Архитектура решения

Стандартная установка решения включает следующие компоненты:

• Ядро – это центральный компонент KUMA, вокруг которого разворачиваются все прочие сервисы и компоненты. Предоставляемый Ядром графический пользовательский веб-интерфейс предназначен для настройки и управления компонентами системы, визуализации данных, проведения расследований.

  Ядро позволяет выполнять следующие задачи:

  • создавать и настраивать сервисы (или компоненты) решения, а также интегрировать в систему необходимое программное обеспечение;
  • централизованно управлять сервисами и учетными записями пользователей решения;
  • визуально представлять статистические данные о работе решения;
  • расследовать угрозы безопасности на основе полученных событий.
• Один или несколько коллекторов. Коллектор принимает и приводит события из разных источников к единой схеме данных, позволяет выполнить агрегацию событий по определенному признаку или их обогащение дополнительной информацией. Коллектор передает события в хранилище, коррелятор и/или сторонние сервисы для выявления алертов.
• Коррелятор анализирует поступающие события и выявляет алерты в соответствии с логикой, описанной в корреляционных правилах. Для расширения корреляционного контекста могут применяться активные листы, контекстные таблицы и локальные переменные.
• Хранилище – сервис, являющийся посредником между кластером ClickHouse и остальными сервисами KUMA. Сервис хранилища накапливает данные от коллекторов и корреляторов и передает их в кластер Clickhouse. Сервис хранилища выполняет управление кластером Clickhouse и параметрами хранения накопленных данных. Встроенная функциональность кластера Clickhouse выполняет кластеризацию базы данных, перенос данных между горячим и холодным хранилищами и архивирование данных.
• Метрики – компонент решения, обеспечивающий сбор, хранение и визуализацию параметров работы компонентов KUMA.
• Маршрутизаторы событий, которые принимают события от коллекторов и с учетом настроенных фильтров направляют события в заданных точки назначения.

  Маршрутизатор событий не является обязательным сервисом. Он может потребоваться в компаниях с филиалами, когда между датацентром с корреляторами, хранилищами событий и отдаленным филиалом узкие или перегруженные каналы связи. В таком случае в датацентре можно установить марштуризатор событий, а коллекторы отдаленного филиала настроить на отправку данных в марштуризатор, а не по отдельности в корреляторы и хранилища. Это позволяет снизить нагрузку на сетевые каналы.

• Агенты, которые используются для пересылки сырых событий с серверов и рабочих станций под управлением операционных систем семейства Windows и Linux в точки назначения KUMA.

  При необходимости агент может использоваться для распределения потока событий между несколькими компонентами KUMA и автоматического переключения на резервный компонент в случае недоступности основного.

Все сервисы KUMA передают события между компонентами по надежным транспортным протоколам с возможностью использования шифрования. При недоступности точки назначения сервис сохраняет события в локальном буфере файловой системы и передает их после восстановления соединения. Размер буфера для временного хранения событий настраивается.

Архитектура KUMA