Инициализация интеграции

Чтобы настроить интеграцию KUMA с Kaspersky Managed Detection and Response:

1. Настройте конфигурационный файл, выполнив следующие действия:
   1. Перейдите в директорию ./conf и откройте на редактирование файл config.yml (за основу вы можете взять файле sample_config.yml).
   2. В секции General settings укажите идентификатор клиента (параметр client_id).
   3. В секции Modules settings → kuma укажите следующие параметры:
      • api_url – адрес API-интерфейса KUMA;
      • api_token – токен для доступа к API KUMA;
      • tenantId – идентификатор тенанта, в который будут импортироваться инциденты.

   Вы также можете настроить другие параметры интеграции. Для этого ознакомьтесь с комментариями к настройкам параметров в файле sample_config.yml.

2. Добавьте токен авторизации MDR, выполнив следующие действия:
   1. Перейдите в директорию ./conf и откройте на редактирование файл .refresh_token.
   2. Вставьте в открывшийся файл ранее сгенерированный токен для доступа к API MDR.
3. Укажите время начала сбора инцидентов, выполнив следующие действия:
   1. Перейдите в директорию ./conf и откройте на редактирование файл .last_check.
   2. В открывшемся файле укажите метку времени (в миллисекундах, 13 цифр), начиная с которого необходимо импортировать инциденты.

      Для того чтобы проверить, правильно ли вы выполнили настройку, рекомендуется указать время, предшествующее появлению последнего инцидента (например, 1672520400000).

4. Обновите сертификат MDR. Для этого в директории ./conf/ замените файл mdr.pem на файл с актуальным сертификатом, который вы создали ранее.
5. Запустите скрипт интеграции main.py с помощью следующей команды:

   python3 ./main.py

   Если при первом запуске отображаются сообщения об отсутствии необходимых пакетов, установите их.

   Если после запуска скрипта не отображаются сообщения об ошибках (кроме предупреждений о недействительном сертификате), интеграция настроена правильно.

   Журнал работы скрипта доступен по пути ./log/app.log.

6. Проверьте импорт инцидентов.

   Убедитесь, что в KUMA были импортированы инциденты, созданные в Консоли MDR, начиная с момента времени, которое вы указали в файле .last_check.

7. Запустите скрипт в фоновом режиме, выполнив следующие действия:
   1. Остановите текущий сеанс запуска скрипта (если запущен).
   2. Повторно запустите скрипт main.py в фоновом режиме с помощью команды:

      nohup python3 /opt/mdr/main.py &

8. Настройте автозапуск скрипта после перезагрузки сервера, выполнив следующие команды:

   sudo crontab -e

   @reboot sleep 300 && python3 /opt/mdr/main.py &

   Задержка в 5 минут (sleep 300) необходима для запуска службы kuma-core до запуска скрипта интеграции.

Интеграция KUMA c Kaspersky Managed Detection and Response настроена. Теперь инциденты из Консоли MDR будут автоматически импортироваться в KUMA для последующей обработки и анализа.