Управление активами

Активы представляют собой устройства и системы в организации, для которых поступают события безопасности. Это могут быть рабочие станции, серверы, сетевое оборудование, мобильные устройства и другие объекты инфраструктуры. Активы генерируют сетевой трафик при отправке и получении данных. Решение KUMA может быть настроено для отслеживания этой активности и создания базовых событий с четким указанием того, откуда исходит трафик и куда он направляется. В событии могут быть записаны исходные и целевые IP-адреса, а также DNS-имена. Если вы регистрируете актив с определенными параметрами (например, конкретным IP-адресом), формируется связь между этим активом и всеми событиями, в которых указаны эти параметры (например, с IP-адресом).

Активы рекомендуется регистрировать в KUMA, поскольку их использование позволяет формулировать четкие и универсальные правила корреляции для более эффективного анализа событий.

После добавления активов в KUMA их идентификаторы будут добавляться при обогащении событий. При анализе событий вы получите дополнительную информацию об устройстваах и системах в организации.

Вы можете просматривать информацию об активах, искать активы по заданным критериям, редактировать их и удалять, а также экспортировать данные о них в CSV-файл.

Категории активов

Активы можно группировать активы по категориям. Это позволяет создать прозрачную структуру вашей сети, а также дает дополнительные возможности при работе с правилами корреляции. Например, можно создавать алерты более высокого уровня важности для активов из более критичной категории. По умолчанию все активы находятся в категории Активы без категории. Устройство можно добавить в несколько категорий.

Когда обрабатывается событие, к которому привязан актив, категория этого актива также принимается во внимание. Например, если вы присвоите высокий уровень важности определенной категории активов, то связанные с этими активами базовые события создадут корреляционные события с более высоким уровнем важности. Что приведет к появлению обнаружений с более высоким уровнем важности и, следовательно, более быстрой реакцией на такой алерт.

По умолчанию KUMA категориям активов присвоены следующие уровни важности: Низкий, Средний, Высокий, Критичный. Вы можете создать пользовательские категории и организовать вложенность.

Категории можно наполнять следующими способами:

• Вручную
• Активно: динамически, если актив соответствует условиям.

  Условия активного наполнения

  1. В раскрывающемся списке Регулярность категоризации укажите периодичность, с которой активы будут привязываться к категории. Можно выбрать значения от одного раза в час до одного раза в сутки.

     Категоризацию можно запустить принудительно, выбрав в контекстном меню категории Начать категоризацию.

  2. В блоке параметров Условия укажите фильтр, которому должны соответствовать активы для привязывания к категории.

     Условия можно добавлять с помощью кнопок Добавить условие. Группы условий можно добавлять с помощью кнопок Добавить группу. Групповые операторы можно переключать между значениями И, ИЛИ, НЕ.

     Операнды и операторы фильтра категоризации

     Операнд	Операторы	Комментарий
     Номер сборки	=, ilike
     ОС	=, ilike	Оператор ilike обеспечивает регистронезависимый поиск.
     IP-адрес	inSubnet, inRange	IP-адрес указывается в нотации CIDR (например: 192.168.0.0/24). При выборе оператора inRange допускается указывать только адреса из частных диапазонов IP-адресов (например: 10.0.0.0-10.255.255.255). Оба адреса должны быть из одного диапазона.
     Полное доменное имя	=, ilike	Оператор ilike обеспечивает регистронезависимый поиск.
     CVE	=, in	Оператор in позволяет указать массив идентификаторов CVE (Common Vulnerabilities and Exposures), например, CVE-2017-0143.
     CVSS	>, >=, =, <=,<	Уровень критичности уязвимостей CVE на активе. Возможные значения параметра CVSS – от 0 до 10. Для уязвимостей из Kaspersky Security Center неприменимо.
     Количество CVE	>, >=, =, <=, <	Количество уникальных уязвимостей с признаком CVE на активе. Уязвимости без CVE не учитываются. Для категоризации по количеству CVE с определенным уровнем критичности используется комбинированное условие. Например: Количество CVE >= 1 И CVSS >= 6.5
     ПО	=, ilike	Категоризация по ПО, установленному на активе. Оператор ilike обеспечивает регистронезависимый поиск.
     Версия ПО	=, ilike, in	Категоризация по номеру версии (сборки) ПО, установленного на активе. Оператор ilike обеспечивает регистронезависимый поиск.
     КИИ	in	Можно выбрать более одного значения.
     Группа KSC	=, ilike	Категоризация по названию группы администрирования Kaspersky Security Center, в которую помещен актив.
     Последнее обновление антивирусных баз	>=,<=	Для выполнения категоризации время приводится в UTC, и затем в интерфейсе KUMA конвертируется в соответствии с локальным часовым поясом, установленным в браузере. Вы можете указать дату и время для этого операнда одним из следующих способов: Выбрать точную дату в календаре. Выбрать период относительно настоящего времени в списке Относительный период. Указать значение вручную: точные дату и время или относительный период, а также комбинацию этих способов. Подробнее см. ниже в подразделе Использование временных значений. Использование относительного периода при регулярной категоризации учитывает актуальную на момент запуска категоризации информацию об активах.
     Последнее обновление информации	>=,<=	Для выполнения категоризации время приводится в UTC, и затем в интерфейсе KUMA конвертируется в соответствии с локальным часовым поясом, установленным в браузере. Вы можете указать дату и время для этого операнда одним из следующих способов: Выбрать точную дату в календаре. Выбрать период относительно настоящего времени в списке Относительный период. Указать значение вручную: точные дату и время или относительный период, а также комбинацию этих способов. Подробнее см. ниже в подразделе Использование временных значений. Использование относительного периода при регулярной категоризации учитывает актуальную на момент запуска категоризации информацию об активах.
     Последнее обновление защиты	>=,<=	Для выполнения категоризации время приводится в UTC, и затем в интерфейсе KUMA конвертируется в соответствии с локальным часовым поясом, установленным в браузере. Вы можете указать дату и время для этого операнда одним из следующих способов: Выбрать точную дату в календаре. Выбрать период относительно настоящего времени в списке Относительный период. Указать значение вручную: точные дату и время или относительный период, а также комбинацию этих способов. Подробнее см. ниже в подразделе Использование временных значений. Использование относительного периода при регулярной категоризации учитывает актуальную на момент запуска категоризации информацию об активах.
     Время начала последней сессии	>=,<=	Для выполнения категоризации время приводится в UTC, и затем в интерфейсе KUMA конвертируется в соответствии с локальным часовым поясом, установленным в браузере. Вы можете указать дату и время для этого операнда одним из следующих способов: Выбрать точную дату в календаре. Выбрать период относительно настоящего времени в списке Относительный период. Указать значение вручную: точные дату и время или относительный период, а также комбинацию этих способов. Подробнее см. ниже в подразделе Использование временных значений. Использование относительного периода при регулярной категоризации учитывает актуальную на момент запуска категоризации информацию об активах.
     Расширенный статус KSC	in	Расширенный статус устройства. Можно выбрать более одного значения.
     Статус постоянной защиты	=	Статус приложений "Лаборатории Касперского", установленных на управляемом устройстве.
     Статус шифрования	=
     Статус защиты от спама	=
     Статус антивирусной защиты почтовых серверов	=
     Статус защиты данных от утечек	=
     Идентификатор расширенного статуса KSC	=
     Статус Endpoint Sensor	=
     Последнее появление в сети	>=,<=	Для выполнения категоризации время приводится в UTC, и затем в интерфейсе KUMA конвертируется в соответствии с локальным часовым поясом, установленным в браузере. Вы можете указать дату и время для этого операнда одним из следующих способов: Выбрать точную дату в календаре. Выбрать период относительно настоящего времени в списке Относительный период. Указать значение вручную: точные дату и время или относительный период, а также комбинацию этих способов. Подробнее см. ниже в подразделе Использование временных значений. Использование относительного периода при регулярной категоризации учитывает актуальную на момент запуска категоризации информацию об активах.
     Рейтинг AI	>,>=,=,<=,<	Категоризация по рейтингам активов, присвоенным AI-сервисами.
     Статус	=, in	Категоризация по предустановленным статусам актива, присвоенным AI-сервисами.
     Настраиваемое поле актива	=, ilike	Категоризация по значениям настраиваемых полей активов.

     Использование временных значений

     Некоторые условия, например, Последнее обновление антивирусных баз или Время начала последней сессии, используют дату и время в качестве значения операнда. Для этих условий вы можете использовать точные дату и время или относительный период.

     Чтобы указать значение даты и времени:

     1. Выберите необходимый операнд, оператор и нажмите на поле даты.
     2. Выполните одно из следующих действий:
        • В календаре выберите точную дату.

          По умолчанию к выбранной дате будет автоматически добавлено текущее время с точностью до миллисекунд. При изменении даты в календаре указанное время не меняется. Дата и время отображаются в соответствии с часовым поясом браузера. При необходимости вы можете изменить дату и время в поле вручную.

        • В списке Относительный период выберите относительный период.

          Период рассчитывается относительно текущего времени запуска категоризации и учитывает актуальную на этот момент информацию об активах. Например, для условия Последнее обновление антивирусных баз вы можете выбрать значение 1 час и оператор >=, чтобы регулярно привязывать к категории активы, для которых антивирусные базы не обновлялись более 1 часа до запуска категоризации.

        • В поле даты и времени введите значение вручную.

          Вы можете указать точные дату и время в формате DD.MM.YYYY HH:mm:ss.SSS для русской локализации и YYYY-MM-DD HH:mm:ss.SSS для английской локализации или относительный период в виде формулы. При необходимости вы также можете комбинировать эти способы.

          Если при вводе точной даты вы не указали миллисекунды, значение 000 подставляется автоматически.

          В формулах относительного периода используйте параметр now для обозначения текущих даты и времени и язык параметризации интервалов: символы +, -, / (округление до ближайшего), а также единицы изменения времени y (год), M (месяц), w (неделя), d (день), h (час), m (минута), s (секунда).

          Например, для условия Последнее обновление информации вы можете указать значение now-2d с оператором >= и значение now-1d с оператором >=, чтобы регулярно привязывать к категории активы, информация о которых обновилась за сутки до запуска категоризации; или указать значение now/w с оператором <=, чтобы регулярно привязывать к категории активы, информация о которых обновилась с начала первого дня текущей недели (00:00:00:000 в UTC) до текущего времени now.

          Время в KUMA хранится в UTC, но в интерфейсе оно конвертируется в соответствии с часовым поясом вашего браузера. Это нужно учитывать для относительных периодов Сегодня, Вчера, Эта неделя и Этот месяц. Например, если в браузере установлен часовой пояс UTC+3 и вы выбрали период Сегодня, в категорию будут попадать активы за период с 03:00:00.000 до текущего времени, а не с 00:00:00.000.

          Если при выборе относительного периода Сегодня, Вчера, Эта неделя или Этот месяц вы хотите при категоризации учитывать ваш часовой пояс, вам нужно вручную добавить сдвиг по времени в поле даты и времени, прибавив или убавив необходимое количество часов. Например, если в браузере установлен часовой пояс UTC+3 и вы хотите при категоризации учитывать период Вчера, вам нужно изменить значение на now-1d/d-3h. Если же вы хотите при категоризации учитывать период Сегодня – на now/d-3h.

  3. С помощью кнопки Проверить условия убедитесь, что указанный фильтр верен: при нажатии на кнопку отображается окно Активы, найденные по заданным условиям с перечнем активов, удовлетворяющих условиям поиска.

  Например, с момента перехода актива на указанную версию ОС или размещения актива в указанной подсети актив будет перемещен в заданную категорию. Если вы указали относительный период и выбрали регулярность категоризации, например, каждый час, при каждом запуске категоризации условие будет учитывать информацию об активах, актуальную на момент запуска категоризации.

• Реактивно: при срабатывания корреляционного правила актив будет перемещаться в указанную группу.

В KUMA активы распределены по тенантам и категориям. Активы выстроены в древовидную структуру, где в корне находятся тенанты и от них ветвятся категории активов. Вы можете просмотреть дерево тенантов и категорий в разделе Активы → Все активы веб-интерфейса KUMA. Если выбрать узел дерева, в правой части окна отображаются активы, относящиеся к соответствующей категории. Активы из подкатегорий выбранной категории отображаются, если вы укажете, что хотите отображать активы рекурсивно. Вы можете выделить флажками тенанты, активы которых хотите просматривать.

Чтобы вызвать контекстное меню категории, наведите указатель мыши на категорию и нажмите на значок с многоточием, который появится справа от названия категории. В контекстном меню доступны следующие действия:

Действия, доступные в контекстном меню категории