Импорт ресурсов

В этой статье описывается процесс импорта ресурсов из файла. Ресурсы из репозитория вы можете импортировать в разделе База знаний.

При работе с Kaspersky SIEM рекомендуется использовать ресурсы из пакета [OOTB] KUMA 4.6 resources и ресурсы, опубликованные в репозитории после выхода этого пакета.

Kaspersky SIEM поддерживает импорт ресурсов из более ранней версии в более позднюю, например из KUMA 3.4 в KUMA 4.0.

При импорте нормализаторов поля расширенной схемы событий, используемые в нормализаторах, автоматически создаются в Kaspersky SIEM. Если такое поле уже существует в решении, при импорте будет использовано существующее поле.

Поля расширенной схемы событий создаются автоматически только на основании нормализаторов. Например, при импорте коллектора, содержащего нормализаторы, автоматически создаются все поля расширенной схемы, используемые этими нормализаторами. Поля, которые используются только в обогащениях или правилах корреляции и не используются в нормализаторах, автоматически не создаются в Kaspersky SIEM.

Чтобы импортировать ресурсы из файла:

1. В разделе Ресурсы нажмите Импортировать ресурсы.

   Откроется окно Импортировать ресурсы.

2. В раскрывающемся списке Тенант выберите тенант, которому будут принадлежать импортируемые ресурсы.
3. Выберите файл, из которого вы хотите импортировать ресурсы, а также укажите пароль к этому файлу.
4. Нажмите Импортировать.
5. Если возникли конфликты между импортированными из файла и существующими ресурсами откроется Конфликты. По умолчанию в столбце Родительский объект отображается самый верхний родительский ресурс из выбранных при импорте.

   Выполните следующие действия:

   1. Если имя, тип и идентификатор (GUID) импортированных ресурсов полностью совпадает с именем, типом и/или идентификатором существующего ресурса, откроется окно Конфликты с таблицей, в которой отображаются тип и имя конфликтующих ресурсов. Разрешите отображаемые конфликты:
      • Если вы хотите заменить существующий ресурс новым, нажмите Заменить.

        Нажмите Заменить все, чтобы заменить все конфликтующие ресурсы. При этом все связанные ресурсы также будут автоматически заменены импортированными ресурсами.

      • Если вы хотите оставить существующий ресурс, нажмите Пропустить.

        Вариант Пропустить недоступен для ресурсов, привязанных к другим ресурсам. Для таких ресурсов вы можете выбрать только вариант Заменить.

        Нажмите Пропустить все, чтобы сохранить все существующие ресурсы.

   2. Нажмите на кнопку Устранить.

Ресурсы будут импортированы в Kaspersky SIEM. Ресурсы секретов импортируются пустыми. В случае конфликта импортируемые ресурсы будут добавлены в качестве новой версии существующего ресурса. К этой версии будет добавлен комментарий ресурс импортирован.

Возможные ошибки

Связанный ресурс импортируется в тенант, указанный при импорте, а не в тенант Shared

Условия:

• Связанный ресурс изначально находится в тенанте Shared.
• В окне Конфликты вы выбираете Пропустить для всех родительских объектов связанного ресурса из тенанта Shared.
• Связанный ресурс из тенанта Shared оставляете для замены.

После импорта в фильтре у категорий не указан тенант

Условия:

• Фильтр содержит связанные категории активов из разных тенантов.
• Имена категорий активов одинаковы.
• Вы импортируете этот фильтр со связанными категориями активов на новый сервер.

В Тенанте 1 дублируется имя категории активов

Условия:

• В Тенанте 1 у вас есть фильтр со связанными категориями активов из Тенанта 1 и тенанта Shared.
• Имена связанных категорий активов одинаковы.
• Вы импортируете такой фильтр из Тенант 1 в тенант Shared.

Невозможно импортировать конфликтующие ресурсы в один тенант

Ошибка Невозможно импортировать конфликтующие ресурсы в один тенант означает, что в импортируемом пакете есть конфликтующие ресурсы из разных тенантов и их невозможно импортировать в тенант Shared.

Решение: Выберите для импорта пакета другой тенант, а не тенант Shared. Тогда при импорте ресурсы, изначально расположенные в тенанте Shared, будут импортированы в тенант Shared, а ресурсы из другого тенанта будут импортированы в выбранный при импорте тенант.

Только главный администратор может импортировать категории в тенант Shared

Ошибка Только главный администратор может импортировать категории в Общий тенант означает, что в импортируемом пакете есть ресурсы со связанными общими категориями активов. Категории или ресурсы со связанными общими категориями активов можно увидеть в журналах Ядра KUMA, расположенных по следующему пути:

/opt/kaspersky/kuma/core/<core_ID>/log

где <core_ID> – идентификатор экземпляра Ядра KUMA в Raft. Если Ядро KUMA развернуто в единственном экземпляре, вместо идентификатора используются нули: /opt/kaspersky/kuma/core/00000000-0000-0000-0000-000000000000/log.

У каждого экземпляра Ядра KUMA свои файлы журналов.

Решение. Выполните одно из следующих действий:

• Уберите из импорта ресурсы, к которым привязаны общие категории, сняв флажок рядом с этими ресурсами.
• Выполните импорт под учетной записью пользователя с правами Главного администратора.