Хранение конфиденциальной информации (секреты)

Для безопасного хранения конфиденциальной информации, такой как логины и пароли, которые Kaspersky SIEM использует для взаимодействия с внешними службами, используются секреты. Если секрет хранит данные учетной записи, такие как логин и пароль, то при подключении коллектора к источнику событий учетная запись, заданная в секрете, может быть заблокирована согласно настроенной в системе-источнике событий парольной политике.

Секреты можно использовать в коллекторах и коннекторах при использовании шифрования TLS, точках назначения при использовании шифрования TLS или авторизации, а также для прокси-серверов.

Просмотр секретов

Чтобы просмотреть секреты,

в веб-интерфейсе откройте раздел Ресурсы и сервисы → Секреты.

Откроется таблица секретов.

Секрет, созданный внутри ресурса в тенанте Shared, не отображается в разделе Ресурсы и сервисы → Секреты и недоступен для просмотра, в том числе пользователю с ролью Главный администратор. Такой секрет доступен для просмотра и действий внутри ресурса, в котором создан, и доступен только для просмотра в разделе Ресурсы и сервисы при выбранном типе отображения Список.

Секреты можно искать по названию с помощью поля Поиск. При поиске секретов используются регулярные выражения.

Таблицу можно сортировать по названию, типу, времени последнего обновления и по названию пакета, нажав на значок сортировки в заголовке столбца и выбрав По возрастанию или По убыванию.

Таблица секретов содержит следующие столбцы:

• Название – название секрета.
• Тип – тип секрета. Вы можете искать типы, нажав на значок сортировки в заголовке столбца, указав значение для поиска в поле Поиск или выбрав типы с помощью флажков.
• Путь до ресурса – тенант, которому принадлежит секрет.
• Последнее обновление – дата и время последнего обновления секрета.
• Создал – имя пользователя, создавшего секрет.
• Описание – информация о секрете, которую вы можете добавить при необходимости.
• Теги – теги для поиска секрета. Вы можете искать секреты по тегам, нажав на значок сортировки в заголовке столбца, указав значение для поиска в поле Поиск или выбрав теги с помощью флажков.
• Название пакета – название пакета инструментов, предназначенного для обработки событий.

Создание секрета

Чтобы создать секрет:

1. В веб-интерфейсе откройте раздел Ресурсы и сервисы → Секреты.
2. В панели инструментов или в меню нажмите на кнопку Создать.
3. В открывшейся боковой панели в поле Название введите уникальное имя секрета. Название должно содержать от 1 до 128 символов в кодировке Unicode.
4. В раскрывающемся списке Тенант выберите, к какому тенанту относится этот секрет.
5. В раскрывающемся списке Тип выберите тип правила обогащения и настройте параметры, специфичные для выбранного типа секрета:

   credentials

   Cекрет типа credentials используется для хранения данных учетных записей, с помощью которых осуществляется подключение к таким внешним службам, как SMTP-серверы или СУБД. Например, когда секрет типа credentials используется для подключения коллектора к источнику событий, учетная запись, заданная в секрете, будет заблокирована при нарушении парольной политики, настроенной для источника событий.

   При выборе этого типа секрета заполните поля Пользователь и Пароль.

   При изменении ранее сохраненного секрета типа credentials поля с именем пользователя и паролем отображаются пустыми. Значения этих полей сохранены, вам не нужно вводить их повторно.

   token

   Секрет типа token используется, чтобы хранить токены для API-запросов. Токены используются, например, при подключении к IRP-системам.

   При выборе этого типа секрета заполните поле Токен.

   ktl

   Секрет типа ktl используется для хранения данных учетной записи Kaspersky Threat Intelligence Portal.

   При выборе этого типа секрета выполните следующие действия:

   1. В полях Пользователь и Пароль укажите имя пользователя и пароль вашей учетной записи Kaspersky Threat Intelligence Portal.
   2. По кнопке Файл обмена личной информацией - PKCS (.PFX) загрузите ключ сертификата Kaspersky Threat Intelligence Portal.
   3. В поле Пароль PFX-файла укажите пароль для доступа к ключу сертификата Kaspersky Threat Intelligence Portal.

   urls

   Секрет типа urls используется для хранения URL для подключения к базам SQL и прокси-серверам.

   При выборе этого типа секрета заполните поле URL. Вы можете указать URL в форматах hostname:port, IPv4:port, IPv6:port, :port.

   В поле Описание рекомендуется описать, для какого именно подключения вы используете секрет urls.

   pfx

   Cекрет типа pfx используется для импорта PFX-файла с сертификатами.

   При выборе этого типа секрета выполните следующие действия:

   1. По кнопке Файл обмена личной информацией - PKCS (.PFX) загрузите PFX-файл.

      Файл должен содержать сертификат и ключ. В PFX-файлы можно включать сертификаты, подписанными центрами сертификации, для проверки сертификатов сервера.

      Сертификат, включенный в PFX-файл, не может быть зашифрован алгоритмом AES-128-CBC. Kaspersky SIEM не поддерживает такие сертификаты.

   2. В поле Пароль PFX-файла укажите пароль для доступа к ключу сертификата.

   kata/edr

   Секрет типа kata/edr используется для хранения файла сертификата и закрытого ключа, требуемых при подключении к серверу Kaspersky Endpoint Detection and Response.

   При выборе этого типа секрета в блоке Файлы аутентификации выполните следующие действия:

   1. При необходимости сгенерируйте сертификат и закрытый ключ шифрования.
   2. Нажмите на кнопку Загрузить сертификат и загрузите сертификат сервера KUMA.

      Файл должен иметь формат PEM. Вы можете загрузить только один файл сертификата.

   3. Нажмите на кнопку Загрузить закрытый ключ и загрузите файл RSA-ключа сервера KUMA.

      Ключ должен быть без пароля и с заголовком PRIVATE KEY. Вы можете загрузить только один файл ключа.

   snmpV1/V2

   Секрет типа snmpV1/V2 используется для хранения значения Уровень доступа (например, public или private), которое требуется при взаимодействии по протоколу Simple Network Management Protocol.

   При выборе этого типа секрета заполните поле Уровень доступа.

   snmpV3

   Секрет типа snmpV3 используется для хранения данных, необходимых при взаимодействии по протоколу Simple Network Management Protocol.

   При выборе этого типа секрета выполните следующие действия:

   1. В поле Пользователь укажите имя пользователя без домена.
   2. В раскрывающемся списке Уровень безопасности выберите один из следующих вариантов:
      • NoAuthNoPriv – сообщения отправляются без аутентификации и обеспечения конфиденциальности.
      • AuthNoPriv – сообщения отправляются с аутентификацией, но без обеспечения конфиденциальности.
      • AuthPriv – сообщения отправляются с аутентификацией и обеспечением конфиденциальности.
   3. Если вы выбрали вариант AuthNoPriv или AuthPriv, в поле Пароль укажите пароль аутентификации пользователя SNMP.
   4. Если вы выбрали вариант AuthNoPriv или AuthPriv, в раскрывающемся списке Протокол аутентификации выберите необходимый протокол: MD5, SHA, SHA224, SHA256, SHA384, SHA512.
   5. Если вы выбрали вариант AuthPriv, в раскрывающемся списке Протокол шифрования выберите необходимый протокол: DES или AES
   6. Если вы выбрали вариант AuthPriv, в поле Пароль обеспечения безопасности укажите пароль шифрования, который был указан при создании пользователя SNMP.

   certificate

   Ceкрет типа certificate используется для хранения файлов сертификатов.

   При выборе этого типа секрета загрузите сертификат по кнопке Загрузить файл сертификата. Поддерживаются открытые ключи сертификата X.509 в Base64

   fingerprint

   Секрет типа fingerprint используется для хранения значения параметра Elastic fingerprint, которое может использоваться при подключении к серверу Elasticsearch.

   При выборе этого типа сертфиката заполните поле Elastic fingerprint.

   PublicPKI

   Cекрет типа PublicPKI используется для подключения коллектора к ClickHouse.

   При выборе этого варианта требуется указать секрет, содержащий закрытый ключ PEM, закодированный в base64, и открытый ключ.

   ssh private key

   Cекрет типа ssh private key используется в коннекторе SFTP для подключения к SFTP-серверу.

   При выборе этого варианта требуется указать имя пользователя и файл, содержащий закрытый SSH-ключ.

6. При необходимости в раскрывающемся списке Теги выберите теги для секрета.
7. При необходимости в поле Описание добавьте описание секрета. Описание может содержать до 4000 символов в кодировке Unicode.
8. Нажмите на кнопку Создать.

Секрет будет сохранен и отобразится в таблице.

Удаление секрета

Чтобы удалить секрет:

1. В веб-интерфейсе откройте раздел Ресурсы и сервисы и выберите тип отображения ресурсов и сервисов Список.

   В режиме Список отображаются все секреты, включая встроенные секреты, созданные в ресурсах тенанта Shared. Такие секреты не отображаются в разделе Секреты.

2. Если секрет привязан к ресурсу, перед удалением отвяжите его одним из следующих способов:
   • В ресурсе выберите другой секрет. В этом случае текущий секрет будет автоматически отвязан и доступен для удаления.
   • Удалите ресурс, к которому привязан секрет. В этом случае секрет также будет автоматически отвязан и доступен для удаления.
3. В списке установите флажок рядом с секретом, который требуется удалить, и на панели инструментов нажмите Удалить.

Секрет удален.

Предустановленные секреты

В поставку Kaspersky SIEM входят перечисленные в таблице ниже секреты.

Предустановленные секреты