Kaspersky Security Center (Сервер администрирования)

Настройка получения и передачи событий от Сервера администрирования Kaspersky Security Center в Kaspersky SIEM состоит из следующих этапов:

Настройка передачи событий Kaspersky Security Center

Kaspersky Security Center позволяет настроить параметры экспорта событий в SIEM-систему в формате CEF.

Функция экспорта событий Kaspersky Security Center в SIEM-системы в формате CEF доступна при наличии лицензии Kaspersky Endpoint Security для бизнеса Расширенный или выше.

1. В дереве консоли Kaspersky Security Center выберите узел Сервер администрирования.
2. В рабочей области узла выберите вкладку События.
3. Перейдите по ссылке Настроить параметры уведомлений и экспорта событий и в раскрывающемся списке выберите Настроить экспорт в SIEM-систему.

   Откроется окно Свойства: События. По умолчанию откроется раздел Экспорт событий.

4. В разделе Экспорт событий установите флажок Автоматически экспортировать события в базу SIEM-системы.
5. В раскрывающемся списке SIEM-система выберите ArcSight (CEF-формат).
6. Укажите адрес сервера SIEM-системы KUMA и порт для подключения к серверу в соответствующих полях. В качестве протокола выберите TCP/IP.

   Вы можете нажать на кнопку Экспортировать архив и указать дату, начиная с которой уже созданные события KUMA будут экспортироваться в базу SIEM-системы. По умолчанию Kaspersky Security Center экспортирует события с текущей даты.

7. Нажмите на кнопку ОК.

Сервер администрирования Kaspersky Security Center будет автоматически экспортировать все события в Kaspersky SIEM.

Настройка коллектора KUMA для получения событий Kaspersky Security Center

После завершения настройки экспорта событий от Сервера администрирования Kaspersky Security Center в формате CEF вам нужно настроить коллектор в веб-интерфейсе Kaspersky SIEM.

1. В веб-интерфейсе KUMA перейдите в раздел Ресурсы → Коллекторы.
2. В списке коллекторов найдите коллектор с нормализатором [OOTB] KSC и нажмите на него, чтобы открыть для редактирования.
3. На шаге Транспорт в поле URL укажите порт, по которому коллектор будет получать события Kaspersky Security Center.

   Порт должен совпадать с портом сервера SIEM-системы KUMA.

4. На шаге Парсинг событий проверьте, что выбран нормализатор [OOTB] KSC.
5. На шаге Маршрутизация проверьте, что в набор ресурсов коллектора добавлены следующие точки назначения:
   • Хранилище. Для отправки обработанных событий в хранилище.
   • Коррелятор. Для отправки обработанных событий в коррелятор.

   Если точки назначения Хранилище и Коррелятор не добавлены, создайте их.

6. На шаге Проверка параметров нажмите Сохранить и создать сервис.
7. Скопируйте появившуюся команду для установки коллектора KUMA.

Установка коллектора KUMA в сетевой инфраструктуре

После завершения настройки коллектора для сбора событий Kaspersky Security Center в формате CEF требуется установить коллектор KUMA на сервере сетевой инфраструктуры, предназначенной для получения событий.

Проверка поступления событий Kaspersky Security Center в коллектор KUMA

Вы можете проверить, что экспорт событий из Сервера администрирования Kaspersky Security Center в SIEM-систему KUMA выполнен правильно, выполнив поиск связанных событий в веб-интерфейсе KUMA.

Чтобы отобразить события Kaspersky Security Center в таблице, введите поисковое выражение.

Пример

SELECT

Timestamp,

Severity,

Message

FROM events

WHERE DeviceProduct = 'KSC'

ORDER BY Timestamp DESC

LIMIT 250