Мониторинг источников событий

В организации может быть множество различных источников событий: контроллеры доменов, серверы Kaspersky Security Center, рабочие станции под защитой Kaspersky Endpoint Security. Если какой-то источник перестает передавать события в KUMA, возникает угроза информационной безопасности. Нужно отслеживать прекращение потока событий от источников и отправлять уведомления о таких ситуациях администраторам систем.

Для наглядного ознакомления с мониторингом источников событий вы можете просмотреть видео ниже.

Способы настроить мониторинг источников событий

По умолчанию KUMA определяет источник события по полям DeviceProduct, DeviceHostName, DeviceAddress, DeviceProcessName. Эти данные отображаются в названии источника событий. При необходимости можно вручную указать поля, по которым определяются источники событий.

Для контроля потока событий, поступающих от источника (например, для автоматического отслеживания, когда поток событий стал аномально большим, слишком слабым или прекратился), к источнику событий можно применить политику мониторинга. По умолчанию в решении созданы три политики мониторинга: High bounds policy, Low bounds policy и Middle bounds policy. Вы также можете создать дополнительные политики мониторинга.

В политике можно указать нижнее и верхнее пороговые значения, а также способ отслеживать события: по частоте (EPS) или по количеству. При достижении индикаторами значений, указанных в параметрах примененной политики мониторинга, создается событие мониторинга с данными об источнике событий и отправляется уведомление на электронную почту. К источнику событий можно применить одну или несколько политик мониторинга.

Политики мониторинга отображаются в веб-интерфейсе KUMA в разделе Состояние источников на вкладке Политики мониторинга.

Инструменты мониторинга источников событий

Состояние источников можно контролировать несколькими способами:

• Список источников событий.

  KUMA позволяет контролировать состояние источников, данные из которых поступают в коллекторы. В коллекторах формируются списки источников, которые затем объединяются в Ядре KUMA и отображаются в веб-интерфейсе решения в разделе Состояние источников на вкладке Список источников событий. Информация об источниках событий обновляется каждую минуту.

  Состояние каждого источника вы можете отслеживать по его статусу. Статус источника определяется параметрами политики мониторинга, назначенной этому источнику.

• Уведомления на электронную почту.

  При срабатывании политики мониторинга на электронную почту будет приходить уведомление об этом. Настроить отправку уведомлений можно при создании или изменении политики мониторинга.

• Виджеты и отчеты.

  Если поток событий от источника выходит за пределы значений, указанных в политике мониторинга, KUMA создает информационное событие мониторинга потоков типа 5 (Type=5). Вы можете указать этот тип события в запросе, чтобы найти такие события в базе данных:

  SELECT * FROM 'events' WHERE Type=5

  На основе этого критерия поиска вы можете создавать виджеты типа События для визуализации состояния источников на панели мониторинга. Созданные виджеты можно добавить в шаблон отчета и настроить регулярную отправку отчета на электронную почту.

• Алерты.

  Вы можете создать правило корреляции, которое будет срабатывать при создании события мониторинга (Type=5), и привязать это правило к коррелятору. В таком случае при создании события мониторинга будет создаваться алерт.

Пример настройки мониторинга источников событий

Настройка мониторинга источников событий в инфраструктуре с контроллерами доменов, серверами Kaspersky Security Center и рабочими станциями состоит из следующих этапов:

1. Создание политик мониторинга

   Создайте политики мониторинга для контроллеров доменов, серверов Kaspersky Security Center и рабочих станций.

   Для контроллеров доменов укажите минимальный поток событий: 100 событий в секунду.

   Для серверов Kaspersky Security Center укажите минимальный поток событий: 100 событий в час.

   Для рабочих станций укажите минимальный поток событий: 1 событие в час. Также включите переключатель Настроить расписание по дням недели и укажите только будние дни.

2. Настройка уведомлений

   Для каждой политики укажите адрес электронной почты для отправки уведомлений, а также шаблон уведомлений.

3. Включение политик мониторинга для источников событий

   Назначьте каждому источнику событий соответствующую политику мониторинга.

Сформируется список источников событий. Для каждого из источников выполняется индивидуальный мониторинг потока событий. Например, если в KUMA перестанут поступать данные от контроллера домена, администратор получит уведомление на адрес электронной почты, а в хранилище KUMA будет отправлено информационное событие мониторинга потоков типа 5 (Type=5). Для отслеживания таких событий можно создавать виджеты, отчеты и алерты.