Что нового в версии 4.6

В Kaspersky Unified Monitoring and Analysis Platform версии 4.6.1 появились следующие возможности и доработки:

• Теперь ресурсы из репозитория вы можете импортировать в разделе База знаний. Из окна импорта ресурсов эта операция больше не доступна.

В Kaspersky Unified Monitoring and Analysis Platform версии 4.6 появились следующие возможности и доработки:

• Для приема событий Netflow из изолированного сетевого сегмента используется выделенный агент, установленный внутри этого сегмента. Агент выполняет роль промежуточного узла: он принимает события NetFlow локально и пересылает их в коллектор, где настроен коннектор Netflow.
• Служебные данные о событиях теперь можно передавать в коллектор из изолированного сетевого сегмента с помощью выделенного агента, установленного внутри этого сегмента.
• Добавлена возможность интеграции с Kaspersky Vulnerability Management. При настроенной интеграции Kaspersky Vulnerability Management передает в KUMA данные о найденных на активах уязвимостях, а также список приложений, установленных на активах. Полученные данные позволяют вам более оперативно выявлять и реагировать на угрозы.
• Снижена нагрузка на DNS-серверы при обогащении DNS: решение осуществляет две попытки обогащения при наступлении события. После обращения к DNS-серверу коллектор кеширует информацию об IP-адресе и имени хоста на диск. Эти данные используются в течение всего срока хранения кешированной записи. Запись о событии хранится на диске до момента удаления кеша или записи с DNS-сервера.
• KUMA теперь можно установить на Red Hat Enterprise Linux 9.8.
• Обновился список поддерживаемых операционных систем, на которые возможно установить KUMA. Минимальная версия ядра Linux на целевых хостах теперь должна быть не ниже 5.15.
• Добавились два новых коннектора для передачи файлов с журналами по протоколам SMB и SFTP.
• Обновился список поддерживаемых источников событий, нормализацию которых поддерживает KUMA.
• Появилась возможность выбрать тему веб-интерфейса решения. Доступны светлая и темная темы.
• Добавлена возможность ограничить количество событий, добавляемых в один алерт, с помощью нового параметра Максимальное количество событий в настройках наполнения алертов.
• Добавлена возможность использовать компактное отображение полей DeviceCustom* и Flex* в карточке события, при котором значения полей *Label отображаются в качестве названий полей.
• Теперь можно настроить интеграцию с KIRA с использованием стороннего LLM-провайдера (режим Custom).
• Теперь в нормализаторе с методом парсинга regexp можно генерировать регулярные выражения на основе добавленных примеров по кнопке Сгенерировать регулярное выражение с помощью KIRA. В этом случае сгенерированные регулярные выражения автоматически добавятся в поле Нормализация.
• Добавлен новый тип преобразования hexToDecimal, который позволяет преобразовывать значения полей исходного события из шестнадцатеричного формата в десятичный перед записью в поля событий KUMA.
• Добавлен новый тип преобразования unicodeUnescape, который позволяет преобразовывать значения полей исходного события из Unicode-строки в человекочитаемый текст перед записью в поля событий KUMA.
• Добавлены подсказки при создании SQL-запросов. При вводе имени функции в поле SQL-запроса отображается список доступных функций, а для выбранной функции – пример ее использования.
• Ресурсы из репозитория импортируются из репозитория на языке, указанном в параметре Локализация ресурсов KUMA в разделе параметров Ядра KUMA.
• Добавлена поддержка SQL-коннектора типа ODBC для баз данных с помощью ODBC-драйвера.
• Обеспечена возможность соответствовать законодательству Европейского союза (GDPR) с помощью инструмента log_archive_setup.py, который осуществляет архивирование, хеширование, шифрование, проверку и удаление открытых данных.
• Добавлена кнопка для проверки подключения к SMTP-серверу. Для проверки подключения KUMA отправляет тестовое сообщение на адрес электронной почты, указанный в профиле текущего пользователя.
• С помощью новых параметров API-метода GET alerts/stream можно ограничить количество событий, связанных с алертом, при выгрузке алертов в стороннюю IRP-систему.
• Для повышения безопасности подключения сервисов к Ядру KUMA добавлен необязательный параметр --pair.fingerprint. Начиная с версии KUMA 4.6, при создании сервисов мастер установки по умолчанию включает в команду установки отпечаток сертификата Ядра KUMA. Например: /opt/kaspersky/kuma/kuma correlator --core https://kuma-example:7210 --pair.fingerprint XXXX --id YYYY --api.port ZZZZ --install. Если использование проверки по отпечатку не требуется, в качестве значения параметра можно указать insecure. При обновлении с версии KUMA 4.2 до 4.6 никаких дополнительных действий не требуется. Сервисы, установленные до версии KUMA 4.6, после обновления по умолчанию используют значение insecure. Если для параметра --pair.fingerprint используется отпечаток сертификата Ядра KUMA, после перевыпуска CA-сертификата необходимо скопировать новый отпечаток в веб-интерфейсе и перезапустить сервисы, таким образом обновив значение параметра в конфигурации systemd. Сертификаты для скачивания перенесены из профиля пользователя в раздел Ресурсы и сервисы → Активные сервисы → меню (). Сертификаты доступны для скачивания, если установлен флажок рядом с сервисом Ядра KUMA.
• Добавлена возможность импортировать из MaxPatrol VM активы с дополнительными параметрами фильтрации. В конфигурационном файле kuma-ptvm-vulnerable-assets-config.yaml доступны параметры фильтрации активов по группам, статусам и уровням критичности уязвимостей (groups, statuses, severities).
• Добавлен новый уровень доступа "Чтение" при работе с партициями хранилища.
• Добавлен новый раздел База знаний, предназначенный для работы с пакетами и ресурсами KUMA. В разделе можно искать и фильтровать пакеты и ресурсы, просматривать информацию о них, устанавливать пакеты целиком или отдельные ресурсы, обновлять ресурсы и просматривать зависимости между ними. KUMA 4.6 не имеет обратной совместимости с репозиторием KUMA 2.1 - 4.2. Все пакеты для KUMA 4.6 новые и их нумерация начата с "1".
• Правила корреляции типа periodical и функция выявления несанкционированного использования учетных записей, добавленные в версии KUMA 4.2 в виде бета-версий, недоступны в KUMA 4.6. Доработка и выпуск этих функций планируется в следующей версии KUMA.