Создание коллектора

Вы можете создать коллектор в веб-интерфейсе Kaspersky SIEM одним из следующих способов:

• В разделе Ресурсы нажмите Подключить источник.
• В разделе Ресурсы → Коллекторы нажмите Создать.

Создание коллектора состоит из следующих этапов:

Подключение источников событий

1. В разделе Подключение источников на вкладке Основные параметры заполните следующие поля:
   1. В поле Название коллектора введите уникальное имя коллектора. Название должно содержать от 1 до 128 символов в кодировке Unicode.

      При создании некоторых типов коллекторов вместе с ними автоматически создаются агенты, имеющие название agent: <Название коллектора>, auto created. Если такой агент уже создавался ранее и не был удален, то коллектор с названием <Название коллектора> невозможно будет создать. В этом случае необходимо или указать другое название коллектора, или удалить ранее созданный агент.

   2. В раскрывающемся списке Тенант выберите тенант, которому будет принадлежать коллектор. От выбора тенанта зависит, какие ресурсы будут доступны при его создании.

      Если при создании коллектора вы вернетесь в раздел Подключение источников и выберите другой тенант, вам потребуется вручную изменить все ресурсы, которые вы успели добавить в сервис. В сервис можно добавлять только ресурсы из выбранного и Общего тенантов.

   3. В поле Обработчики при необходимости укажите количество обработчиков, которые коллектор может запускать одновременно для параллельной обработки событий. Укажите целое положительное число от 0 до 999. Если указано 0, то используется число логических ядер CPU.
   4. В поле Описание можно добавить описание коллектора: до 256 символов в кодировке Unicode.
2. На вкладке Дополнительные параметры заполните следующие поля:
   1. При необходимости с помощью переключателя Отладка включите логирование операций сервиса. Сообщения об ошибках сервиса коллектора помещаются в журнал, даже если режим отладки выключен. Журнал можно просмотреть на машине, где установлен коллектор, в директории /opt/kaspersky/kuma/collector/<идентификатор коллектора>/log/collector.
   2. Переключатель Периодическое создание дампа используется по запросу Службы технической поддержки для генерации отчетов по потреблению ресурсов (cpu, ram и других) в виде дампов.
   3. В поле Настройки дампа вы можете указать параметры создания дампа. Порядок заполнения этого поля уточняйте в Службе технической поддержки.

Добавление коннектора

1. В разделе Транспорт на вкладке Основные параметры в раскрывающемся списке Коннектор выберите нужный коннектор или создайте новый, нажав Создать.

   Если вы выбрали коннектор из списка, то в разделе Транспорт отобразятся параметры выбранного коннектора.

2. Если вы нажали Создать, раскрывающемся списке Тип выберите тип коннектора и укажите его параметры на вкладках Основные параметры и Дополнительные параметры. Набор доступных параметров зависит от выбранного типа коннектора:
   • internal
   • tcp
   • udp
   • netflow
   • sflow
   • nats-jetstream
   • kafka
   • http
   • sql
   • file
   • 1c-log
   • 1c-xml
   • diode
   • ftp
   • nfs
   • wmi
   • wec
   • etw
   • snmp
   • snmp-trap
   • kata\edr
   • vmware
   • elastic
   • office365
   • dfi
   • universalAPI
   • smb

   При использовании типа коннектора tcp или udp на этапе добавления нормализатора в поле событий DeviceAddress, если оно пустое, будут записаны IP-адреса устройств, с которых были получены события.

   При использовании типа коннектора wmi, wec или etw будут автоматически созданы агенты для приема событий Windows.

   Рекомендуется использовать кодировку по умолчанию (то есть UTF-8) и применять другие параметры только при получении в полях событий битых символов.

   Для настройки коллекторов KUMA на прослушивание портов с номерами меньше 1000 сервис нужного коллектора необходимо запускать с правами root. Для этого после установки коллектора в его конфигурационный файл systemd в раздел [Service] требуется добавить строку:

   AmbientCapabilities=CAP_NET_BIND_SERVICE

   Systemd-файл располагается в директории /usr/lib/systemd/system/kuma-collector-<идентификатор коллектора>.service.

   Коннектор добавлен в набор ресурсов коллектора. Созданный коннектор доступен только в этом наборе ресурсов и не отображается в разделе веб-интерфейса Ресурсы → Коннекторы.

Добавление нормализатора

1. В разделе Парсинг событий на вкладке Схема парсинга нажмите на кнопку + Добавить парсинг событий.
2. Если вы хотите создать нормализатор в виде отдельного ресурса, установите флажок Сохранить нормализатор. Если флажок установлен, нормализатор будет доступен для выбора в других коллекторах тенанта. По умолчанию флажок снят.
3. В поле Название введите уникальное имя нормализатора. Максимальная длина имени: до 128 символов в кодировке Unicode.
   1. В раскрывающемся списке Метод парсинга выберите тип получаемых событий. В зависимости от выбранного значения вы можете использовать преднастроенные правила сопоставления полей событий или указать правила вручную. При выборе определенных методов парсинга могут стать доступны дополнительные параметры, для которых вам нужно указать значения.

      Доступные методы парсинга:

      json

      Этот метод парсинга используется для обработки данных в формате JSON, в которых каждый объект, включая его вложенные объекты, занимает одну строку файла.

      При обработке файлов с иерархически выстроенными данными вы можете обращаться к полям вложенных объектов, указывая названия параметров поочередно через точку. Например, к параметру username из строки "user":{"username":"system:node:example-01"} можно обратиться с помощью запроса user.username.

      Файлы обрабатываются построчно. Многострочные объекты с вложенными структурами могут быть нормализованы неправильно.

      В сложных схемах нормализации, где используются дополнительные нормализаторы, все вложенные объекты обрабатываются на первом уровне нормализации за исключением случаев, когда условия дополнительной нормализации не заданы и обрабатываемое событие целиком передается в дополнительный нормализатор.

      В качестве разделителя строк вы можете использовать символы \n и \r\n. Строки должны быть в кодировке UTF-8.

      Если вы хотите передавать сырое событие для дополнительной нормализации, на каждом уровне вложенности в окне Дополнительный парсинг события в раскрывающемся списке Использовать сырое событие выберите Да.

      cef

      Этот метод парсинга используется для обработки данных в формате CEF.

      При выборе этого метода парсинга вы можете использовать преднастроенные правила преобразования событий в формат KUMA, нажав на кнопку Применить сопоставление по умолчанию.

      regexp

      Этот метод парсинга используется для создания собственных правил обработки данных в формате с использованием регулярных выражений.

      Вам нужно добавить регулярное выражение (синтаксис RE2) c именованными группами захвата в поле блока параметров Нормализация. Имя группы захвата и ее значение будут считаться полем и значением сырого события, которое можно будет преобразовать в поле события формата KUMA.

      Чтобы добавить правила обработки событий:

      1. При необходимости в поле Примеры событий скопируйте пример данных, которые вы хотите обработать. Мы рекомендуем выполнить этот шаг.

         Вы также можете сгенерировать регулярные выражения на основе добавленных примеров по кнопке Сгенерировать регулярное выражение с помощью KIRA. В этом случае сгенерированные регулярные выражения автоматически добавятся в блок параметров Нормализация.

      2. В поле блока параметров Нормализация добавьте регулярное выражение c именованными группами захвата в синтаксисе RE2, например "(?P<name>regexp)". Регулярное выражение, добавленное в поле блока параметров Нормализация, должно полностью совпадать с событием. При разработке регулярного выражения рекомендуется использовать специальные символы, обозначающие начало и конец текста: ^, $.

         Вы можете добавить несколько регулярных выражений или удалить регулярные выражения. Для добавления регулярного выражения нажмите на кнопку Добавить регулярное выражение. Для удаления регулярного выражения нажмите рядом с ним на значок удаления .

      3. Нажмите на кнопку Перенести названия полей в таблицу.

         Имена групп захвата отображаются в столбце Поле KUMA таблицы Сопоставление. Вы можете выбрать соответствующее группе захвата поле KUMA в столбце напротив каждой группы захвата. Если вы именовали группы захвата в соответствии с форматом CEF, вы можете использовать автоматическое сопоставление CEF, установив флажок Использовать синтаксис CEF при нормализации.

      Правила обработки событий будут добавлены.

      syslog

      Этот метод парсинга используется для обработки данных в формате syslog.

      При выборе этого метода парсинга вы можете использовать преднастроенные правила преобразования событий в формат KUMA, нажав на кнопку Применить сопоставление по умолчанию.

      Для парсинга событий в формате rfc5424 с секцией structured-data вам нужно в раскрывающемся списке Сохранить дополнительные поля выбрать Да. В этом случае значения из секции structured-data станут доступны в полях Extra.

      csv

      Этот метод парсинга используется для создания собственных правил обработки данных в формате CSV.

      При выборе этого метода парсинга вам нужно в поле Разделитель указать разделитель значений в строке. В качестве разделителя значений в строке можно использовать любой однобайтовый символ ASCII.

      kv

      Этот метод парсинга используется для обработки данных в формате ключ-значение. Доступные параметры метода парсинга описаны в таблице ниже.

      Доступные параметры метода парсинга

      Параметр	Описание
      Разделитель пар	Символ для разделения пар ключ-значение. Вы можете указать любое односимвольное (1 байт) значение. Указанное значение не должно совпадать со значением, указанным в поле Разделитель значений.
      Разделитель значений	Символ для разделения ключа и значения. Вы можете указать любое односимвольное (1 байт) значение. Указанное значение не должно совпадать со значением, указанным в поле Разделитель пар.

      xml

      Этот метод парсинга используется для обработки данных в формате XML, в которых каждый объект, включая вложенные объекты, занимает одну строку файла. Файлы обрабатываются построчно.

      Если вы хотите передавать сырое событие для дополнительной нормализации, на каждом уровне вложенности в окне Дополнительный парсинг события в раскрывающемся списке Использовать сырое событие выберите Да.

      При выборе этого метода парсинга вы можете указать ключевые атрибуты XML, которые требуется извлекать из тегов, в блоке параметров Атрибуты XML. Если в структуре XML в одном теге есть атрибуты XML с разными значениями, вы можете определить значение, указав ключ к значению в столбце Исходные данные таблицы Сопоставление.

      Чтобы добавить ключевые атрибуты XML:

      1. Нажмите на кнопку + Добавить поле.
      2. В открывшемся окне укажите путь к атрибуту XML.

      Вы можете добавить несколько атрибутов XML и удалить атрибуты XML. Для удаления отдельного атрибута XML нажмите рядом с ним на значок удаления . Для удаления всех атрибутов XML нажмите на кнопку Сбросить.

      Если ключевые атрибуты XML не указаны, при сопоставлении полей уникальный путь к значению XML будет представлен последовательностью тегов.

      Нумерация тегов

      Начиная с версии KUMA 2.1.3 доступна автоматическая нумерация тегов в событиях в формате XML. Это позволяет распарсить событие с одинаковыми тегами или неименованными тегами, такими как <Data>.

      В качестве примера мы используем нумерацию тегов атрибута EventData события Microsoft Windows PowerShell event ID 800.

      Посмотреть события Microsoft Windows PowerShell event ID 800

      <Event xmlns="http://schemas .microsoft.com/win/2004/08/events/event">

      <System>

      <Provider Name="Microsoft-Windows-ActiveDirectory_DomainService" Guid="{0e8478c5-3605-4e8c-8497-1e730c959516}" EventSourceName="NTDS" />

      <EventID Qualifiers="0000">0000</EventID>

      <Version>@</Version>

      <Level>4</Level>

      <Task>15</Task>

      <Opcode>0</Opcode>

      <Keywords >0x8080000000000000</Keywords>

      <TimeCreated SystemTime="2000-01-01T00:00:00.659495900Z" />

      <EventRecordID>55647</EventRecordID>

      <Correlation />

      <Execution ProcessID="1" ThreadID="1" />

      <Channel>service</Channel>

      <Computer>computer</Computer>

      <Security UserID="0000" />

      </System>

      <EventData>

      <Data>583</Data>

      <Data>36</Data>

      <Data>192.168.0.1:5084</Data>

      <Data>level</Data>

      <Data>name, lDAPDisplayName</Data>

      <Data />

      <Data>5545</Data>

      <Data>3</Data>

      <Data>0</Data>

      <Data>0</Data>

      <Data>0</Data>

      <Data>15</Data>

      <Data>none</Data>

      </EventData>

      </Event>

      Для парсинга событий с одинаковыми тегами или неименованными тегами вам нужно настроить нумерацию тегов и маппинг данных для пронумерованных тегов с полями события KUMA.

      KUMA 3.0.x поддерживает одновременное использование атрибутов XML и нумерации тегов в рамках одного экстранормализатора. Если атрибут XML содержит неименованные теги или одинаковые теги, мы рекомендуем использовать нумерацию тегов. Если атрибут XML содержит только именованные теги, мы рекомендуем использовать атрибуты XML.

      Для использования атрибутов XML и нумерации тегов в экстранормализаторах вам нужно последовательно включить параметр Использовать сырое событие в каждом экстранормализаторе по пути следования события в целевой экстранормализатор и в целевом экстранормализаторе.

      В качестве примера работы нумерации тегов вы можете обратиться к нормализатору MicrosoftProducts. Параметр Использовать сырое событие включен последовательно в экстранормализаторах AD FS и 424.

      Чтобы настроить парсинг событий с неименованными или одинаковыми тегами:

      1. Откройте существующий или создайте новый нормализатор.
      2. В окне нормализатора Основной парсинг событий в раскрывающемся списке Метод парсинга выберите xml.
      3. В поле Нумерация тегов нажмите на кнопку + Добавить поле.
      4. В отобразившемся поле укажите полный путь к тегу, элементам которого требуется присвоить порядковый номер, например Event.EventData.Data. Первому тегу будет присвоен номер 0. Если тег пустой, например <Data />, ему также будет присвоен порядковый номер.
      5. Для настройки маппинга данных в группе параметров Сопоставление нажмите на кнопку + Добавить строку и выполните следующие действия:
         1. В отобразившейся строке в поле Исходные данные укажите полный путь к тегу и индекс тега. Например, для события Microsoft Windows PowerShell event ID 800 из примера выше полные пути к тегам и индексы тегов будут выглядеть следующим образом:
            • Event.EventData.Data.0
            • Event.EventData.Data.1
            • Event.EventData.Data.2
         2. В раскрывающемся списке Поле KUMA выберите поле в событии KUMA, в которое попадет значение из пронумерованного тега после выполнения парсинга.
      6. Сохраните изменения одним из следующих способов:
         • Если вы создали новый нормализатор, нажмите на кнопку Сохранить.
         • Если вы изменили существующий нормализатор, в коллекторе, к которому привязан нормализатор, нажмите на кнопку Обновить параметры.

      Настройка парсинга будет завершена.

      netflow

      Этот метод парсинга используется для обработки данных во всех поддерживаемых форматах на основе протокола NetFlow: NetFlow v5, NetFlow v9 и IPFIX.

      При выборе этого метода парсинга вы можете использовать преднастроенные правила преобразования событий в формат KUMA, нажав на кнопку Применить сопоставление по умолчанию. При этом будут учтены исходные поля всех версий NetFlow (NetFlow v5, NetFlow v9 и IPFIX).

      Если метод парсинга netflow выбран для основного парсинга, дополнительная нормализация недоступна.

      В правилах сопоставления по умолчанию для метода парсинга netflow в полях событий KUMA не указывается тип протокола. При парсинге данных в формате NetFlow на вкладке нормализатора Обогащение вам нужно создать правило обогащения данных типа constant, добавляющее значение netflow в целевое поле DeviceProduct.

      netflow5

      Этот метод парсинга используется для обработки данных в формате NetFlow v5.

      При выборе этого метода парсинга вы можете использовать преднастроенные правила преобразования событий в формат KUMA, нажав на кнопку Применить сопоставление по умолчанию. Если метод парсинга netflow5 выбран для основного парсинга, дополнительная нормализация недоступна.

      В правилах сопоставления по умолчанию для метода парсинга netflow5 в полях событий KUMA не указывается тип протокола. При парсинге данных в формате NetFlow на вкладке нормализатора Обогащение вам нужно создать правило обогащения данных типа constant, добавляющее значение netflow в целевое поле DeviceProduct.

      netflow9

      Этот метод парсинга используется для обработки данных в формате NetFlow v9.

      При выборе этого метода парсинга вы можете использовать преднастроенные правила преобразования событий в формат KUMA, нажав на кнопку Применить сопоставление по умолчанию. Если метод парсинга netflow9 выбран для основного парсинга, дополнительная нормализация недоступна.

      В правилах сопоставления по умолчанию для метода парсинга netflow9 в полях событий KUMA не указывается тип протокола. При парсинге данных в формате NetFlow на вкладке нормализатора Обогащение вам нужно создать правило обогащения данных типа constant, добавляющее значение netflow в целевое поле DeviceProduct.

      sflow5

      Этот метод парсинга используется для обработки данных в формате sflow5.

      При выборе этого метода парсинга вы можете использовать преднастроенные правила преобразования событий в формат KUMA, нажав на кнопку Применить сопоставление по умолчанию. Если метод парсинга sflow5 выбран для основного парсинга, дополнительная нормализация недоступна.

      ipfix

      Этот метод парсинга используется для обработки данных в формате IPFIX.

      При выборе этого метода парсинга вы можете использовать преднастроенные правила преобразования событий в формат KUMA, нажав на кнопку Применить сопоставление по умолчанию. Если метод парсинга ipfix выбран для основного парсинга, дополнительная нормализация недоступна.

      В правилах сопоставления по умолчанию для метода парсинга ipfix в полях событий KUMA не указывается тип протокола. При парсинге данных в формате NetFlow на вкладке нормализатора Обогащение вам нужно создать правило обогащения данных типа constant, добавляющее значение netflow в целевое поле DeviceProduct.

      sql

      Нормализатор использует этот метод парсинга для обработки данных, полученных с помощью выборки из базы данных.

      Этот метод парсинга становится доступным, только если в разделе Транспорт вы добавили коннектор с типом sql.

      normalizer

      Этот метод парсинга позволяет переиспользовать ранее созданный нормализатор в качестве основного или дополнительного для обработки событий.

      При выборе этого метода парсинга вам нужно в раскрывающемся списке Нормализатор выбрать один из ранее созданных нормализаторов с типом json, cef, regexp, syslog, csv, kv, xml или sql. Нормализаторы с методом парсинга normalizer недоступны для выбора.

   2. В раскрывающемся списке Сохранить исходное событие выберите, требуется ли сохранять исходное сырое событие в повторно созданном нормализованном событии:
      • Не сохранять – не сохранять исходное событие. Это значение выбрано по умолчанию.
      • При возникновении ошибок – сохранять исходное событие в поле Raw нормализованного события, если в процессе парсинга возникли ошибки. Вы можете использовать это значение при отладке сервиса. В этом случае появление у событий непустого поля Raw будет являться признаком неполадок.
      • Всегда – сохранять сырое событие в поле Raw нормализованного события.
   3. В раскрывающемся списке Сохранить дополнительные поля выберите, требуется ли сохранять поля исходного события в нормализованном событии, если для них не было настроено сопоставление:

      Это поле недоступно, если в поле Метод парсинга выбрано значение normalizer.

      • Нет. Это значение выбрано по умолчанию.
      • Да. Поля исходного события сохраняются в поле Extra нормализованного события.
   4. При необходимости в поле Примеры событий укажите пример данных, которые вы хотите обработать. Мы рекомендуем выполнить этот шаг.

      Это поле недоступно, если в поле Метод парсинга выбрано значение normalizer.

      Вы можете добавить несколько примеров событий. Каждый новый пример нужно указывать с новой строки. При этом в таблице Сопоставление его результат парсинга отобразится в столбце Примеры. Это позволяет проверить правильность сопоставления полей для разных типов входящих событий.

      Ограничения при парсинге примеров событий

      При парсинге примеров данных, указанных в поле Примеры событий, в дополнительном нормализаторе не учитываются следующие параметры:

      • обогащение, настроенное в корневом нормализаторе;
      • фильтры, заданные в дополнительном нормализаторе;
      • значение параметра Использовать сырое событие;
      • преобразования в корневом нормализаторе;
      • преобразования для значения параметра Поле, которое следует передать в нормализатор.
4. В блоке параметров Сопоставление настройте сопоставление полей исходного события с полями событий KUMA:
   1. Нажмите на кнопку + Добавить строку.

      Вы можете добавить несколько строк таблицы или удалить строки таблицы. Для удаления строки таблицы установите рядом с ней флажок и нажмите на кнопку Удалить.

   2. В столбце Исходные данные укажите название поля исходного события, которое вы хотите сопоставить с полем события KUMA.

      Подробнее о формате названий полей см. в статье Модель данных нормализованного события. Описание сопоставления см. в статье Сопоставление полей предустановленных нормализаторов.

      Если вы хотите создать правила изменения полей исходного события перед записью в поля событий KUMA, нажмите на значок настройки () рядом с названием поля и в открывшемся окне Преобразование нажмите на кнопку + Добавить преобразование. Вы можете изменить порядок правил и удалить правила. Для изменения порядка правил используйте значки изменения порядка (). Для удаления правила нажмите рядом с ним на значок удаления ().

      Доступные преобразования

      Преобразования – это изменения, которые применяются к значению перед записью в поле события.

      Вы можете выбрать в раскрывающемся списке один из следующих типов преобразования:

      • entropy – используется для преобразования значения исходного поля с помощью функции вычисления информационной энтропии и помещения результата преобразования в целевое поле типа float. Результатом преобразования будет число. Показатель вычисления информационной энтропии позволяет выявлять DNS-туннели и компрометацию паролей, например, когда пользователь ввел пароль вместо логина и пароль записывается в журнал в открытом виде.
      • lower – используется для перевода всех символов значения в нижний регистр.
      • upper – используется для перевода всех символов значения в верхний регистр.
      • regexp – используется для преобразования значения с помощью указанного регулярного выражения RE2. При выборе этого типа преобразования отображается поле, в котором вам нужно указать регулярное выражение RE2.
      • substring – используется для извлечения символов в указанном диапазоне позиций. При выборе этого типа преобразования отображаются поля Начало и Конец, в которых вам нужно указать диапазон позиций.
      • replace – используется для замены указанной последовательности символов на другую последовательность символов. При выборе этого типа преобразования отображаются следующие поля:
        • Символы на замену – последовательность символов, которую требуется заменить.
        • Чем заменить – последовательность символов, которую требуется использовать вместо заменяемой последовательности символов.
      • trim – используется для удаления указанных символов одновременно с начала и с конца значения поля события. При выборе этого типа преобразования отображается поле Символы, в котором вам нужно указать символы. Например, если для значения Microsoft-Windows-Sysmon требуется выполнить преобразование trim со значением Micromon, новым значением будет soft-Windows-Sys.
      • append – используется для добавления указанных символов в конец значения поля события. При выборе этого типа преобразования отображается поле Константа, в котором вам нужно указать символы.
      • prepend – используется для добавления указанных символов к началу значения поля события. При выборе этого типа преобразования отображается поле Константа, в котором вам нужно указать символы.
      • replace with regexp – используется для замены результатов регулярного выражения RE2 на указанную последовательность символов. При выборе этого типа преобразования отображаются следующие поля:
        • Выражение – регулярное выражение RE2, результаты которого требуется заменить.
        • Чем заменить – последовательность символов, которую требуется использовать вместо заменяемой последовательности символов.
      • Конвертация закодированных строк в текст:
        • decodeHexString – используется для конвертации HEX-строки в текст.
        • decodeBase64String – используется для конвертации Base64-строки в текст.
        • decodeBase64URLString – используется для конвертации Base64url-строки в текст.
        • unicodeUnescape – используется для конвертации Unicode-строки в текст.

        При конвертации поврежденной строки или при ошибках конвертации в поле события могут быть записаны поврежденные данные.

        При обогащении событий, если длина закодированной строки превышает размер поля нормализованного события, строка будет обрезана и не будет раскодирована.

        Если длина раскодированной строки превышает размер поля события, в которое должно быть помещено раскодированное значение, строка будет обрезана до размера этого поля события.

        Мы не рекомендуем использовать несколько дополнительных нормализаторов для последовательного преобразования одного и того же поля. Результат одного преобразования, выполненного дополнительным нормализатором, не используется как входные данные для следующего. В итоговое событие записывается значение, полученное в допонительном нормализаторе, который первым выполнил обогащение этого поля.

      • Преобразование формата IP-адреса в IPv4:
        • ipDecimalToDotted – используется для преобразования IP-адреса в формате десятичного числа в IP-адрес в формате IPv4, в котором октеты разделены точками.
        • ipHexToDotted – используется для преобразования IP-адреса в формате шестнадцатиричного числа в IP-адрес в формате IPv4, в котором октеты разделены точками.
      • hexToDecimal – используется для преобразования числового значения, представленного в шестнадцатеричной системе счисления, в десятичный формат. Преобразование применяется к строковым или числовым полям, содержащим HEX-значения (включая префикс 0x, если он присутствует), и результат записывается в целевое поле события KUMA в виде целого числа.

        Результатом преобразования является число в десятичной системе, например исходное значение – 0x00FF, после преобразования – 255.

      Если в разделе Транспорт вы добавили коннектор с типом file, вы можете передать в поле события KUMA название обрабатываемого коллектором файла или путь к файлу. Для этого в столбце Исходные данные укажите одно из следующих значений:

      Передать в поле события KUMA название обрабатываемого коллектором файла

      $kuma_fileSourceName

      Передать в поле события KUMA путь к обрабатываемому коллектором файлу

      $kuma_fileSourcePath

      Когда вы используете коннектор с типом file, новые переменные в нормализаторе будут работать только с точками назначения с типом internal.

   3. В столбце Поле KUMA в раскрывающемся списке выберите поле события KUMA. Вы можете найти поле события KUMA, введя его названия. Если название поля события KUMA начинается с DeviceCustom* и Flex*, при необходимости в поле Подпись укажите уникальную пользовательскую метку.

      Если вы хотите, чтобы KUMA могла выполнить обогащение событий данными об активах и данные об активах были доступны в карточке алерта при срабатывании корреляционного правила, в таблице Сопоставление вам нужно настроить сопоставление полей для адреса хоста и имени хоста в зависимости от назначения актива. Например, вы можете настроить сопоставление для полей событий KUMA SourceAddress и SourceHostName, или DestinationAddress и DestinationHostName. В результате обогащения в карточке события появится поле события KUMA SourceAssetID или DestinationAssetID и ссылка, по которой можно будет перейти в карточку актива. В результате обогащения сведения об активе также будут доступны в карточке алерта.

      Если вы загрузили данные в поле Примеры событий, в таблице отобразится столбец Примеры с примерами значений, переносимых из поля исходного события в поле события KUMA.

      Таблица Сопоставление недоступна, если в поле Метод парсинга выбрано значение normalizer.

5. Если вы хотите добавлять дополнительные данные в созданные нормализованные события, создайте в нормализаторе правила обогащения, выполнив следующие действия:
   1. Перейдите на вкладку Обогащение.

      Вкладка Обогащение недоступна, если на вкладке Схема нормализации в поле Метод парсинга выбрано значение normalizer.

   2. Нажмите на кнопку + Добавить обогащение.

      Отобразится блок параметров правила обогащения. Вы можете добавить несколько правил обогащения или удалить правила обогащения. Для удаления правила обогащения нажмите рядом с ним на значок удаления ().

   3. В раскрывающемся списке Исходный тип выберите тип источника обогащения. При выборе определенных типов источника обогащения могут стать доступны дополнительные параметры, для которых вам нужно указать значения.

      Доступные типы источников обогащения:

      константа

      Этот тип обогащения используется, если в поле события необходимо добавить константу. Параметры этого типа обогащения описаны в таблице ниже.

      Параметры типа обогащения "константа"

      Параметр	Описание
      Константа	Значение, которое требуется добавить в поле события. Максимальная длина значения – до 255 символов в кодировке Unicode. Если оставить поле пустым, существующее значение поля события будет удалено.
      Целевое поле	Поле события, в которое требуется поместить данные.

      Если вы используете функции обогащения событий для полей расширенной схемы с типом Строка, Число или Число с плавающей точкой с помощью константы, в поле будет добавлена константа.

      Если вы используете функции обогащения событий для полей расширенной схемы с типом Массив строк, Массив чисел или Массив чисел с плавающей точкой с помощью константы, константа будет добавлена к элементам массива.

      словарь

      Этот тип обогащения используется, если в поле события необходимо добавить значение из словаря типа Словарь. Параметры этого типа обогащения описаны в таблице ниже.

      Параметры типа обогащения "словарь"

      Параметр	Описание
      Название словаря	Словарь, из которого будут браться значения.
      Ключевые поля	Поля событий, значения которых будут использоваться для выбора записи словаря. Для добавления поля события нажмите на кнопку Добавить поле. Вы можете добавить несколько полей событий.

      Если вы используете обогащение событий, у которого в качестве параметра Тип источника данных выбрано значение словарь, а в параметре Ключевые поля обогащения указано поле-массив, при передаче массива в качестве ключа словаря массив будет сериализован в строку в соответствии с правилами сериализации одного значения в формате TSV.

      Пример. В параметре Ключевые поля обогащения используется поле расширенной схемы SA.StringArrayOne. В поле расширенной схемы SA.StringArrayOne находятся значения "a", "b", "c". В качестве ключа в словарь будут переданы значения ['a','b','c'].

      Если в параметре Ключевые поля обогащения используется поле-массив расширенной схемы и обычное поле схемы событий, значения полей при обращении в словарь будут разделены символом |.

      Пример. В параметре Ключевые поля обогащения используется поле расширенной схемы SA.StringArrayOne и строковое поле Code. В поле расширенной схемы SA.StringArrayOne находятся значения "a", "b", "c", а строковое поле Code содержит последовательность символов myCode. В качестве ключа в словарь будут переданы значения ['a','b','c']|myCode.

      таблица

      Этот тип обогащения используется, если в поле события необходимо добавить значение из словаря типа Таблица. Параметры этого типа обогащения описаны в таблице ниже.

      Параметры типа обогащения "таблица"

      Параметр	Описание
      Название словаря	Словарь, из которого будут браться значения.
      Ключевые поля	Поля событий, значения которых будут использоваться для выбора записи словаря. Для добавления поля события нажмите на кнопку Добавить поле. Вы можете добавить несколько полей событий.
      Сопоставление	Поля событий для передачи данных: Поле словаря – поля словаря, из которых будут передаваться данные. Доступные поля зависят от выбранного ресурса словаря. Поле KUMA – поля событий, в которые будут передаваться данные. Для выбранных полей (*custom* и *flex*) в столбце Подпись вы можете задать название для помещаемых данных.

      Первое поле в таблице (Поле словаря) считается ключом, с которым будут сопоставляться поля, выбранные из события в качестве ключевых (Поле KUMA). В качестве ключа в Поле словаря вам нужно выбрать индикатор компрометации, по которому будет осуществляться обогащение, например IP-адрес, URL-адрес или хеш. В правиле необходимо выбрать поле события, соответствующее выбранному индикатору в поле словаря.

      Если вы хотите выбрать несколько ключевых полей, вы можете указать их через разделитель | (при указании через веб-интерфейс или импорте через CSV-файл), например <IP-адрес>|<имя пользователя>.

      Вы можете добавлять новые строки таблицы и удалять строки таблицы. Для добавления новой строки таблицы нажмите на кнопку Добавить элемент. Для удаления строки таблицы нажмите на крестик .

      событие

      Этот тип обогащения используется, если в поле события необходимо записать значение другого поля события. Доступные параметры типа обогащения описаны в таблице ниже.

      Доступные параметры типа обогащения

      Параметр	Описание
      Целевое поле	Поле события KUMA, в которое требуется поместить данные.
      Исходное поле	Поле события, значение которого будет записано в целевое поле.

      Если вы хотите создать правило для изменения исходных данных перед записью в поля событий KUMA, в блоке параметров Преобразование нажмите на кнопку + Добавить преобразование. В раскрывающемся списке Тип выберите нужный тип преобразования. Вы можете добавить несколько преобразований по кнопке + Добавить преобразование. Чтобы удалить добавленное преобразование, нажмите рядом с ним на значок корзины.

      Доступные преобразования

      Преобразования – это изменения, которые применяются к значению перед записью в поле события.

      Вы можете выбрать в раскрывающемся списке один из следующих типов преобразования:

      • entropy – используется для преобразования значения исходного поля с помощью функции вычисления информационной энтропии и помещения результата преобразования в целевое поле типа float. Результатом преобразования будет число. Показатель вычисления информационной энтропии позволяет выявлять DNS-туннели и компрометацию паролей, например, когда пользователь ввел пароль вместо логина и пароль записывается в журнал в открытом виде.
      • lower – используется для перевода всех символов значения в нижний регистр.
      • upper – используется для перевода всех символов значения в верхний регистр.
      • regexp – используется для преобразования значения с помощью указанного регулярного выражения RE2. При выборе этого типа преобразования отображается поле, в котором вам нужно указать регулярное выражение RE2.
      • substring – используется для извлечения символов в указанном диапазоне позиций. При выборе этого типа преобразования отображаются поля Начало и Конец, в которых вам нужно указать диапазон позиций.
      • replace – используется для замены указанной последовательности символов на другую последовательность символов. При выборе этого типа преобразования отображаются следующие поля:
        • Символы на замену – последовательность символов, которую требуется заменить.
        • Чем заменить – последовательность символов, которую требуется использовать вместо заменяемой последовательности символов.
      • trim – используется для удаления указанных символов одновременно с начала и с конца значения поля события. При выборе этого типа преобразования отображается поле Символы, в котором вам нужно указать символы. Например, если для значения Microsoft-Windows-Sysmon требуется выполнить преобразование trim со значением Micromon, новым значением будет soft-Windows-Sys.
      • append – используется для добавления указанных символов в конец значения поля события. При выборе этого типа преобразования отображается поле Константа, в котором вам нужно указать символы.
      • prepend – используется для добавления указанных символов к началу значения поля события. При выборе этого типа преобразования отображается поле Константа, в котором вам нужно указать символы.
      • replace with regexp – используется для замены результатов регулярного выражения RE2 на указанную последовательность символов. При выборе этого типа преобразования отображаются следующие поля:
        • Выражение – регулярное выражение RE2, результаты которого требуется заменить.
        • Чем заменить – последовательность символов, которую требуется использовать вместо заменяемой последовательности символов.
      • Конвертация закодированных строк в текст:
        • decodeHexString – используется для конвертации HEX-строки в текст.
        • decodeBase64String – используется для конвертации Base64-строки в текст.
        • decodeBase64URLString – используется для конвертации Base64url-строки в текст.
        • unicodeUnescape – используется для конвертации Unicode-строки в текст.

        При конвертации поврежденной строки или при ошибках конвертации в поле события могут быть записаны поврежденные данные.

        При обогащении событий, если длина закодированной строки превышает размер поля нормализованного события, строка будет обрезана и не будет раскодирована.

        Если длина раскодированной строки превышает размер поля события, в которое должно быть помещено раскодированное значение, строка будет обрезана до размера этого поля события.

        Мы не рекомендуем использовать несколько дополнительных нормализаторов для последовательного преобразования одного и того же поля. Результат одного преобразования, выполненного дополнительным нормализатором, не используется как входные данные для следующего. В итоговое событие записывается значение, полученное в допонительном нормализаторе, который первым выполнил обогащение этого поля.

      • Преобразование формата IP-адреса в IPv4:
        • ipDecimalToDotted – используется для преобразования IP-адреса в формате десятичного числа в IP-адрес в формате IPv4, в котором октеты разделены точками.
        • ipHexToDotted – используется для преобразования IP-адреса в формате шестнадцатиричного числа в IP-адрес в формате IPv4, в котором октеты разделены точками.
      • hexToDecimal – используется для преобразования числового значения, представленного в шестнадцатеричной системе счисления, в десятичный формат. Преобразование применяется к строковым или числовым полям, содержащим HEX-значения (включая префикс 0x, если он присутствует), и результат записывается в целевое поле события KUMA в виде целого числа.

        Результатом преобразования является число в десятичной системе, например исходное значение – 0x00FF, после преобразования – 255.

      При использовании обогащения событий, у которых в качестве параметра Тип источника данных выбрано значение событие, а в качестве аргументов используются поля расширенной схемы событий, необходимо учесть следующие особенности:

      • Если исходное поле расширенной схемы событий имеет тип Массив строк, а целевое поле расширенной схемы событий имеет тип Строка, значения будут размещены в целевом поле расширенной схемы событий в формате TSV.

        Пример: в поле расширенной схемы событий SA.StringArray, находятся значения "string1", "string2", "string3". Выполняется операция обогащения событий. Результат выполнения операции обогащения событий заносится в поле расширенной схемы событий DeviceCustomString1. В поле расширенной схемы событий DeviceCustomString1 будут находиться значения ["string1", "string2", "string3"].

      • Если исходное и целевое поля расширенной схемы событий имеют тип Массив строк, значения целевого поля расширенной схемы событий будут дополнены значениями исходного поля расширенной схемы событий, а качестве символа-разделителя будет использован символ ",".

        Пример: в поле расширенной схемы событий SA.StringArrayOne, находятся значения ["string1", "string2", "string3"], а в поле расширенной схемы событий SA.StringArrayTwo находятся значения ["string4", "string5", "string6"]. Выполняется операция обогащения событий. Результат выполнения операции обогащения событий заносится в поле расширенной схемы событий SA.StringArrayTwo. В поле расширенной схемы событий SA.StringArrayTwo будут находиться значения ["string4", "string5", "string6", "string1", "string2", "string3"].

      шаблон

      Этот тип обогащения используется, если в поле события нужно записать значение, полученное при обработке шаблонов Go. Мы рекомендуем сопоставлять значение и размер поля. Параметры этого типа обогащения описаны в таблице ниже.

      Параметры типа обогащения "шаблон"

      Параметр	Описание
      Шаблон	Шаблон Go. Имена полей событий передаются в формате {{.EventField}}, где EventField – это название поля события, значение которого должно быть передано в скрипт, например Атака на {{.DestinationAddress}} со стороны {{.SourceAddress}}.
      Целевое поле	Поле события, в которое требуется поместить данные.

      Если вы используете обогащение событий, у которого в качестве параметра Тип источника данных выбрано значение шаблон, целевым полем является поле с типом Строка, а исходным полем является поле расширенной схемы событий, содержащее массив строк, то в шаблоне может быть использован один из следующих примеров:

      • {{.SA.StringArrayOne}}
      • {{- range $index, $element := . SA.StringArrayOne -}}

        {{- if $index}}, {{end}}"{{$element}}"{{- end -}}

      Для преобразования в шаблоне данных поля массива в формат TSV требуется использовать функцию toString, например:

      template {{toString .SA.StringArray}}

      dns

      Этот тип обогащения используется для отправки запросов на DNS-сервер частной сети для преобразования IP-адресов в доменные имена или наоборот. Преобразование IP-адресов в DNS-имена происходит только для частных адресов: 10.0.0.0/8, 172.16.0.0/12, 192.168.0.0/16, 100.64.0.0/10, fd00::/8.

      Параметры этого типа обогащения описаны в таблице ниже.

      Параметры типа обогащения "dns"

      Параметр	Описание
      URL	URL DNS-сервера, которому вы хотите отправлять запросы. С помощью кнопки Добавить URL можно указать несколько URL. Если параметр URL не указан, то KUMA возьмет список DNS-серверов из файла /etc/resolv.conf, расположенного на локальном хосте. В этом случае вам нужно включить параметр Требуется рекурсия. В противном случае обогащение происходить не будет.
      Запросов в секунду	Максимальное количество запросов к DNS-серверу в секунду. Значение по умолчанию: количество vCPU сервера, на котором установлено Ядро KUMA.
      Обработчики	Количество обработчиков, которые сервис может запускать одновременно для параллельной обработки событий. Укажите целое положительное число от 0 до 999. Если указано 0, то используется число логических ядер CPU. Значение по умолчанию: 1.
      Максимальное число событий в очереди обогащения	Максимальное число событий, сохраняемое в очереди для повторной отправки. Значение по умолчанию: 1 000 000.
      Время ожидания	Время ожидания ответа от DNS-сервера (в секундах). Значение по умолчанию: 5.
      Переопределение режима DNS	Используемый метод преобразования: Только прямое разрешение DNS – доменное имя преобразуется в IP-адрес. Только обратное разрешение DNS – IP-адрес преобразуется в доменное имя. Прямое и обратное DNS-разрешение – доменное имя может преобразовываться в IP-адрес и наоборот.
      Срок жизни кеша	Время жизни значений (в секундах), хранящихся в кеше. Значение по умолчанию: 60 (сек).
      Кеш отключен	Параметр, позволяющий включить или выключить кеширование. По умолчанию кеширование включено.
      Обновление кэша отключено	Если обновление кеша включено, то по истечении срока жизни кеша коллектор отправляет повторные запросы на DNS-сервер для обновления хранящихся в кеше данных. Этот параметр доступен только при включенном кеше. По умолчанию обновление кеша включено.
      Требуется рекурсия	Параметр позволяет включить отправку коллектором рекурсивных запросов к авторитативным DNS-серверам для выполнения обогащения. Значение по умолчанию: Выключено.

      cybertrace

      Для систем с большой нагрузкой на коллектор или коррелятор рекомендуется использовать тип обогащения cybertrace-http. Этот тип обогащения возвращает структурированный ответ в формате JSON и корректно различает строки и массивы пользовательских атрибутов, исключая ошибки парсинга.
      При обогащении с помощью типа cybertrace коллектор получает неструктурированный ответ. Если значение пользовательского атрибута в Kaspersky CyberTrace содержит квадратные скобки, например [str1, str2], Kaspersky SIEM обрабатывает его как массив, а не как строку.

      Этот тип обогащения используется для добавления в поля события сведений из потоков данных Kaspersky CyberTrace. Параметры этого типа обогащения описаны в таблице ниже.

      Параметры типа обогащения "cybertrace"

      Параметр	Описание
      URL	URL сервера Kaspersky CyberTrace, которому вы хотите отправлять запросы. Порт Kaspersky CyberTrace по умолчанию: 9999. Обязательный параметр.
      Количество подключений	Максимальное количество подключений к серверу Kaspersky CyberTrace, которые может одновременно установить Kaspersky SIEM. Значение по умолчанию равно количеству vCPU сервера, на котором установлено Ядро KUMA.
      Запросов в секунду	Максимальное количество запросов к серверу в секунду. Значение по умолчанию: 1000.
      Время ожидания	Время ожидания отклика от сервера Kaspersky CyberTrace в секундах. Значение по умолчанию: 30.
      Максимальное кол-во событий в очереди обогащения	Максимальное количество событий, сохраняемое в очереди для переотправки. Значение по умолчанию: 1 000 000.
      Сопоставление	Таблица сопоставления полей событий с типами индикаторов Kaspersky CyberTrace. В столбце Поле KUMA указаны названия полей событий, а в столбце Индикатор CyberTrace указаны типы индикаторов Kaspersky CyberTrace. Доступные типы индикаторов Kaspersky CyberTrace: ip url hash

      В таблице сопоставления требуется указать как минимум одну строку. Вы можете добавлять новые строки таблицы и удалять строки таблицы. Для добавления новой строки таблицы нажмите на кнопку Добавить строку. Для удаления строки таблицы нажмите на крестик .

      cybertrace-http

      Этот тип потокового обогащения событий в Kaspersky CyberTrace, который позволяет отправлять большое количество событий одним запросом на API-интерфейс CyberTrace. Мы рекомендуем применять тип обогащения cybertrace-http в системах с большим потоком событий. Производительность cybertrace-http превосходит показатели типа обогащения cybertrace.

      Ограничения:

      • Тип обогащения cybertrace-http невозможно использовать для ретроспективного сканирования в KUMA.
      • В случае использования типа обогащения cybertrace-http обнаружения киберугроз не сохраняются в истории Kaspersky CyberTrace в окне Обнаружения.

      Параметры этого типа обогащения описаны в таблице ниже.

      Параметры типа обогащения "cybertrace-http"

      Параметр	Описание
      Тенант	Тенант, в рамках которого вы планируете работать с Kaspersky CyberTrace. Обязательный параметр.
      URL	URL сервера Kaspersky CyberTrace, которому вы хотите отправлять запросы и порт, который использует API CyberTrace. Порт по умолчанию 443. Обязательный параметр.
      Секрет	Раскрывающийся список для выбора секрета, в котором хранятся учетные данные для подключения. Обязательный параметр.
      Время ожидания	Время ожидания отклика от сервера Kaspersky CyberTrace в секундах. Значение по умолчанию: 30.
      Ключевые поля	Список полей событий, используемых для обогащения событий данными из Kaspersky CyberTrace. Обязательный параметр.
      Максимальное кол-во событий в очереди обогащения	Максимальное количество событий, сохраняемое в очереди для переотправки. Значение по умолчанию: 1 000 000. По достижении 1 млн получаемых событий от сервера Kaspersky CyberTrace события перестают обогащаться, пока число получаемых событий не станет меньше 500 тыс.
      Основная версия CyberTrace	Версия Kaspersky CyberTrace. Доступные значения: <5 – запросы будут выполняться в тенанте General в Kaspersky CyberTrace и будут использовать новую версию API, соответствующую Kaspersky CyberTrace 5.0 и выше. ≥ 5.0 – запросы будут использовать версию API, соответствующую Kaspersky CyberTrace 4.x. Значение по умолчанию: <5.
      Отладка	Параметр, включающий логирование ресурса. По умолчанию переключатель выключен.
      Теги	Теги для поиска ресурса.

      часовой пояс

      Этот тип обогащения используется в коллекторах и корреляторах, чтобы присвоить событию определенный часовой пояс. Сведения о часовом поясе могут понадобиться при поиске событий, случившихся в нетипичное время, например ночью.

      При выборе этого типа обогащения в раскрывающемся списке Часовой пояс нужно указать временную зону.

      Убедитесь, что выбираемый часовой пояс установлен на сервере сервиса, использующего обогащение. Например, это можно сделать с помощью команды timedatectl list-timezones, которая показывает все установленные на сервере часовые пояса. Подробнее об установке часовых поясов смотрите в документации используемой вами операционной системы.

      При обогащении события в поле события DeviceTimeZone записывается смещение времени выбранного часового пояса относительно всемирного координированного времени (UTC) в формате +-чч:мм. Например, если выбрать временную зону Asia/Yekaterinburg в поле DeviceTimeZone будет записано значение +05:00. Если в обогащаемом событии есть значение поля DeviceTimeZone, оно будет перезаписано.

      По умолчанию, если в обрабатываемом событии не указан часовой пояс и не настроены правила обогащения по часовому поясу, событию присваивается часовой пояс сервера, на котором установлен сервис (коллектор или коррелятор), обрабатывающий событие. При изменении времени сервера сервис требуется перезапустить.

      Допустимые форматы времени при обогащении поля DeviceTimeZone

      При обработке в коллекторе поступающих сырых событий следующие форматы времени могут быть автоматически приведены к формату +-чч:мм (см. таблицу ниже):

      Формат времени в обрабатываемом событии	Пример
      +-чч:мм	-07:00
      +-ччмм	-0700
      +-чч	-07

      Если формат даты в поле DeviceTimeZone отличается от указанных в таблице, при обогащении события сведениями о часовом поясе в поле записывается часовой пояс серверного времени коллектора. Вы можете создать правила нормализации для нестандартных форматов времени.

      геоданные

      Этот тип обогащения используется для добавления в поля событий сведений о географическом расположении IP-адресов.

      При выборе этого типа в блоке параметров Сопоставление геоданных с полями события укажите, из какого поля события будет считан IP-адрес, а также выберите атрибуты геоданных и определите поля событий, в которые геоданные будут записаны:

      1. В раскрывающемся списке Поле события с IP-адресом выберите поле события, из которого считывается IP-адрес. По этому IP-адресу будет произведен поиск соответствий по загруженным в KUMA геоданным.

         При выборе полей события SourceAddress, DestinationAddress и DeviceAddress становится доступна кнопка Применить сопоставление по умолчанию. С ее помощью можно добавить преднастроенные пары соответствий атрибутов геоданных и полей события.

      2. Для каждого поля события, откуда требуется считать IP-адрес, выберите тип геоданных и поле события, в которое следует записать геоданные.
         • В поле Атрибут геоданных выберите, какие географические сведения, соответствующие считанному IP-адресу, необходимо записать в событие. Доступные атрибуты геоданных: Страна, Регион, Город, Долгота, Широта.
         • В поле Поле события для записи выберите поле события, в которое необходимо записать выбранный атрибут геоданных.

         С помощью кнопки Добавить атрибут геоданных вы можете добавить пары полей Атрибут геоданных – Поле события для записи. Так вы можете настроить запись разных типов геоданных одного IP-адреса в разные поля события.

      3. Для добавления каждого последующего сопоставления используйте кнопку Добавить сопоставление и повторяйте предыдущие два пункта инструкции.

         Вы можете записать одинаковые атрибуты геоданных в разные поля событий. Если вы настроите запись нескольких атрибутов геоданных в одно поле события, событие будет обогащено последним по очереди сопоставлением.

      проверка DLL Hijacking

      DLL Hijacking – это техника атаки, которая заключается в том, что на целевую систему доставляется уязвимое легитимное программное обеспечение вместе с вредоносной динамической библиотекой (DLL). Для обнаружения таких атак Kaspersky SIEM использует модуль AI. Модуль AI анализирует параметры запуска и исполнения программ и определяет подозрительные случаи запуска легитимного программного обеспечения с вредоносными библиотеками.

      Для получения заключения Kaspersky SIEM отправляет запрос с информацией из полей события в <KSN>. В ответ на запрос KSN присылает результат анализа.

      Вы можете настроить обнаружение атак DLL Hijacking в коллекторе или корреляторе.

      Для использования обогащения типа Проверка DLL Hijacking ваша лицензия должна включать в себя модуль AI. Главному администратору также требуется принять дополнительное Положение о KSN в блоке Kaspersky Security Network (Параметры → Интеграции → AI-сервисы → Обнаружение атак DLL Hijacking).

      Параметры этого типа обогащения описаны в таблице ниже.

      Параметры типа обогащения "DLL Hijacking"

      Параметр	Описание
      Обработчики	Количество обработчиков, которые сервис может запускать одновременно для параллельной обработки событий. Укажите целое положительное число от 0 до 999. Если указано 0, то используется число логических ядер CPU.
      Максимальный размер кеша	Максимальный размер кеша для ответов, получаемых из KSN, в мегабайтах. Значение по умолчанию: 128 МБ. Каждый ответ из KSN имеет свое время жизни, в течение которого он хранится в кеше. Если Kaspersky SIEM отправляет повторный запрос по файлу DLL, для которого KSN уже выдал ответ, и время жизни этого ответа еще не истекло, то запрос не отправляется в KSN, а ответ берется из кеша.
      Максимальное количество событий в очереди обогащения	При превышении указанного значения, новые события обрабатываться не будут. Значение по умолчанию: 1 000 000. Значение 0 означает, что при возникновении очереди события перестают обогащаться.
      Выполнять повторный запрос	В ответе KSN может выдать заключение В обработке. Этот заключение означает, что KSN принял запрос и в данный момент обрабатывает его, но заключения пока нет. Обработка может занять длительное время, поэтому требуется повторная отправка запроса. Если этот параметр включен, настройте дополнительные параметры: Создавать дубликаты событий – если этот параметр включен, KUMA создает дубликат события и использует его для повторных запросов к KSN. Основное событие при этом отправляется дальше по потоку. Дубликат события будет записан в базу данных, когда выполнится одно из следующих условий: Из KSN получено заключение, отличное от В обработке. Переполнен дисковый буфер, размер которого указан в параметре Размер буфера. Превышено значение, указанное в параметре Количество запросов. Если этот параметр выключен, KUMA продолжит отправлять запросы с использованием основного события. Событие будет записано в базу данных, когда выполнится одно из следующих условий: Из KSN получено заключение, отличное от В обработке. Переполнен дисковый буфер, размер которого указан в параметре Размер буфера. Превышено значение, указанное в параметре Количество запросов. Количество запросов – максимальное количество запросов в KSN. Если за указанное количество запросов так и не будет получено заключение, отличное от В обработке, событие будет записано в базу данных с заключением В обработке. Значение по умолчанию: 10. Интервал запросов – интервал между запросами, в минутах. Значение по умолчанию: 1 минута. Минимальное значение: 1 минута. Размер буфера – размер дискового буфера, который используется для хранения событий, ожидающих повторного запроса, в мегабайтах. Значение по умолчанию: 10240 МБ. Минимальное значение: 10 МБ.
      Прокси-сервер	Параметры прокси-сервера, если он требуется для подключения к серверу KSN. Можно выбрать один из доступных или создать новый прокси-сервер. По умолчанию прокси-сервер не используется.
      Сопоставление	Таблица параметров, которые нужно отправить в запросе в KSN для получения заключения, и соответствующих полей событий KUMA: Хеш файла DLL (md5) – рекомендованное поле для сопоставления: OldFileHash. Путь до файла DLL – полный путь, включающий имя файла. Рекомендованное поле для сопоставления: OldFilePath. Так как путь может содержать персональные данные, Kaspersky SIEM передает этот параметр в KSN в обезличенном виде. Например: Путь до обезличивания: C:\Windows\Device\HarddiskVolume1\Users\Alex\malware.dll Тот же путь в обезличенном виде: device\harddiskvolume1\users\username Хеш процесса (md5) – рекомендованное поле для сопоставления: FileHash. Путь до процесса – полный путь, включающий имя файла. Так как путь может содержать персональные данные, Kaspersky SIEM передает этот параметр в KSN в обезличенном виде. Например: Путь до обезличивания: C:\Windows\Device\HarddiskVolume1\Users\Alex\malware.dll Тот же путь в обезличенном виде: device\harddiskvolume1\users\username Имя файла DLL – рекомендованное поле для сопоставления: OldFileName. Имя процесса – рекомендованное поле для сопоставления: FileName. Подпись процесса – поле, в котором указывается поле KUMA, которое передает Organization из Subject подписи. Если этих значений нет, подпись стоит оставить пустой. Чтобы добавить этот параметр, нажмите на кнопку Добавить, затем в столбце Поле DLL Hijacking в выпадающем списке выберите подпись процесса.необязательный параметр. Hекомендованное поле для сопоставления: FileID. Размер файла DLL – необязательный параметр; рекомендованное поле для сопоставления: OldFileSize. Чтобы добавить этот параметр, нажмите на кнопку Добавить, затем в столбце Поле DLL Hijacking в выпадающем списке выберите размер файла DLL. Для каждого параметра укажите в таблице соответствующее ему поле события KUMA.

   4. В раскрывающемся списке Целевое поле выберите поле события KUMA, в которое требуется поместить данные. Вы не можете выбрать значение, если в раскрывающемся списке Исходный тип вы выбрали таблица.
   5. Если вы хотите включить детализацию в журнале нормализатора, включите переключатель Отладка. По умолчанию переключатель выключен.
6. Нажмите на кнопку ОК.

Нормализатор будет создан и отобразится в виде темного кружка на вкладке мастера установки Парсинг событий. Вы можете нажать на темный кружок, чтобы просмотреть параметры нормализатора. Если вы хотите настроить параметры дополнительного парсинга наведите курсор на темный кружок и нажмите на отобразившийся значок плюса. Откроется окно Дополнительный парсинг событий с параметрами дополнительного парсинга. Подробнее о настройке параметров дополнительного парсинга событий см. ниже в разделе Создание структуры правил нормализации событий.

При отображении схемы нормализации структура вложенных нормализаторов не отображается. Чтобы ее просмотреть, нужно перейти в карточку нормализатора по ссылке с его названием. Если вы используете вложенный нормализатор с дополнительной нормализацией, нужно учитывать, что структура выходных данных может меняться. В этом случае важно понимать, какое поле будет передаваться другому дополнительному нормализатору.

Добавление фильтра (необязательный этап)

Вы можете создать фильтр, в параметрах которого будут определены условия отбора событий. В коллектор можно добавить несколько фильтров. Фильтры можно менять местами, перетягивая их мышью за значок , и удалять. Фильтры объединены оператором И.

Мы рекомендуем придерживаться выбранной схемы нормализации, когда вы указываете фильтры. Используйте в фильтрах только служебные поля KUMA и те поля, которые вы указали в нормализаторе в разделе Сопоставление и Обогащение. Например, если в нормализации не используется поле DeviceAddress, избегайте использования поля DeviceAddress в фильтре, поскольку такая фильтрация не сработает.

Чтобы создать фильтр:

1. В разделе Фильтрация событий нажмите на кнопку Добавить фильтр и в раскрывающемся меню Фильтр выберите пункт Создать.
2. Если хотите сохранить фильтр в качестве отдельного ресурса, установите флажок Сохранить фильтр. Это может оказаться полезным, если вы решите использовать один и тот же фильтр в разных сервисах. По умолчанию флажок снят.
3. Если вы установили флажок Сохранить фильтр, в поле Название введите название для создаваемого фильтра. Название должно содержать от 1 до 128 символов в кодировке Unicode.
4. В блоке параметров Условия задайте условия, которым должны соответствовать отсеиваемые события:

   С помощью кнопки Добавить условие добавляются условия фильтра, можно выбрать два значения (левый и правый операнды) и назначить операцию, которую вы хотите выполнить с выбранными значениями. Результат операции – Истина (True) или Ложь (False).

   1. В раскрывающемся списке оператор необходимо выбрать функцию, которую должен выполнять фильтр.

      В этом же раскрывающемся списке можно установить флажок без учета регистра, если требуется, чтобы оператор игнорировал регистр значений. Флажок игнорируется, если выбраны операторы InSubnet, InActiveList, InCategory, InActiveDirectoryGroup. По умолчанию флажок снят.

      Операторы фильтров

      • = – левый операнд равен правому операнду.
      • < – левый операнд меньше правого операнда.
      • <= – левый операнд меньше или равен правому операнду.
      • > – левый операнд больше правого операнда.
      • >= – левый операнд больше или равен правому операнду.
      • inSubnet – левый операнд (IP-адрес) находится в подсети правого операнда (подсети).
      • contains – левый операнд содержит значения правого операнда.
      • startsWith – левый операнд начинается с одного из значений правого операнда.
      • endsWith – левый операнд заканчивается одним из значений правого операнда.
      • match – левый операнд соответствует регулярному выражению правого операнда. Используются регулярные выражения RE2.
      • hasBit – установлены ли в левом операнде (в строке или числе), биты, позиции которых перечислены в правом операнде (в константе или в списке).

        Проверяемое значение переводится в двоичную систему счисления, после чего рассматривается справа налево. Проверяются символы, индекс которых указан в качестве константы или списка.

        Если проверяемое значение – это строка, то производится попытка перевести ее в целое число и обработать указанным выше способом. Если перевести строку в число невозможно, фильтр возвращает False.

      • hasVulnerability – находится ли в левом операнде актив с уязвимостью и уровнем важности уязвимости, указанными в правом операнде.

        Если идентификатор и значение важности уязвимости не указаны, фильтр будет срабатывать при наличии любых уязвимостей у актива в проверяемом событии.

      • inActiveList – этот оператор имеет только один операнд. Его значения выбираются в поле Ключевые поля и сравниваются с записями активного листа, выбранного в раскрывающемся списке активных листов.
      • inDictionary – присутствует ли в указанном словаре запись, соответствующая ключу, составленному из значений выбранных полей события.
      • inCategory – активу в левом операнде назначена по крайней мере одна из категорий активов правого операнда.
      • inActiveDirectoryGroup – учетная запись Active Directory в левом операнде принадлежит одной из групп Active Directory в правом операнде.
      • TIDetect – этот оператор используется для поиска событий с данными Kaspersky CyberTrace. Этот оператор можно использовать только на событиях, прошедших обогащение данными из Kaspersky CyberTrace, то есть только в коллекторах на этапе выбора точки назначения и в корреляторах.
      • inContextTable – присутствует ли в указанной контекстной таблице запись.
      • intersect – находятся ли в левом операнде элементы списка, указанные в списке в правом операнде.
   2. В раскрывающихся списках Левый операнд и Правый операнд необходимо выбрать, откуда поступят данные, с которыми произведет действие фильтр. В результате выбора появляются дополнительные параметры, с помощью которых необходимо точно определить значение, которое будет передано в фильтр. Например, при выборе варианта активный лист потребуется указать название активного листа, ключ записи и поле ключа записи.
   3. С помощью раскрывающегося списка Если можно выбрать, требуется ли создать отрицательное условие фильтра.

      Условие можно удалить с помощью кнопки .

   4. С помощью кнопки Добавить группу добавляются группы условий. Оператор И можно переключать между значениями И, ИЛИ, НЕ.

      Группу условий можно удалить с помощью кнопки .

   5. С помощью кнопки Добавить фильтр в условия добавляются существующие фильтры, которые выбираются в раскрывающемся списке Выберите фильтр. В параметры вложенного фильтра можно перейти с помощью кнопки .

Фильтр добавлен. Его можно удалить с помощью кнопки .

Добавление правила агрегации (необязательный этап)

1. В разделе Агрегация событий нажмите на кнопку Добавить правило агрегации.
2. В раскрывающемся меню Правило агрегации выберите нужное правило или создайте новое, нажав Создать.
3. В поле Название введите название для создаваемого правила агрегации. Название должно содержать от 1 до 128 символов в кодировке Unicode.
4. В поле Предел событий укажите количество событий, которое должно быть получено, чтобы сработало правило агрегации и события были объединены. Значение по умолчанию: 100.
5. В поле Время ожидания событий укажите количество секунд, в течение которых коллектор получает события для объединения. По истечении этого срока правило агрегации срабатывает и создается новое агрегационное событие. Значение по умолчанию: 60.
6. В поле Группирующие поля с помощью кнопки Добавить поле выберите поля, по которым будут определяться однотипные события. Вы можете выбрать следующие служебные поля: SourceAssetID, DestinationAssetID, DeviceAssetID, SourceAccountID, DestinationAccountID. Идентификаторы активов добавляются после нормализации события, поэтому по ним можно будет агрегировать события. Остальные служебные поля не используются в агрегации. Выбранные события можно удалять с помощью кнопок со значком крестика.
7. В поле Уникальные поля с помощью кнопки Добавить поле можно выбрать поля, при наличии которых коллектор исключит событие из процесса агрегации даже при наличии полей, указанных в разделе Группирующие поля. Выбранные события можно удалять с помощью кнопок со значком крестика.
8. В поле Поля суммы с помощью кнопки Добавить поле можно выбрать поля, значения которых будут просуммированы в процессе агрегации. Выбранные события можно удалять с помощью кнопок со значком крестика.
9. В блоке параметров Фильтр можно задать условия определения событий, которые будут обрабатываться этим ресурсом. В раскрывающемся списке можно выбрать существующий фильтр или Создать новый фильтр.

   Создание фильтра в ресурсах

   Все поля события KUMA имеют значение по умолчанию. Для всех числовых полей это значение равно 0. Для всех строковых полей значение по умолчанию – пустая строка. Если событие не имеет какого-то поля, это значит, что полю присвоено значение по умолчанию. Поэтому фильтр может сработать на событие, даже если у этого события нет указанного в фильтре поля. Например, если вы в фильтре указали условие DestinationPort <= 1024, но событие не содержит поля DestinationPort, фильтр сработает, так как по умолчанию DestinationPort = 0.

   Чтобы создать фильтр:

   1. В раскрывающемся списке Фильтр выберите Создать.
   2. Если вы хотите сохранить фильтр и использовать его в качестве фильтра для других ресурсов, установите флажок Сохранить фильтр. По умолчанию флажок снят.
   3. Если вы установили флажок Сохранить фильтр, в поле Название введите название нового фильтра. Максимальная длина названия: до 128 символов в кодировке Unicode.
   4. Выберите режим создания фильтра: Конструктор или Код.

      При формировании условий фильтрации вы можете переключаться между режимами. При переключении между режимами сформированные условия фильтров сохраняются. Если после привязки созданного фильтра к ресурсу на вкладке Код не отображается код фильтра, выберите вкладку Конструктор, после чего снова выберите вкладку Код для отображения кода фильтра.

   5. Если вы выбрали вариант Конструктор, выполните следующие действия:
      1. В раскрывающемся списке выберите логический оператор:
         • И – отбирает события, которые соответствуют всем указанным условиям.
         • ИЛИ – отбирает события, которые соответствуют одному из указанных условий.
         • НЕ – отбирает события, которые не соответствуют всем указанным условиям.
      2. Нажмите на кнопку Добавить условие.
      3. Если вы хотите добавить отрицательное условие, в раскрывающемся списке Если выберите Если не.
      4. В последовательно отображающихся раскрывающихся списках выберите операнды и операторы фильтра.

         Операнды фильтров

         • Поля событий – поле события, которое требуется использовать как операнд фильтра.
         • Активные листы – активный лист или поле активного листа, которое требуется использовать как операнд фильтра. При выборе активного листа укажите одно или несколько полей событий, которые используются для создания записи активного листа и выступают ключом записи активного листа. Для завершения указания полей событий нажмите комбинацию клавиш Ctrl/Command+F1.

           Если вы не указали оператор inActiveList, вам нужно указать имя поля активного листа, которое требуется использовать как операнд фильтра.

         • Словари – значение из ресурса словарь, которое требуется присвоить операнду. Дополнительные параметры:
           • словарь (обязательно) – словарь, который требуется использовать.
           • ключевые поля (обязательно) – поля событий, которые используются для формирования ключа значения словаря.
         • Контекстные таблицы – в этом разделе вы можете указать значение контекстной таблицы, которое требуется использовать как операнд фильтра. При выборе контекстной таблицы вам нужно указать поле события.
           • название контекстной таблицы (обязательно) – контекстная таблица, которую требуется использовать.
           • ключевые поля (обязательно) – поля событий или локальные переменные, которые используются для создания записи контекстной таблицы и выступают ключом записи контекстной таблицы.
           • поле – имя поля контекстной таблицы, из которого требуется извлечь значение операнда.
           • индекс – индекс списочного поля таблицы, из которого требуется извлечь значение операнда.
         • Таблицы – пользовательские значения, которые требуется присвоить операнду. Дополнительные параметры:
           • словарь (обязательно) – тип словаря. Вам нужно выбрать тип словаря Таблица.
           • ключевые поля (обязательно) – поля событий, которые используются для формирования ключа значения словаря.
         • TI – параметры чтения данных Kaspersky CyberTrace об угрозах (TI) из событий. Дополнительные параметры:
           • поток (обязательно) – категория угрозы Kaspersky CyberTrace.
           • ключевые поля (обязательно) – поле события с индикаторами угроз Kaspersky CyberTrace.
           • поле (обязательно) – поле фида Kaspersky CyberTrace с индикаторами угроз.
         • Константа – пользовательское значение, которое требуется присвоить операнду. Дополнительные параметры:
           • значение (обязательно) – константа, которую требуется присвоить операнду.
         • Список – пользовательские значения, которые требуется присвоить операнду. Дополнительные параметры:
           • значение (обязательно) – константы, которые требуется присвоить операнду. Когда вы вводите значение в поле и нажимаете ENTER, значение добавляется в список, и вы можете ввести новое значение.

         Операторы фильтров

         • = – левый операнд равен правому операнду.
         • < – левый операнд меньше правого операнда.
         • <= – левый операнд меньше или равен правому операнду.
         • > – левый операнд больше правого операнда.
         • >= – левый операнд больше или равен правому операнду.
         • inSubnet – левый операнд (IP-адрес) находится в подсети правого операнда (подсети).
         • contains – левый операнд содержит значения правого операнда.
         • startsWith – левый операнд начинается с одного из значений правого операнда.
         • endsWith – левый операнд заканчивается одним из значений правого операнда.
         • match – левый операнд соответствует регулярному выражению правого операнда. Используются регулярные выражения RE2.
         • hasBit – установлены ли в левом операнде (в строке или числе), биты, позиции которых перечислены в правом операнде (в константе или в списке).

           Проверяемое значение переводится в двоичную систему счисления, после чего рассматривается справа налево. Проверяются символы, индекс которых указан в качестве константы или списка.

           Если проверяемое значение – это строка, то производится попытка перевести ее в целое число и обработать указанным выше способом. Если перевести строку в число невозможно, фильтр возвращает False.

         • hasVulnerability – находится ли в левом операнде актив с уязвимостью и уровнем важности уязвимости, указанными в правом операнде.

           Если идентификатор и значение важности уязвимости не указаны, фильтр будет срабатывать при наличии любых уязвимостей у актива в проверяемом событии.

         • inActiveList – этот оператор имеет только один операнд. Его значения выбираются в поле Ключевые поля и сравниваются с записями активного листа, выбранного в раскрывающемся списке активных листов.
         • inDictionary – присутствует ли в указанном словаре запись, соответствующая ключу, составленному из значений выбранных полей события.
         • inCategory – активу в левом операнде назначена по крайней мере одна из категорий активов правого операнда.
         • inActiveDirectoryGroup – учетная запись Active Directory в левом операнде принадлежит одной из групп Active Directory в правом операнде.
         • TIDetect – этот оператор используется для поиска событий с данными Kaspersky CyberTrace. Этот оператор можно использовать только на событиях, прошедших обогащение данными из Kaspersky CyberTrace, то есть только в коллекторах на этапе выбора точки назначения и в корреляторах.
         • inContextTable – присутствует ли в указанной контекстной таблице запись.
         • intersect – находятся ли в левом операнде элементы списка, указанные в списке в правом операнде.

         Если вы хотите, чтобы оператор игнорировал регистр значений, установите флажок без учета регистра. Действие не распространяется на операторы InSubnet, InActiveList, InCategory, InActiveDirectoryGroup, hasBit и inDictionary. По умолчанию флажок снят.

         Вы можете изменить и удалить указанный оператор. Для изменения оператора нажмите на него и укажите новый оператор. Для удаления оператора нажмите на него и затем нажмите на клавишу Backspace.

      5. Если вы хотите добавить группу условий для фильтра, нажмите на кнопку Добавить группу.

         Вы можете добавить несколько групп условий.

   6. Если вы выбрали вариант Код, укажите текстовую команду фильтра.

      В правой части конструктора отображается навигатор для перемещения по коду фильтра. Перенос строк выполняется автоматически по логическим операторам И, ИЛИ, НЕ или запятым, являющимися разделителем элементов списка значений.

   7. Если вы хотите изменить порядок условий фильтрации, используйте значки изменения порядка . Если вы хотите удалить условие, нажмите на значок удаления .
   8. Нажмите Сохранить.

Правило агрегации будет добавлено. Его можно удалить с помощью кнопки .

Обогащение событий (необязательный этап)

Вы можете указать, какими данными и из каких источников следует дополнить обрабатываемые коллектором события. События можно обогащать данными, полученными с помощью правил обогащения или с помощью LDAP.

Поступающие события сначала обогащаются данными из источников, которые вы выбираете на этом шаге мастера, а затем выполняется автоматическое обогащение данными об активах. Например, если у вас настроено dns-обогащение и в результате IP-адрес, указанный в событии, обогатился соответствующим DNS-именем актива, то произойдет обогащение события этим активом.

Коллектор получает сведения об активах от Ядра KUMA и обогащает ими события следующим образом:

• Если в поле события с именем (например, SourceHostName) содержится FQDN, совпадающий с FQDN актива, коллектор добавляет поле SourceAssetID с идентификатором этого актива. Значение поля SourceAddress при этом не учитывается.
• Если в поле события с IP-адресом (например, DestinationAddress) указан IP-адрес актива, а поле с именем пустое, коллектор добавляет поле DestinationAssetID с идентификатором актива, IP-адрес которого совпадает.
• Если в поле события с именем есть значение, которое не совпадает ни с одним FQDN из базы активов, коллектор не проверяет поле с IP-адресом и не добавляет идентификатор актива. Это относится как к случаям, когда в поле HostName указан FQDN, который не соответствует ни одному активу, так и к ситуациям, когда в поле HostName указано неполное имя (например, только имя хоста без домена).

Правил обогащения может быть несколько. Их можно добавить с помощью кнопки Добавить обогащение или удалить с помощью кнопки . Можно использовать существующие правила обогащения или же создать новые правила.

Чтобы создать правило обогащения:

1. В веб-интерфейсе откройте раздел Обогащение событий в
2. В зависимости от того, с помощью чего вы хотите обогащать события, выполните следующие действия:
   • Если вы хотите обогащать события данными, полученными с помощью правил обогащения, выполните следующие действия:
     1. Нажмите Добавить обогащение.

        Откроется блок параметров правил обогащения.

     2. В поле Название введите уникальное имя правила. Название должно содержать от 1 до 128 символов в кодировке Unicode.
     3. В раскрывающемся списке Правило обогащения выберите Создать.
     4. В раскрывающемся списке Тип источника данных выберите, откуда будут поступать данные для обогащения, и заполните относящиеся к нему параметры:

        шаблон

        Этот тип обогащения используется, если в поле события нужно записать значение, полученное при обработке шаблонов Go. Мы рекомендуем сопоставлять значение и размер поля. Параметры этого типа обогащения описаны в таблице ниже.

        Параметры типа обогащения "шаблон"

        Параметр	Описание
        Шаблон	Шаблон Go. Имена полей событий передаются в формате {{.EventField}}, где EventField – это название поля события, значение которого должно быть передано в скрипт, например Атака на {{.DestinationAddress}} со стороны {{.SourceAddress}}.
        Целевое поле	Поле события, в которое требуется поместить данные.

        Если вы используете обогащение событий, у которого в качестве параметра Тип источника данных выбрано значение шаблон, целевым полем является поле с типом Строка, а исходным полем является поле расширенной схемы событий, содержащее массив строк, то в шаблоне может быть использован один из следующих примеров:

        • {{.SA.StringArrayOne}}
        • {{- range $index, $element := . SA.StringArrayOne -}}

          {{- if $index}}, {{end}}"{{$element}}"{{- end -}}

        Для преобразования в шаблоне данных поля массива в формат TSV требуется использовать функцию toString, например:

        template {{toString .SA.StringArray}}

        таблица

        Этот тип обогащения используется, если в поле события необходимо добавить значение из словаря типа Таблица. Параметры этого типа обогащения описаны в таблице ниже.

        Параметры типа обогащения "таблица"

        Параметр	Описание
        Название словаря	Словарь, из которого будут браться значения.
        Ключевые поля	Поля событий, значения которых будут использоваться для выбора записи словаря. Для добавления поля события нажмите на кнопку Добавить поле. Вы можете добавить несколько полей событий.
        Сопоставление	Поля событий для передачи данных: Поле словаря – поля словаря, из которых будут передаваться данные. Доступные поля зависят от выбранного ресурса словаря. Поле KUMA – поля событий, в которые будут передаваться данные. Для выбранных полей (*custom* и *flex*) в столбце Подпись вы можете задать название для помещаемых данных.

        Первое поле в таблице (Поле словаря) считается ключом, с которым будут сопоставляться поля, выбранные из события в качестве ключевых (Поле KUMA). В качестве ключа в Поле словаря вам нужно выбрать индикатор компрометации, по которому будет осуществляться обогащение, например IP-адрес, URL-адрес или хеш. В правиле необходимо выбрать поле события, соответствующее выбранному индикатору в поле словаря.

        Если вы хотите выбрать несколько ключевых полей, вы можете указать их через разделитель | (при указании через веб-интерфейс или импорте через CSV-файл), например <IP-адрес>|<имя пользователя>.

        Вы можете добавлять новые строки таблицы и удалять строки таблицы. Для добавления новой строки таблицы нажмите на кнопку Добавить элемент. Для удаления строки таблицы нажмите на крестик .

        обогащение активами

        Этот тип обогащения используется, когда необходимо добавить обогащение событий активами на определенных коллекторах.

        Для обогащения событий активами в блоке Сопоставление требуется заполнить таблицу сопоставления полей события KUMA и полей для записи значениий из хеш-таблицы.

        Чтобы заполнить таблицу сопоставления полей:

        1. В блоке Сопоставление нажмите на кнопку Добавить.
        2. В раскрывающемся списке Поле KUMA выберите одно или несколько полей события, значение которого будет сопоставляться со значением из хеш-таблицы и записываться в соответствующее поле в таблице данных актива.
        3. В раскрывающемся списке Поле для записи данных выберите поле, в которое при соответствии поля события (Поле KUMA) и значения из хеш-таблицы будет записано значение идентификатора актива.

           Возможные значения параметров в таблице сопоставления полей

           Поле KUMA	Поле для записи данных
           DestinationAddress DestinationHostName DeviceAddress DeviceHostName SourceAddress SourceHostName DestinationMacAddress DeviceMacAddress SourceMacAddress DeviceCustomString1 DeviceCustomString2 DeviceCustomString3 DeviceCustomString4 DeviceCustomString5 DeviceCustomString6	SourceAssetID DeviceAssetID DestinationAssetID

           Если вы указываете несколько полей, к значениям полей применяется условие И. Если вы добавляете несколько строк в столбце Поле KUMA, к значениям полей применяется условие ИЛИ. Проверка начинается с первого поля в списке. Если значение поля совпадает со значением атрибута, проверка прекращается.

           Например, в событие поступают следующие данные:

           SourceAddress=192.168.х.хх
SourceHostName=kuma.example.com

           В KUMA есть два актива: company.example.com (IP-адрес: 192.168.х.хх; FQDN: company.example.com) и kuma.example.com (IP-адрес: 192.168.y.yyy; FQDN: kuma.example.com). Сопоставление для них осуществляется следующим образом:

           • Если вы указали отдельно sourceAddress → sourceAssetID, а затем sourceHostname → sourceAssetID, то актив будет соответствовать первому условию (company.example.com).
           • Если вам важнее получить значение параметра sourceHostname (kuma.example.com), то первым указывается sourceHostname → sourceAssetID, а затем sourceAddress → sourceAssetID.
           • Если вы указали sourceAddress + sourceHostname → sourceAssetID, обогащение не произойдет.

           В таблице сопоставления полей требуется указать хотя бы одно условие сопоставления.

        4. Если вы хотите применить для параметров Поле KUMA и Поле для записи данных значения по умолчанию, нажмите на кнопку. Применить сопоставление по умолчанию, расположенную над таблицей.

           Значения параметров по умолчанию

           Поле KUMA	Поле для записи данных
           DestinationAddress	DestinationAssetID
           DestinationHostName	DestinationAssetID
           DeviceAddress	DeviceAssetID
           DeviceHostName	DeviceAssetID
           SourceAddress	SourceAssetID
           SourceHostName	SourceAssetID

        константа

        Этот тип обогащения используется, если в поле события необходимо добавить константу. Параметры этого типа обогащения описаны в таблице ниже.

        Параметры типа обогащения "константа"

        Параметр	Описание
        Константа	Значение, которое требуется добавить в поле события. Максимальная длина значения – до 255 символов в кодировке Unicode. Если оставить поле пустым, существующее значение поля события будет удалено.
        Целевое поле	Поле события, в которое требуется поместить данные.

        Если вы используете функции обогащения событий для полей расширенной схемы с типом Строка, Число или Число с плавающей точкой с помощью константы, в поле будет добавлена константа.

        Если вы используете функции обогащения событий для полей расширенной схемы с типом Массив строк, Массив чисел или Массив чисел с плавающей точкой с помощью константы, константа будет добавлена к элементам массива.

        словарь

        Этот тип обогащения используется, если в поле события необходимо добавить значение из словаря типа Словарь. Параметры этого типа обогащения описаны в таблице ниже.

        Параметры типа обогащения "словарь"

        Параметр	Описание
        Название словаря	Словарь, из которого будут браться значения.
        Ключевые поля	Поля событий, значения которых будут использоваться для выбора записи словаря. Для добавления поля события нажмите на кнопку Добавить поле. Вы можете добавить несколько полей событий.

        Если вы используете обогащение событий, у которого в качестве параметра Тип источника данных выбрано значение словарь, а в параметре Ключевые поля обогащения указано поле-массив, при передаче массива в качестве ключа словаря массив будет сериализован в строку в соответствии с правилами сериализации одного значения в формате TSV.

        Пример. В параметре Ключевые поля обогащения используется поле расширенной схемы SA.StringArrayOne. В поле расширенной схемы SA.StringArrayOne находятся значения "a", "b", "c". В качестве ключа в словарь будут переданы значения ['a','b','c'].

        Если в параметре Ключевые поля обогащения используется поле-массив расширенной схемы и обычное поле схемы событий, значения полей при обращении в словарь будут разделены символом |.

        Пример. В параметре Ключевые поля обогащения используется поле расширенной схемы SA.StringArrayOne и строковое поле Code. В поле расширенной схемы SA.StringArrayOne находятся значения "a", "b", "c", а строковое поле Code содержит последовательность символов myCode. В качестве ключа в словарь будут переданы значения ['a','b','c']|myCode.

        событие

        Этот тип обогащения используется, если в поле события необходимо записать значение другого поля события. Параметры типа обогащения описаны в таблице ниже.

        Параметры типа обогащения "событие"

        Параметр	Описание
        Целевое поле	Поле события, в которое следует поместить данные.
        Исходное поле	Поле события, значение которого будет записано в целевое поле.
        Преобразование	Блок параметров, в котором можно создать правила изменения исходных данных перед тем, как они будут записаны в поля событий. Тип преобразования можно выбрать в раскрывающемся списке. С помощью кнопок Добавить преобразование и Удалить можно добавить или удалить преобразование. Порядок преобразований имеет значение.

        Возможность использовать преобразования зависит от типа используемого поля расширенной схемы событий:

        • Для дополнительного поля с типом Строка доступны все типы преобразования.
        • Для полей с типами Число и Число с плавающей точкой доступны типы преобразования regexp, substring, replace, trim, append, prepend, replaceWithRegexp, decodeHexString, decodeBase64String и decodeBase64URLString.
        • Для полей с типами Массив строк, Массив чисел и Массив чисел с плавающей точкой доступны типы преобразования append и prepend.

        Посмотреть доступные преобразования

        Преобразования – это изменения, которые применяются к значению перед записью в поле события.

        Вы можете выбрать в раскрывающемся списке один из следующих типов преобразования:

        • entropy – используется для преобразования значения исходного поля с помощью функции вычисления информационной энтропии и помещения результата преобразования в целевое поле типа float. Результатом преобразования будет число. Показатель вычисления информационной энтропии позволяет выявлять DNS-туннели и компрометацию паролей, например, когда пользователь ввел пароль вместо логина и пароль записывается в журнал в открытом виде.
        • lower – используется для перевода всех символов значения в нижний регистр.
        • upper – используется для перевода всех символов значения в верхний регистр.
        • regexp – используется для преобразования значения с помощью указанного регулярного выражения RE2. При выборе этого типа преобразования отображается поле, в котором вам нужно указать регулярное выражение RE2.
        • substring – используется для извлечения символов в указанном диапазоне позиций. При выборе этого типа преобразования отображаются поля Начало и Конец, в которых вам нужно указать диапазон позиций.
        • replace – используется для замены указанной последовательности символов на другую последовательность символов. При выборе этого типа преобразования отображаются следующие поля:
          • Символы на замену – последовательность символов, которую требуется заменить.
          • Чем заменить – последовательность символов, которую требуется использовать вместо заменяемой последовательности символов.
        • trim – используется для удаления указанных символов одновременно с начала и с конца значения поля события. При выборе этого типа преобразования отображается поле Символы, в котором вам нужно указать символы. Например, если для значения Microsoft-Windows-Sysmon требуется выполнить преобразование trim со значением Micromon, новым значением будет soft-Windows-Sys.
        • append – используется для добавления указанных символов в конец значения поля события. При выборе этого типа преобразования отображается поле Константа, в котором вам нужно указать символы.
        • prepend – используется для добавления указанных символов к началу значения поля события. При выборе этого типа преобразования отображается поле Константа, в котором вам нужно указать символы.
        • replace with regexp – используется для замены результатов регулярного выражения RE2 на указанную последовательность символов. При выборе этого типа преобразования отображаются следующие поля:
          • Выражение – регулярное выражение RE2, результаты которого требуется заменить.
          • Чем заменить – последовательность символов, которую требуется использовать вместо заменяемой последовательности символов.
        • Конвертация закодированных строк в текст:
          • decodeHexString – используется для конвертации HEX-строки в текст.
          • decodeBase64String – используется для конвертации Base64-строки в текст.
          • decodeBase64URLString – используется для конвертации Base64url-строки в текст.
          • unicodeUnescape – используется для конвертации Unicode-строки в текст.

          При конвертации поврежденной строки или при ошибках конвертации в поле события могут быть записаны поврежденные данные.

          При обогащении событий, если длина закодированной строки превышает размер поля нормализованного события, строка будет обрезана и не будет раскодирована.

          Если длина раскодированной строки превышает размер поля события, в которое должно быть помещено раскодированное значение, строка будет обрезана до размера этого поля события.

          Мы не рекомендуем использовать несколько дополнительных нормализаторов для последовательного преобразования одного и того же поля. Результат одного преобразования, выполненного дополнительным нормализатором, не используется как входные данные для следующего. В итоговое событие записывается значение, полученное в допонительном нормализаторе, который первым выполнил обогащение этого поля.

        • Преобразование формата IP-адреса в IPv4:
          • ipDecimalToDotted – используется для преобразования IP-адреса в формате десятичного числа в IP-адрес в формате IPv4, в котором октеты разделены точками.
          • ipHexToDotted – используется для преобразования IP-адреса в формате шестнадцатиричного числа в IP-адрес в формате IPv4, в котором октеты разделены точками.
        • hexToDecimal – используется для преобразования числового значения, представленного в шестнадцатеричной системе счисления, в десятичный формат. Преобразование применяется к строковым или числовым полям, содержащим HEX-значения (включая префикс 0x, если он присутствует), и результат записывается в целевое поле события KUMA в виде целого числа.

          Результатом преобразования является число в десятичной системе, например исходное значение – 0x00FF, после преобразования – 255.

        dns

        Этот тип обогащения используется для отправки запросов на DNS-сервер частной сети для преобразования IP-адресов в доменные имена или наоборот. Преобразование IP-адресов в DNS-имена происходит только для частных адресов: 10.0.0.0/8, 172.16.0.0/12, 192.168.0.0/16, 100.64.0.0/10, fd00::/8.

        Параметры этого типа обогащения описаны в таблице ниже.

        Параметры типа обогащения "dns"

        Параметр	Описание
        URL	URL DNS-сервера, которому вы хотите отправлять запросы. С помощью кнопки Добавить URL можно указать несколько URL. Если параметр URL не указан, то KUMA возьмет список DNS-серверов из файла /etc/resolv.conf, расположенного на локальном хосте. В этом случае вам нужно включить параметр Требуется рекурсия. В противном случае обогащение происходить не будет.
        Запросов в секунду	Максимальное количество запросов к DNS-серверу в секунду. Значение по умолчанию: количество vCPU сервера, на котором установлено Ядро KUMA.
        Обработчики	Количество обработчиков, которые сервис может запускать одновременно для параллельной обработки событий. Укажите целое положительное число от 0 до 999. Если указано 0, то используется число логических ядер CPU. Значение по умолчанию: 1.
        Максимальное число событий в очереди обогащения	Максимальное число событий, сохраняемое в очереди для повторной отправки. Значение по умолчанию: 1 000 000.
        Время ожидания	Время ожидания ответа от DNS-сервера (в секундах). Значение по умолчанию: 5.
        Переопределение режима DNS	Используемый метод преобразования: Только прямое разрешение DNS – доменное имя преобразуется в IP-адрес. Только обратное разрешение DNS – IP-адрес преобразуется в доменное имя. Прямое и обратное DNS-разрешение – доменное имя может преобразовываться в IP-адрес и наоборот.
        Срок жизни кеша	Время жизни значений (в секундах), хранящихся в кеше. Значение по умолчанию: 60 (сек).
        Кеш отключен	Параметр, позволяющий включить или выключить кеширование. По умолчанию кеширование включено.
        Обновление кэша отключено	Если обновление кеша включено, то по истечении срока жизни кеша коллектор отправляет повторные запросы на DNS-сервер для обновления хранящихся в кеше данных. Этот параметр доступен только при включенном кеше. По умолчанию обновление кеша включено.
        Требуется рекурсия	Параметр позволяет включить отправку коллектором рекурсивных запросов к авторитативным DNS-серверам для выполнения обогащения. Значение по умолчанию: Выключено.

        cybertrace

        Для систем с большой нагрузкой на коллектор или коррелятор рекомендуется использовать тип обогащения cybertrace-http. Этот тип обогащения возвращает структурированный ответ в формате JSON и корректно различает строки и массивы пользовательских атрибутов, исключая ошибки парсинга.
        При обогащении с помощью типа cybertrace коллектор получает неструктурированный ответ. Если значение пользовательского атрибута в Kaspersky CyberTrace содержит квадратные скобки, например [str1, str2], Kaspersky SIEM обрабатывает его как массив, а не как строку.

        Этот тип обогащения используется для добавления в поля события сведений из потоков данных Kaspersky CyberTrace. Параметры этого типа обогащения описаны в таблице ниже.

        Параметры типа обогащения "cybertrace"

        Параметр	Описание
        URL	URL сервера Kaspersky CyberTrace, которому вы хотите отправлять запросы. Порт Kaspersky CyberTrace по умолчанию: 9999. Обязательный параметр.
        Количество подключений	Максимальное количество подключений к серверу Kaspersky CyberTrace, которые может одновременно установить Kaspersky SIEM. Значение по умолчанию равно количеству vCPU сервера, на котором установлено Ядро KUMA.
        Запросов в секунду	Максимальное количество запросов к серверу в секунду. Значение по умолчанию: 1000.
        Время ожидания	Время ожидания отклика от сервера Kaspersky CyberTrace в секундах. Значение по умолчанию: 30.
        Максимальное кол-во событий в очереди обогащения	Максимальное количество событий, сохраняемое в очереди для переотправки. Значение по умолчанию: 1 000 000.
        Сопоставление	Таблица сопоставления полей событий с типами индикаторов Kaspersky CyberTrace. В столбце Поле KUMA указаны названия полей событий, а в столбце Индикатор CyberTrace указаны типы индикаторов Kaspersky CyberTrace. Доступные типы индикаторов Kaspersky CyberTrace: ip url hash

        В таблице сопоставления требуется указать как минимум одну строку. Вы можете добавлять новые строки таблицы и удалять строки таблицы. Для добавления новой строки таблицы нажмите на кнопку Добавить строку. Для удаления строки таблицы нажмите на крестик .

        cybertrace-http

        Этот тип потокового обогащения событий в Kaspersky CyberTrace, который позволяет отправлять большое количество событий одним запросом на API-интерфейс CyberTrace. Мы рекомендуем применять тип обогащения cybertrace-http в системах с большим потоком событий. Производительность cybertrace-http превосходит показатели типа обогащения cybertrace.

        Ограничения:

        • Тип обогащения cybertrace-http невозможно использовать для ретроспективного сканирования в KUMA.
        • В случае использования типа обогащения cybertrace-http обнаружения киберугроз не сохраняются в истории Kaspersky CyberTrace в окне Обнаружения.

        Параметры этого типа обогащения описаны в таблице ниже.

        Параметры типа обогащения "cybertrace-http"

        Параметр	Описание
        Тенант	Тенант, в рамках которого вы планируете работать с Kaspersky CyberTrace. Обязательный параметр.
        URL	URL сервера Kaspersky CyberTrace, которому вы хотите отправлять запросы и порт, который использует API CyberTrace. Порт по умолчанию 443. Обязательный параметр.
        Секрет	Раскрывающийся список для выбора секрета, в котором хранятся учетные данные для подключения. Обязательный параметр.
        Время ожидания	Время ожидания отклика от сервера Kaspersky CyberTrace в секундах. Значение по умолчанию: 30.
        Ключевые поля	Список полей событий, используемых для обогащения событий данными из Kaspersky CyberTrace. Обязательный параметр.
        Максимальное кол-во событий в очереди обогащения	Максимальное количество событий, сохраняемое в очереди для переотправки. Значение по умолчанию: 1 000 000. По достижении 1 млн получаемых событий от сервера Kaspersky CyberTrace события перестают обогащаться, пока число получаемых событий не станет меньше 500 тыс.
        Основная версия CyberTrace	Версия Kaspersky CyberTrace. Доступные значения: <5 – запросы будут выполняться в тенанте General в Kaspersky CyberTrace и будут использовать новую версию API, соответствующую Kaspersky CyberTrace 5.0 и выше. ≥ 5.0 – запросы будут использовать версию API, соответствующую Kaspersky CyberTrace 4.x. Значение по умолчанию: <5.
        Отладка	Параметр, включающий логирование ресурса. По умолчанию переключатель выключен.
        Теги	Теги для поиска ресурса.

        часовой пояс

        Этот тип обогащения используется в коллекторах и корреляторах, чтобы присвоить событию определенный часовой пояс. Сведения о часовом поясе могут понадобиться при поиске событий, случившихся в нетипичное время, например ночью.

        При выборе этого типа обогащения в раскрывающемся списке Часовой пояс нужно указать временную зону.

        Убедитесь, что выбираемый часовой пояс установлен на сервере сервиса, использующего обогащение. Например, это можно сделать с помощью команды timedatectl list-timezones, которая показывает все установленные на сервере часовые пояса. Подробнее об установке часовых поясов смотрите в документации используемой вами операционной системы.

        При обогащении события в поле события DeviceTimeZone записывается смещение времени выбранного часового пояса относительно всемирного координированного времени (UTC) в формате +-чч:мм. Например, если выбрать временную зону Asia/Yekaterinburg в поле DeviceTimeZone будет записано значение +05:00. Если в обогащаемом событии есть значение поля DeviceTimeZone, оно будет перезаписано.

        По умолчанию, если в обрабатываемом событии не указан часовой пояс и не настроены правила обогащения по часовому поясу, событию присваивается часовой пояс сервера, на котором установлен сервис (коллектор или коррелятор), обрабатывающий событие. При изменении времени сервера сервис требуется перезапустить.

        Допустимые форматы времени при обогащении поля DeviceTimeZone

        При обработке в коллекторе поступающих сырых событий следующие форматы времени могут быть автоматически приведены к формату +-чч:мм (см. таблицу ниже):

        Формат времени в обрабатываемом событии	Пример
        +-чч:мм	-07:00
        +-ччмм	-0700
        +-чч	-07

        Если формат даты в поле DeviceTimeZone отличается от указанных в таблице, при обогащении события сведениями о часовом поясе в поле записывается часовой пояс серверного времени коллектора. Вы можете создать правила нормализации для нестандартных форматов времени.

        геоданные

        Этот тип обогащения используется для добавления в поля событий сведений о географическом расположении IP-адресов.

        При выборе этого типа в блоке параметров Сопоставление геоданных с полями события укажите, из какого поля события будет считан IP-адрес, а также выберите атрибуты геоданных и определите поля событий, в которые геоданные будут записаны:

        1. В раскрывающемся списке Поле события с IP-адресом выберите поле события, из которого считывается IP-адрес. По этому IP-адресу будет произведен поиск соответствий по загруженным в KUMA геоданным.

           При выборе полей события SourceAddress, DestinationAddress и DeviceAddress становится доступна кнопка Применить сопоставление по умолчанию. С ее помощью можно добавить преднастроенные пары соответствий атрибутов геоданных и полей события.

        2. Для каждого поля события, откуда требуется считать IP-адрес, выберите тип геоданных и поле события, в которое следует записать геоданные.
           • В поле Атрибут геоданных выберите, какие географические сведения, соответствующие считанному IP-адресу, необходимо записать в событие. Доступные атрибуты геоданных: Страна, Регион, Город, Долгота, Широта.
           • В поле Поле события для записи выберите поле события, в которое необходимо записать выбранный атрибут геоданных.

           С помощью кнопки Добавить атрибут геоданных вы можете добавить пары полей Атрибут геоданных – Поле события для записи. Так вы можете настроить запись разных типов геоданных одного IP-адреса в разные поля события.

        3. Для добавления каждого последующего сопоставления используйте кнопку Добавить сопоставление и повторяйте предыдущие два пункта инструкции.

           Вы можете записать одинаковые атрибуты геоданных в разные поля событий. Если вы настроите запись нескольких атрибутов геоданных в одно поле события, событие будет обогащено последним по очереди сопоставлением.

        проверка DLL Hijacking

        DLL Hijacking – это техника атаки, которая заключается в том, что на целевую систему доставляется уязвимое легитимное программное обеспечение вместе с вредоносной динамической библиотекой (DLL). Для обнаружения таких атак Kaspersky SIEM использует модуль AI. Модуль AI анализирует параметры запуска и исполнения программ и определяет подозрительные случаи запуска легитимного программного обеспечения с вредоносными библиотеками.

        Для получения заключения Kaspersky SIEM отправляет запрос с информацией из полей события в <KSN>. В ответ на запрос KSN присылает результат анализа.

        Вы можете настроить обнаружение атак DLL Hijacking в коллекторе или корреляторе.

        Для использования обогащения типа Проверка DLL Hijacking ваша лицензия должна включать в себя модуль AI. Главному администратору также требуется принять дополнительное Положение о KSN в блоке Kaspersky Security Network (Параметры → Интеграции → AI-сервисы → Обнаружение атак DLL Hijacking).

        Параметры этого типа обогащения описаны в таблице ниже.

        Параметры типа обогащения "DLL Hijacking"

        Параметр	Описание
        Обработчики	Количество обработчиков, которые сервис может запускать одновременно для параллельной обработки событий. Укажите целое положительное число от 0 до 999. Если указано 0, то используется число логических ядер CPU.
        Максимальный размер кеша	Максимальный размер кеша для ответов, получаемых из KSN, в мегабайтах. Значение по умолчанию: 128 МБ. Каждый ответ из KSN имеет свое время жизни, в течение которого он хранится в кеше. Если Kaspersky SIEM отправляет повторный запрос по файлу DLL, для которого KSN уже выдал ответ, и время жизни этого ответа еще не истекло, то запрос не отправляется в KSN, а ответ берется из кеша.
        Максимальное количество событий в очереди обогащения	При превышении указанного значения, новые события обрабатываться не будут. Значение по умолчанию: 1 000 000. Значение 0 означает, что при возникновении очереди события перестают обогащаться.
        Выполнять повторный запрос	В ответе KSN может выдать заключение В обработке. Этот заключение означает, что KSN принял запрос и в данный момент обрабатывает его, но заключения пока нет. Обработка может занять длительное время, поэтому требуется повторная отправка запроса. Если этот параметр включен, настройте дополнительные параметры: Создавать дубликаты событий – если этот параметр включен, KUMA создает дубликат события и использует его для повторных запросов к KSN. Основное событие при этом отправляется дальше по потоку. Дубликат события будет записан в базу данных, когда выполнится одно из следующих условий: Из KSN получено заключение, отличное от В обработке. Переполнен дисковый буфер, размер которого указан в параметре Размер буфера. Превышено значение, указанное в параметре Количество запросов. Если этот параметр выключен, KUMA продолжит отправлять запросы с использованием основного события. Событие будет записано в базу данных, когда выполнится одно из следующих условий: Из KSN получено заключение, отличное от В обработке. Переполнен дисковый буфер, размер которого указан в параметре Размер буфера. Превышено значение, указанное в параметре Количество запросов. Количество запросов – максимальное количество запросов в KSN. Если за указанное количество запросов так и не будет получено заключение, отличное от В обработке, событие будет записано в базу данных с заключением В обработке. Значение по умолчанию: 10. Интервал запросов – интервал между запросами, в минутах. Значение по умолчанию: 1 минута. Минимальное значение: 1 минута. Размер буфера – размер дискового буфера, который используется для хранения событий, ожидающих повторного запроса, в мегабайтах. Значение по умолчанию: 10240 МБ. Минимальное значение: 10 МБ.
        Прокси-сервер	Параметры прокси-сервера, если он требуется для подключения к серверу KSN. Можно выбрать один из доступных или создать новый прокси-сервер. По умолчанию прокси-сервер не используется.
        Сопоставление	Таблица параметров, которые нужно отправить в запросе в KSN для получения заключения, и соответствующих полей событий KUMA: Хеш файла DLL (md5) – рекомендованное поле для сопоставления: OldFileHash. Путь до файла DLL – полный путь, включающий имя файла. Рекомендованное поле для сопоставления: OldFilePath. Так как путь может содержать персональные данные, Kaspersky SIEM передает этот параметр в KSN в обезличенном виде. Например: Путь до обезличивания: C:\Windows\Device\HarddiskVolume1\Users\Alex\malware.dll Тот же путь в обезличенном виде: device\harddiskvolume1\users\username Хеш процесса (md5) – рекомендованное поле для сопоставления: FileHash. Путь до процесса – полный путь, включающий имя файла. Так как путь может содержать персональные данные, Kaspersky SIEM передает этот параметр в KSN в обезличенном виде. Например: Путь до обезличивания: C:\Windows\Device\HarddiskVolume1\Users\Alex\malware.dll Тот же путь в обезличенном виде: device\harddiskvolume1\users\username Имя файла DLL – рекомендованное поле для сопоставления: OldFileName. Имя процесса – рекомендованное поле для сопоставления: FileName. Подпись процесса – поле, в котором указывается поле KUMA, которое передает Organization из Subject подписи. Если этих значений нет, подпись стоит оставить пустой. Чтобы добавить этот параметр, нажмите на кнопку Добавить, затем в столбце Поле DLL Hijacking в выпадающем списке выберите подпись процесса.необязательный параметр. Hекомендованное поле для сопоставления: FileID. Размер файла DLL – необязательный параметр; рекомендованное поле для сопоставления: OldFileSize. Чтобы добавить этот параметр, нажмите на кнопку Добавить, затем в столбце Поле DLL Hijacking в выпадающем списке выберите размер файла DLL. Для каждого параметра укажите в таблице соответствующее ему поле события KUMA.

     5. Если требуется включить логирование операций сервиса, включите переключатель Отладка.
     6. При необходимости в раскрывающемся списке Теги выберите теги для правила обогащения.
     7. При необходимости в поле Описание добавьте описание правила обогащения. Описание правила может содержать до 4000 символов в кодировке Unicode.
     8. Если вы хотите задать условия определения событий, которые будут обрабатываться с применением правила обогащения, в блоке Параметры фильтра в раскрывающемся списке Фильтр выберите или создайте фильтр.

        Как создать фильтр

        Все поля события KUMA имеют значение по умолчанию. Для всех числовых полей это значение равно 0. Для всех строковых полей значение по умолчанию – пустая строка. Если событие не имеет какого-то поля, это значит, что полю присвоено значение по умолчанию. Поэтому фильтр может сработать на событие, даже если у этого события нет указанного в фильтре поля. Например, если вы в фильтре указали условие DestinationPort <= 1024, но событие не содержит поля DestinationPort, фильтр сработает, так как по умолчанию DestinationPort = 0.

        Чтобы создать фильтр:

        1. В раскрывающемся списке Фильтр выберите Создать.
        2. Если вы хотите сохранить фильтр и использовать его в качестве фильтра для других ресурсов, установите флажок Сохранить фильтр. По умолчанию флажок снят.
        3. Если вы установили флажок Сохранить фильтр, в поле Название введите название нового фильтра. Максимальная длина названия: до 128 символов в кодировке Unicode.
        4. Выберите режим создания фильтра: Конструктор или Код.

           При формировании условий фильтрации вы можете переключаться между режимами. При переключении между режимами сформированные условия фильтров сохраняются. Если после привязки созданного фильтра к ресурсу на вкладке Код не отображается код фильтра, выберите вкладку Конструктор, после чего снова выберите вкладку Код для отображения кода фильтра.

        5. Если вы выбрали вариант Конструктор, выполните следующие действия:
           1. В раскрывающемся списке выберите логический оператор:
              • И – отбирает события, которые соответствуют всем указанным условиям.
              • ИЛИ – отбирает события, которые соответствуют одному из указанных условий.
              • НЕ – отбирает события, которые не соответствуют всем указанным условиям.
           2. Нажмите на кнопку Добавить условие.
           3. Если вы хотите добавить отрицательное условие, в раскрывающемся списке Если выберите Если не.
           4. В последовательно отображающихся раскрывающихся списках выберите операнды и операторы фильтра.

              Операнды фильтров

              • Поля событий – поле события, которое требуется использовать как операнд фильтра.
              • Активные листы – активный лист или поле активного листа, которое требуется использовать как операнд фильтра. При выборе активного листа укажите одно или несколько полей событий, которые используются для создания записи активного листа и выступают ключом записи активного листа. Для завершения указания полей событий нажмите комбинацию клавиш Ctrl/Command+F1.

                Если вы не указали оператор inActiveList, вам нужно указать имя поля активного листа, которое требуется использовать как операнд фильтра.

              • Словари – значение из ресурса словарь, которое требуется присвоить операнду. Дополнительные параметры:
                • словарь (обязательно) – словарь, который требуется использовать.
                • ключевые поля (обязательно) – поля событий, которые используются для формирования ключа значения словаря.
              • Контекстные таблицы – в этом разделе вы можете указать значение контекстной таблицы, которое требуется использовать как операнд фильтра. При выборе контекстной таблицы вам нужно указать поле события.
                • название контекстной таблицы (обязательно) – контекстная таблица, которую требуется использовать.
                • ключевые поля (обязательно) – поля событий или локальные переменные, которые используются для создания записи контекстной таблицы и выступают ключом записи контекстной таблицы.
                • поле – имя поля контекстной таблицы, из которого требуется извлечь значение операнда.
                • индекс – индекс списочного поля таблицы, из которого требуется извлечь значение операнда.
              • Таблицы – пользовательские значения, которые требуется присвоить операнду. Дополнительные параметры:
                • словарь (обязательно) – тип словаря. Вам нужно выбрать тип словаря Таблица.
                • ключевые поля (обязательно) – поля событий, которые используются для формирования ключа значения словаря.
              • TI – параметры чтения данных Kaspersky CyberTrace об угрозах (TI) из событий. Дополнительные параметры:
                • поток (обязательно) – категория угрозы Kaspersky CyberTrace.
                • ключевые поля (обязательно) – поле события с индикаторами угроз Kaspersky CyberTrace.
                • поле (обязательно) – поле фида Kaspersky CyberTrace с индикаторами угроз.
              • Константа – пользовательское значение, которое требуется присвоить операнду. Дополнительные параметры:
                • значение (обязательно) – константа, которую требуется присвоить операнду.
              • Список – пользовательские значения, которые требуется присвоить операнду. Дополнительные параметры:
                • значение (обязательно) – константы, которые требуется присвоить операнду. Когда вы вводите значение в поле и нажимаете ENTER, значение добавляется в список, и вы можете ввести новое значение.

              Операторы фильтров

              • = – левый операнд равен правому операнду.
              • < – левый операнд меньше правого операнда.
              • <= – левый операнд меньше или равен правому операнду.
              • > – левый операнд больше правого операнда.
              • >= – левый операнд больше или равен правому операнду.
              • inSubnet – левый операнд (IP-адрес) находится в подсети правого операнда (подсети).
              • contains – левый операнд содержит значения правого операнда.
              • startsWith – левый операнд начинается с одного из значений правого операнда.
              • endsWith – левый операнд заканчивается одним из значений правого операнда.
              • match – левый операнд соответствует регулярному выражению правого операнда. Используются регулярные выражения RE2.
              • hasBit – установлены ли в левом операнде (в строке или числе), биты, позиции которых перечислены в правом операнде (в константе или в списке).

                Проверяемое значение переводится в двоичную систему счисления, после чего рассматривается справа налево. Проверяются символы, индекс которых указан в качестве константы или списка.

                Если проверяемое значение – это строка, то производится попытка перевести ее в целое число и обработать указанным выше способом. Если перевести строку в число невозможно, фильтр возвращает False.

              • hasVulnerability – находится ли в левом операнде актив с уязвимостью и уровнем важности уязвимости, указанными в правом операнде.

                Если идентификатор и значение важности уязвимости не указаны, фильтр будет срабатывать при наличии любых уязвимостей у актива в проверяемом событии.

              • inActiveList – этот оператор имеет только один операнд. Его значения выбираются в поле Ключевые поля и сравниваются с записями активного листа, выбранного в раскрывающемся списке активных листов.
              • inDictionary – присутствует ли в указанном словаре запись, соответствующая ключу, составленному из значений выбранных полей события.
              • inCategory – активу в левом операнде назначена по крайней мере одна из категорий активов правого операнда.
              • inActiveDirectoryGroup – учетная запись Active Directory в левом операнде принадлежит одной из групп Active Directory в правом операнде.
              • TIDetect – этот оператор используется для поиска событий с данными Kaspersky CyberTrace. Этот оператор можно использовать только на событиях, прошедших обогащение данными из Kaspersky CyberTrace, то есть только в коллекторах на этапе выбора точки назначения и в корреляторах.
              • inContextTable – присутствует ли в указанной контекстной таблице запись.
              • intersect – находятся ли в левом операнде элементы списка, указанные в списке в правом операнде.

              Если вы хотите, чтобы оператор игнорировал регистр значений, установите флажок без учета регистра. Действие не распространяется на операторы InSubnet, InActiveList, InCategory, InActiveDirectoryGroup, hasBit и inDictionary. По умолчанию флажок снят.

              Вы можете изменить и удалить указанный оператор. Для изменения оператора нажмите на него и укажите новый оператор. Для удаления оператора нажмите на него и затем нажмите на клавишу Backspace.

           5. Если вы хотите добавить группу условий для фильтра, нажмите на кнопку Добавить группу.

              Вы можете добавить несколько групп условий.

        6. Если вы выбрали вариант Код, укажите текстовую команду фильтра.

           В правой части конструктора отображается навигатор для перемещения по коду фильтра. Перенос строк выполняется автоматически по логическим операторам И, ИЛИ, НЕ или запятым, являющимися разделителем элементов списка значений.

        7. Если вы хотите изменить порядок условий фильтрации, используйте значки изменения порядка . Если вы хотите удалить условие, нажмите на значок удаления .
        8. Нажмите Сохранить.
   • Если вы хотите обогащать события данными, полученными с помощью LDAP, выполните следующие действия:

   1. Нажмите Добавить сопоставление с учетными записями LDAP.

      Откроется блок параметров обогащения с помощью LDAP.

   2. В поле Сопоставление с учетными записями LDAP добавьте одно или несколько названий подключений к LDAP-серверу, которые вы создавали в настройках интеграции с LDAP-сервером.
   3. В таблице Обогащение полей KUMA задайте правила сопоставления полей KUMA с атрибутами LDAP:
      • В столбце Поле KUMA укажите поле события KUMA, данные из которого следует сравнивать с атрибутом LDAP.
      • В столбце LDAP-атрибут, укажите атрибут, с которым необходимо сравнивать поле события KUMA. Раскрывающийся список содержит часть стандартных атрибутов, по которым может быть выполнено обогащение. Список может быть дополнен пользовательскими атрибутами.

        Настройка обогащения с помощью пользовательских атрибутов

        Перед настройкой обогащения событий с помощью пользовательских атрибутов убедитесь, что пользовательские атрибуты настроены в AD.

        Чтобы обогащать события учетными записями с помощью пользовательских атрибутов:

        1. Добавьте Пользовательские атрибуты учетных записей AD в параметрах подключения к LDAP.

           Невозможно добавить стандартные импортируемые атрибуты из AD в качестве пользовательских. Например, если вы захотите добавить стандартный атрибут accountExpires в качестве пользовательского атрибута, при сохранении параметров подключения KUMA вернет ошибку.

           Список ипортируемых атрибутов из AD

           Из Active Directory можно запросить следующие атрибуты учетных записей:

           • accountExpires
           • badPasswordTime
           • cn
           • company
           • department
           • displayName
           • distinguishedName
           • division
           • employeeID
           • ipaUniqueID
           • l
           • mail
           • mailNickname
           • managedObjects
           • manager
           • memberOf (по этому атрибуту события можно искать при корреляции)
           • mobile
           • objectGUID (этот атрибут запрашивается из Active Directory всегда)
           • objectSid
           • physicalDeliveryOfficeName
           • sAMAccountName
           • sAMAccountType
           • sn
           • streetAddress
           • telephoneNumber
           • title
           • userAccountControl
           • userPrincipalName
           • whenChanged
           • whenCreated

           После того, как вы добавите пользовательские атрибуты в параметрах подключения к LDAP, раскрывающийся список LDAP-атрибуты в коллекторе будет автоматически дополнен. Пользовательские атрибуты можно отличить по знаку вопроса рядом с именем атрибута. Если для нескольких доменов вы добавили один и тот же атрибут, в раскрывающемся списке атрибут будет указан один раз, а домены можно просмотреть, если навести курсор на знак вопроса. Названия доменов отображаются в виде ссылок: если вы нажмете на ссылку, домен автоматически добавится в Сопоставление с учетными записями LDAP, если прежде он не был добавлен.

           Если вы удалили пользовательский атрибут в параметрах подключения к LDAP, удалите вручную строку с атрибутом из таблицы сопоставления в коллекторе. Информация об атрибутах учетных записей в KUMA обновляется каждый раз после того, как вы выполните импорт учетных записей.  

        2. Импортируйте учетные записи.
        3. В коллекторе в таблице Обогащение полей KUMA задайте правила сопоставления полей KUMA с атрибутами LDAP.
        4. Перезапустите коллектор.

           После перезапуска коллектора KUMA начнет обогащать события учетными записями.

      • В столбце Поле для записи данных укажите, в какое поле события KUMA следует помещать идентификатор пользовательской учетной записи, импортированной из LDAP, если сопоставление успешно.

   С помощью кнопки Добавить в таблицу можно добавить строку, а с помощью кнопки Удалить – удалить. С помощью кнопки Применить сопоставление по умолчанию можно заполнить таблицу сопоставления стандартными значениями.

   При добавлении в существующий коллектор обогащения с помощью LDAP или изменении параметров обогащения требуется остановить и запустить сервис снова.

Добавление точки назначения (необязательный этап)

Вы можете выбрать или создать точки назначения, в параметрах которых будут определено, куда следует перенаправлять обработанные коллектором события. Обычно события от коллектора перенаправляются в коррелятор для анализа и поиска угроз и в хранилище для хранения, а также чтобы обработанные события можно было просматривать позднее. При необходимости события можно отправлять, например, в маршрутизатор событий. В этом случае следует выбрать коннектор internal на шаге Транспорт. Точек назначения может быть несколько.

Чтобы добавить точку назначения:

1. В разделе Маршрутизация нажмите Добавить.
2. В открывшемся окне Создание точки назначения в поле Точка назначения выберите тип точки назначения, которую вы хотите добавить, или создайте новую, нажав Создать и настроив следующие параметры:
   1. На вкладке Основные параметры в поле Название введите уникальное имя точки назначения. Название должно содержать от 1 до 128 символов в кодировке Unicode.
   2. С помощью переключателя Состояние вы можете при необходимости включить или выключить сервис.
   3. В раскрывающемся списке Тип выберите тип точки назначения. Доступны следующие значения:
      • internal
      • nats-jetstream
      • tcp
      • udp
      • http
      • diode
      • kafka
      • file
      • storage
      • correlator
      • eventRouter
   4. На вкладке Дополнительные параметры укажите значения для параметров настройки. Набор параметров для настройки зависит от типа точки назначения, выбранного на вкладке Основные параметры. Более подробная информация о параметрах и значениях доступна по ссылке для каждого типа точки назначения в пункте c. этой инструкции.

Созданная точка назначения отобразится на вкладке мастера установки. Точку назначения можно удалить из набора ресурсов, выбрав ее и в открывшемся окне нажав Удалить.

Проверка параметров коллектора

На этом этапе в KUMA создается набор ресурсов для сервиса и на основе этого набора автоматически создаются сервисы:

• Набор ресурсов для коллектора отображается в разделе Ресурсы → Коллекторы. Его можно использовать для создания новых сервисов коллектора. При изменении этого набора ресурсов все сервисы, которые работают на его основе, будут использовать новые параметры, если сервисы перезапустить: для этого можно использовать кнопки Сохранить и перезапустить сервисы и Сохранить и обновить параметры сервисов.

  Набор ресурсов можно изменять, копировать, переносить из папки в папку, удалять, импортировать и экспортировать, как другие ресурсы.

• Сервисы отображаются в разделе Ресурсы → Активные сервисы. Созданные с помощью мастера установки сервисы выполняют функции внутри решения KUMA – для связи с внешними частями сетевой инфраструктуры необходимо установить аналогичные внешние сервисы на предназначенных для них серверах и устройствах. Например, внешний сервис коллектора следует установить на сервере, предназначенном для получения событий; внешние сервисы хранилища – на серверах с развернутой службой ClickHouse; внешние сервисы агентов – на тех устройствах Windows, где требуется получать и откуда необходимо пересылать события Windows.

Чтобы проверить параметры коллектора:

1. В разделе Проверка параметров нажмите Сохранить и создать сервис.

   Отобразится таблица сервисов, созданных на основе набора ресурсов, выбранных в мастере установки. В нижней части окна отобразятся примеры команд, с помощью которых необходимо установить внешние аналоги этих сервисов на предназначенные для них серверы и устройства.

   Пример

   /opt/kaspersky/kuma/kuma collector --core https://kuma-example:<порт, используемый для связи с Ядром KUMA> --pair.fingerprint <идентификатор отпечатка CA-сертификата Ядра KUMA> --id <идентификатор сервиса> --api.port <порт, используемый для связи с сервисом> --install

   где:

   <идентификатор отпечатка CA-сертификата Ядра KUMA> - идентификатор отпечатка CA-сертификата, используемый для проверки подлинности при подключении сервиса.

   Параметр --pair.fingerprint является необязательным. При создании сервиса KUMA автоматически добавляет этот параметр в команду установки и указывает идентификатор отпечатка.
   Вы можете выполнить установку сервиса без указания параметра --pair.fingerprint. В этом случае KUMA использует значение insecure по умолчанию, что не обеспечивает проверку подлинности CA-сертификата Ядра KUMA при установлении соединения. Если используется значение insecure, обновление отпечатка после перевыпуска CA-сертификата не требуется.
   
   Для обеспечения проверки подлинности CA-сертификата Ядра KUMA рекомендуется не удалять параметр --pair.fingerprint с идентификатором отпечатка при установке сервиса. При перевыпуске CA-сертификата необходимо скопировать новый отпечаток сертификата в веб-интерфейсе и перезапустить сервис с обновленным значением параметра.

   Файл kuma можно найти внутри установщика в директории /kuma-ansible-installer/roles/kuma/files/.

   Порт для связи с Ядром KUMA, идентификатор сервиса, идентификатор отпечатка CA-сертификата и порт для связи с сервисом добавляются в команду автоматически. Также следует убедиться в сетевой связности системы KUMA и при необходимости открыть используемые ее компонентами порты.

2. Закройте окно создания коллектора, нажав Сохранить коллектор.

Сервис коллектора будет создан в KUMA. Теперь сервис необходимо установить на сервере, предназначенном для получения событий.

Если в коллекторе был выбран коннектор типа WEC, WMI или ETW, потребуется также установить автоматически созданные агенты KUMA.

После завершения создания и настройки коллектора требуется установить коллектор KUMA на сервере.