Импорт партиций из стороннего экземпляра Kaspersky SIEM

Импорт партиций из стороннего экземпляра Kaspersky SIEM доступен пользователям с ролью Главный администратор.

Чтобы импортировать партиции из стороннего экземпляра Kaspersky SIEM:

1. Поместите ZIP-файл для импорта партиций в директорию restore. Из этой директории будет выполняться импорт партиций.
2. Предоставьте пользователю KUMA права доступа к zip-файлу резервной копии в директории restore с помощью следующей команды:

   sudo chown kuma *.zip

3. В веб-интерфейсе решения в разделе Ресурсы → Активные сервисы установите флажок рядом с сервисом хранилища в зеленом статусе.
4. В панели инструментов или в меню () выберите Резервное копирование → Импортировать.
5. В открывшемся окне Импорт из сторонней установки KUMA выполните следующие действия:
   1. В раскрывающемся списке Тенант выберите тенант, для которого будет выполняться импорт партиций.
   2. В раскрывающемся списке Реплики выберите одну реплику, в которую будут импортированы партиции.
   3. В раскрывающемся списке Поля для исключений установите флажки рядом с полями, которые нужно удалить при импорте.

      По умолчанию установлены флажки для следующих полей:

      • AggregationRuleName.
      • CorrelationRuleName.
      • SourceAccountID.
      • DestinationAccountID.
      • SourceAssetID.
      • DestinationAssetID.
      • DeviceAssetID.
      • Поля расширенной схемы событий KUMA:
        • Поля расширенной схемы событий (SA., F., N. и прочие).
        • Поля активов KSC.
        • KLCorrelationRulePriority = "KL_CorrelationRulePriority"
        • KLSourceAssetDisplayName = "KL_SourceAssetDisplayName"
        • KLDestinationAssetDisplayName = "KL_DestinationAssetDisplayName"
        • KLDeviceAssetDisplayName = "KL_DeviceAssetDisplayName"
        • KLSourceAccountDisplayName = "KL_SourceAccountDisplayName"
        • KLDestinationAccountDisplayName = "KL_DestinationAccountDisplayName"
        • KLDllHijackingResult = "KL_AI_DLLHijackingCheckResult"

        При выборе группы Поля расширенной схемы событий KUMA выполняется удаление всей группы полей. Невозможно удалить только часть полей.

      По умолчанию следующие поля будут удалены и поэтому недоступны для выбора в веб-интерфейсе:

      • ServiceID.
      • ServiceName.
      • CorrelationRuleID.
      • AggregationRuleID.
6. Нажмите ОК.
7. В открывшемся окне подтверждения нажмите ОК.

Партиции из стороннего экземпляра Kaspersky SIEM будут импортированы. Также будут созданы задача импорта партиций и событие аудита.