Kaspersky Security Center (MS SQL)

Настройка получения информации о событиях Kaspersky Security Center из базы данных MS SQL (далее MS SQL) в Kaspersky SIEM состоит из следующих этапов:

Создание учетной записи в MS SQL

Для получения событий Kaspersky Security Center из MS SQL требуется учетная запись, которая имеет права, необходимые для подключения и работы с базой данных.

1. Войдите на сервер с установленной MS SQL для Kaspersky Security Center.
2. С помощью SQL Server Management Studio подключитесь к MS SQL под учетной записью с правами администратора.
3. В панели Object Explorer раскройте раздел Security.
4. Нажмите правой кнопкой мыши на папку Logins и в контекстном меню выберите New Login.

   Откроется окно Login - New.

5. На вкладке General нажмите на кнопку Search рядом с полем Login name.

   Откроется окно Select User or Group.

6. В поле Enter the object name to select (examples) укажите имя объекта и нажмите ОК.

   Окно Select User or Group закроется.

7. В окне Login - New на вкладке General выберите Windows authentication.
8. В поле Default database выберите базу данных Kaspersky Security Center.

   По умолчанию имя базы данных – Kaspersky Security Center: KAV.

9. На вкладке User Mapping настройте права для учетной записи:
   1. В разделе Users mapped to this login выберите базу данных Kaspersky Security Center.
   2. В разделе Database role membership for установите флажки возле прав db_datareader и public.
10. На вкладке Status настройте права для подключения учетной записи к базе данных:
    • В разделе Permission to connect to database engine выберите Grant.
    • В разделе Login выберите Enabled.
11. Нажмите ОК.

    Окно Login - New закроется.

После создания учетной записи, необходимо проверить настроенные права. Для этого вам нужно запустить SQL Server Management Studio под созданной учетной записью, а затем перейти в любую таблицу MS SQL и сделать выборку по этой таблице.

Настройка службы SQL Server Browser

После создания учетной записи в MS SQL требуется настроить службу SQL Server Browser.

1. Откройте SQL Server Configuration Manager.
2. В левой панели выберите SQL Server Services.

   Откроется список служб.

3. Откройте свойства службы SQL Server Browser одним из следующих способов:
   • Дважды нажмите на название службы SQL Server Browser.
   • Нажмите правой кнопкой мыши на название службы SQL Server Browser и в контекстном меню выберите Properties.
4. В открывшемся окне SQL Server Browser Properties выберите вкладку Service.
5. В поле Start Mode выберите Automatic.
6. Выберите вкладку Log On и нажмите на кнопку Start.

   Автоматический запуск службы SQL Server Browser включен.

7. Включите и настройте протокол TCP/IP, выполнив следующие действия:
   1. В левой панели раскройте раздел SQL Server Network Configuration и выберите подраздел Protocols for <Имя SQL-сервера>.
   2. Нажмите правой кнопкой мыши на протокол TCP/IP и в контекстом меню выберите Enable.
   3. В появившемся окне Warning нажмите OK.
   4. Откройте свойства протокола TCP/IP одним из следующих способов:
      • Дважды нажмите на протокол TCP/IP.
      • Нажмите правой кнопкой мыши на протокол TCP/IP и в контекстном меню выберите Properties.
   5. Выберите вкладку IP Addresses, а затем в разделе IPALL в поле TCP Port укажите порт 1433.
   6. Нажмите на кнопку Apply, чтобы сохранить внесенные изменения.
   7. Нажмите на кнопку ОК, чтобы закрыть окно.
8. Перезагрузите службу SQL Server (<Имя SQL-сервера>), выполнив следующие действия:
   1. В левой панели выберите SQL Server Services.
   2. В списке служб справа нажмите правой кнопкой мыши на службу SQL Server (<Имя SQL-сервера>) и в контекстном меню выберите Restart.
9. Для параметра Брандмауэр защитника Windows в режиме повышенной безопасности разрешите на сервере входящие подключения по порту TCP 1433.

Создание секрета

После создания и настройки учетной записи в MS SQL требуется добавить секрет в веб-интерфейсе Kaspersky SIEM. Этот ресурс используется для хранения учетных данных для подключения к MS SQL.

1. В веб-интерфейсе откройте раздел Ресурсы → Секреты.

   Отобразится список доступных секретов.

2. Нажмите на кнопку Добавить секрет, чтобы создать новый секрет.

   Откроется окно секрета.

3. Введите данные секрета:
   1. В поле Название выберите имя для добавляемого секрета.
   2. В раскрывающемся списке Тенант выберите тенант, которому будет принадлежать создаваемый ресурс.
   3. В раскрывающемся списке Тип выберите urls.
   4. В поле URL укажите строку вида:

      sqlserver://[<domain>%5C]<username>:<password>@<server>:1433/<database_name>

      где:

      • domain – имя домена.
      • %5C – разделитель домена и пользователя. Представляет собой знак "\" в URL-формате.
      • username – имя созданной учетной записи MS SQL.
      • password – пароль созданной учетной записи MS SQL.
      • server – имя или IP-адрес сервера с базой данных MS SQL, установленной для Kaspersky Security Center.
      • database_name – имя базы данных Kaspersky Security Center. Имя по умолчанию: KAV.

      Пример

      sqlserver://test.local%5Cuser:password123@10.0.0.1:1433/KAV

      Если в пароле учетной записи MS SQL используются специальные символы (@ # $ % & * ! + = [ ] : ' , ? / \ ` ( ) ;), переведите их в формат URL.

4. Нажмите Сохранить.

   Для безопасности после сохранения секрета строка, указанная в поле URL, скрывается.

Настройка коннектора

Для подключения Kaspersky SIEM к MS SQL требуется настроить коннектор.

1. В веб-интерфейсе откройте раздел Ресурсы → Коннекторы.
2. В списке коннекторов справа найдите коннектор [OOTB] KSC SQL и откройте его для редактирования.

   Если коннектор недоступен для редактирования, скопируйте его и откройте для редактирования копию коннектора. Если коннектор [OOTB] KSC SQL отсутствует, обратитесь к системному администратору.

3. На вкладке Основные параметры в раскрывающихся списках URL выберите секрет, созданный для подключения к MS SQL.
4. Нажмите Сохранить.

Создание коллектора KUMA для получения событий Kaspersky Security Center из MS SQL

При создании коллектора в веб-интерфейсе Kaspersky SIEM на шаге Транспорт выберите коннектор [OOTB] KSC SQL, а на шаге Парсинг событий выберите нормализатор [OOTB] KSC from SQL.

Установка коллектора KUMA в сетевой инфраструктуре

После завершения создания и настройки коллектора для получения событий Kaspersky Security Center из MS SQL требуется установить коллектор KUMA на сервере сетевой инфраструктуры, предназначенной для получения событий.

Проверка поступления событий из MS SQL в коллектор KUMA

Вы можете проверить, что настройка поступления событий из MS SQL выполнена правильно, выполнив поиск связанных событий в веб-интерфейсе Kaspersky SIEM.