдите к файлу с описанием сервиса KUMA, который будет использовать порт, по пути:
   /usr/lib/systemd/system/kuma-<сервис>-<идентификатор сервиса>
   Идентификатор сервиса можно скопировать в веб-интерфейсе KUMA.
   Пример пути для коллектора:
   /usr/lib/systemd/system/kuma-collector-<идентификатор нужного коллектора>
2. Отредактируйте файл: добавьте ниже тега [Service] значение:
   AmbientCapabilities=CAP_NET_BIND_SERVICE
3. Выполните команду для обновления параметров сервиса:
   systemctl daemon-reload
4. Перезапустите сервис с помощью команды:
   systemctl restart kuma-collector-<идентификатор коллектора>.service