Установка коррелятора на сервере

После создания коррелятора необходимо установить его на сервере сетевой инфраструктуры, предназначенной для получения событий.

Чтобы установить коррелятор:

1. Войдите на сервер, на котором вы хотите установить сервис.
2. Выполните команду, которую вы скопировали на последнем этапе создания коррелятора Проверка параметров.

   Пример команды для установки стандартного коррелятора

   sudo /opt/kaspersky/kuma/kuma correlator --core https://<FQDN>:<port> --pair.fingerprint <CA_certificate_ID> --id <service_ID> --api.port <API_port> --install

   Пример команды для установки коррелятора NG

   sudo /opt/kaspersky/kuma/kuma ng correlator --id <service_ID> --core https://<FQDN>:<port> --api.port <API_port> --wd

   sudo /opt/kaspersky/kuma/correlatorNg/<UUID> --pair.fingerprint <CA_certificate_ID>

   Параметр --pair.fingerprint является необязательным. При создании сервиса KUMA автоматически добавляет этот параметр в команду установки и указывает идентификатор отпечатка.
   Вы можете выполнить установку сервиса без указания параметра --pair.fingerprint. В этом случае KUMA использует значение insecure по умолчанию, что не обеспечивает проверку подлинности CA-сертификата Ядра KUMA при установлении соединения. Если используется значение insecure, обновление отпечатка после перевыпуска CA-сертификата не требуется.
   
   Для обеспечения проверки подлинности CA-сертификата Ядра KUMA рекомендуется не удалять параметр --pair.fingerprint с идентификатором отпечатка при установке сервиса. При перевыпуске CA-сертификата необходимо скопировать новый отпечаток сертификата в веб-интерфейсе и перезапустить сервис с обновленным значением параметра. .

   При развертывании нескольких сервисов KUMA на одном хосте в процессе установки необходимо указать уникальные порты для каждого компонента с помощью параметра --api.port <port>. По умолчанию используется значение --api.port 7221.

Коррелятор установлен. С его помощью можно анализировать события на предмет угроз.

Чтобы проверить готовность коррелятора к получению событий:

1. В веб-интерфейсе KUMA откройте раздел Ресурсы → Активные сервисы.
2. Убедитесь, что у установленного вами коррелятора зеленый статус.

Если в коррелятор поступают события, удовлетворяющие условиям фильтра правил корреляции, на вкладке событий будут отображаться события с параметрами DeviceVendor=Kaspersky и DeviceProduct=KUMA. Название сработавшего правила корреляции будет отображаться как название этих корреляционных событий.

Если корреляционные события не найдены, можно создать более простую версию правила корреляции, чтобы найти возможные ошибки. Используйте правило корреляции типа Simple и одно действие Отправить событие на дальнейшую обработку. Рекомендуется создать фильтр для поиска событий, которые KUMA получает регулярно.

При обновлении, добавлении или удалении правила корреляции требуется обновить параметры коррелятора.

Когда вы закончите тестирование правил корреляции, необходимо удалить все тестовые и временные правила корреляции из KUMA и обновить параметры коррелятора.