Kaspersky Endpoint Security for Windows

В Kaspersky Endpoint Security for Windows, начиная с версии 12.6, есть возможность отправлять события из журналов Windows в коллектор KUMA. Это позволяет получать в KUMA события из журналов Windows со всех хостов, на которых установлен Kaspersky Endpoint Security for Windows версии 12.6 и выше, без установки агентов KUMA на эти хосты.

Kaspersky Endpoint Security for Windows версии 12.6–12.10 поддерживает ограниченный набор EventID продуктов компании Microsoft.
В версиях Kaspersky Endpoint Security for Windows 12.6-12.12 схожие по параметрам события фильтруются и отправляется первое из них, а последующие аналогичные события не передаются. При массовом возникновении однотипных событий некоторые из них будут отправлены, для этого может потребоваться появление порядка сотен и тысяч схожих событий. При этом отличающееся событие, например, при входе другого пользователя, будет отправлено. Логика фильтрации определена экспертами "Лаборатории Касперского" и позволяет снизить объем передаваемых событий без потери данных, необходимых для обнаружения атак.

Для активации функциональности требуется:

• иметь действующую лицензию Kaspersky SIEM.
• использовать Kaspersky Security Center 14.2 и выше.
• использовать Kaspersky Endpoint Security for Windows 12.6 или выше.

Настройка получения событий состоит из следующих этапов:

Импорт нормализатора в KUMA

В KUMA должно быть настроено получение обновлений через серверы обновлений "Лаборатории Касперского".

В разделе Ресурсы нажмите Импортировать ресурсы и выберите [OOTB] Microsoft Products via KES WIN в списке доступных к установке нормализаторов.

Создание коллектора KUMA для получения событий Windows

Вам нужно создать коллектор для получения событий Windows. В зависимости от используемой версии Kaspersky Endpoint Security for Windows выполните следующие действия:

• Если вы используете Kaspersky Endpoint Security for Windows версии 12.6–12.10, на шаге Транспорт выберите TCP или UDP и укажите номер порта, который будет прослушивать коллектор. На шаге Парсинг событий выберите нормализатор [OOTB] Microsoft Products via KES WIN и на шаге Фильтрация событий выберите фильтр [OOTB] Microsoft Products via KES WIN - Event filter for collector.
• Если вы используете Kaspersky Endpoint Security for Windows версии 12.11 и выше, на шаге Транспорт выберите TCP или UDP и укажите номер порта, который будет прослушивать коллектор. На шаге Парсинг событий выберите один из следующих нормализаторов:
  • Для KUMA версии 3.2–4.0 – [OOTB] Microsoft Products via KES WIN NG for KUMA 3.2.
  • Для KUMA версии 4.0.1 и выше – [OOTB] Microsoft Products via KES WIN NG for KUMA 4.0.1.

Запрос ключа в Службе технической поддержки

Если в вашей лицензии не было ключа активации функционала отправки журналов Windows в коллектор KUMA, направьте в Службу технической поддержки письмо следующего содержания: "У нас приобретена лицензия KUMA и используется Kaspersky Endpoint Security for Windows версии 12.6. Мы планируем активировать функционал отправки журналов Windows в коллектор KUMA. Просим предоставить файл ключа для активации соответствующего функционала". Новым пользователям Kaspersky SIEM не требуется писать запрос в Службу технической поддержки, поскольку новым пользователям будет предоставлено два ключа с лицензиями для Kaspersky SIEM и для активации функциональности Kaspersky Endpoint Security for Windows.

В ответ на письмо вам будет предоставлен файл ключа.

Настройка на стороне Kaspersky Security Center и Kaspersky Endpoint Security for Windows

Файл ключа, активирующий функционал отправки событий Windows в коллекторы KUMA, необходимо импортировать в Kaspersky Security Center и распространить по конечным устройствам Kaspersky Endpoint Security в соответствии с инструкцией. Также необходимо в политике Kaspersky Endpoint Security добавить адреса серверов KUMA и настроить сетевые параметры подключения.

Для Kaspersky Endpoint Security for Windows версии 12.11 и выше при добавлении пользовательских журналов в политике Kaspersky Endpoint Security нужно указывать имя журнала в соответствии со значением поля Log name в событиях этого журнала (например для журнала Sysmon необходимо указать Microsoft-Windows-Sysmon/Operational).

Поле Log Name в событии пользовательского журнала Windows

Проверка поступления событий Windows в коллектор KUMA

Вы можете проверить, что настройка сервера источника событий Windows выполнена правильно, выполнив поиск связанных событий в веб-интерфейсе Kaspersky SIEM.

Перечень событий продуктов Microsoft, которые Kaspersky Endpoint Security for Windows версии 12.6–12.10 передает в KUMA, приведен в таблице ниже.