Установка коллектора на сервере

После создания коллектора необходимо установить его на сервере сетевой инфраструктуры, предназначенной для получения событий.

Чтобы установить коллектор:

1. Войдите на сервер, на котором вы хотите установить сервис.
2. Получите идентификатор сервиса. Для этого в веб-интерфейсе в разделе Ресурсы → Активные сервисы откройте контекстное меню Ядра KUMA и нажмите Копировать идентификатор.
3. Выполните следующую команду:

   sudo /opt/kaspersky/kuma/kuma collector --core https://<FQDN>:<port> --pair.fingerprint <CA_cert_ID> --id <service_ID> --api.port <API_port>

   где:

   • <FQDN> — полное доменное имя сервера Ядра KUMA.
   • <port> — номер порта Ядра KUMA для внутренних коммуникаций (по умолчанию используется порт 7210).
   • <CA_cert_ID> — идентификатор отпечатка CA-сертификата, используемый для проверки подлинности при подключении сервиса.

     Параметр --pair.fingerprint является необязательным. При создании сервиса KUMA автоматически добавляет этот параметр в команду установки и указывает идентификатор отпечатка.
     Вы можете выполнить установку сервиса без указания параметра --pair.fingerprint. В этом случае KUMA использует значение insecure по умолчанию, что не обеспечивает проверку подлинности CA-сертификата Ядра KUMA при установлении соединения. Если используется значение insecure, обновление отпечатка после перевыпуска CA-сертификата не требуется.
     
     Для обеспечения проверки подлинности CA-сертификата Ядра KUMA рекомендуется не удалять параметр --pair.fingerprint с идентификатором отпечатка при установке сервиса. При перевыпуске CA-сертификата необходимо скопировать новый отпечаток сертификата в веб-интерфейсе и перезапустить сервис с обновленным значением параметра.

   • <service_ID> — идентификатор маршрутизатора, скопированный из веб-интерфейса KUMA.
   • <API_port> — порт, используемый для связи с устанавливаемым компонентом.

   Пример

   sudo /opt/kaspersky/kuma/kuma collector --core https://kuma.example.com:7210 --pair.fingerprint XXXX --id XXXX --api.port YYYY

   Если в результате выполнения команды были выявлены ошибки, проверьте корректность параметров. Например, наличие требуемого уровня доступа, сетевой доступности между сервисом коллектора и Ядром, уникальность выбранного API-порта. После устранения ошибок продолжите установку коллектора.

   Если ошибки не выявлены, а статус коллектора в веб-интерфейсе KUMA изменился на зеленый, остановите выполнение команды и перейдите к следующему шагу.

   Команду можно скопировать на последнем шаге мастера установщика. В команде автоматически указывается адрес и порт сервера Ядра KUMA, идентификатор устанавливаемого коллектора, идентификатор отпечатка CA-сертификата, а также порт, который этот коллектор использует для связи.

   При развертывании нескольких сервисов KUMA на одном хосте в процессе установки необходимо указать уникальные порты для каждого компонента с помощью параметра --api.port <API_port>. По умолчанию используется значение --api.port 7221.

   Перед установкой вам нужно убедиться в сетевой связности компонентов KUMA.

4. Выполните команду повторно, добавив ключ --install:

   sudo /opt/kaspersky/kuma/kuma collector --core https://<FQDN>:<port> --pair.fingerprint <CA_cert_ID> --id <service_ID> --api.port <API_port> --install

   Пример

   sudo /opt/kaspersky/kuma/kuma collector --core https://example.com:7210 --pair.fingerprint XXXX --id XXXX --api.port YYYY --install

5. Добавьте порт коллектора KUMA в исключения брандмауэра.

   Для правильной работы решения убедитесь, что компоненты KUMA могут взаимодействовать с другими компонентами и программами по сети через протоколы и порты, указанные во время установки компонентов KUMA.

   Коллектор установлен. С его помощью можно получать и передавать на обработку данные из источника события.

6. В разделе Ресурсы → Активные сервисы убедитесь, что у установленного вами коллектора зеленый статус.

   Если статус коллектора отличается от зеленого, просмотрите журнал этого сервиса на машине, где он установлен, в директории /opt/kaspersky/kuma/collector/<идентификатор коллектора>/log/collector. Ошибки записываются в журнал вне зависимости от того, включен или выключен режим отладки.

Если коллектор установлен правильно и вы уверены, что из источника событий приходят данные, то при поиске связанных с ним событий в таблице должны отображаться события.

Чтобы проверить наличие ошибок нормализации с помощью раздела События веб-интерфейса KUMA:

1. Убедитесь, что запущен сервис коллектора.
2. Убедитесь, что источник событий передает события в KUMA.
3. Убедитесь, что в разделе Ресурсы веб-интерфейса KUMA в раскрывающемся списке Хранить исходное событие ресурса Нормализатор выбрано значение При возникновении ошибок.
4. В разделе События в KUMA выполните поиск событий со следующими параметрами:

   ServiceID = <идентификатор коллектора, который требуется проверить>

   Raw != ""

Если при этом поиске будут обнаружены какие-либо события, это означает, что есть ошибки нормализации, и их необходимо исследовать.

Чтобы проверить наличие ошибок нормализации с помощью панели мониторинга KUMA Collectors:

1. Убедитесь, что запущен сервис коллектора.
2. Убедитесь, что источник событий передает события в KUMA.
3. Откройте раздел Метрики и перейдите по ссылке KUMA Collectors.
4. Проверьте, отображаются ли ошибки в разделе Errors (Ошибки) виджета Normalization (Нормализация).

Если в результате обнаружены ошибки нормализации, их необходимо исследовать.

В коллекторах, которые используют в качестве транспорта коннекторы типа WEC, WMI или ETW, необходимо убедиться, что для подключения к агенту используется уникальный порт. Этот порт указывается в разделе Транспорт при создании коллектора.