Развертывание и первоначальная настройка

Следуя этому сценарию, вы можете развернуть Kaspersky SIEM со всеми компонентами, необходимыми для работы решения, а также выполнить первоначальную настройку. Для каждого этапа приведены ссылки на инструкции по выполнению необходимых действий и дополнительные материалы для ознакомления.

Выбор конфигурации развертывания

Прежде чем приступать к развертыванию Kaspersky SIEM, выберите конфигурацию развертывания, наиболее подходящую для вашей инфраструктуры. Для принятия решения могут быть полезны следующие статьи:

• описания и схемы доступных конфигураций развертывания и сравнительная таблица с основными критериями выбора;
• требования к масштабируемости системы.

Если в дальнейшем требования к инфраструктуре изменятся, конфигурацию развертывания можно изменить.

Подготовка к установке

После выбора подходящей конфигурации выполните подготовительные действия на всех машинах, на которых планируется развертывание решения.

Установка решения

После подготовки инфраструктуры переходите к установке в зависимости от выбранной конфигурации развертывания:

• установка одном сервере;
• установка в распределенной конфигурации;
• установка в отказоустойчивой конфигурации в кластере Kubernetes;
• установка в отказоустойчивой конфигурации в кластере Raft.

Действия после установки

После завершения установки вам нужно выполнить следующие действия:

• сменить пароль администратора;
• при необходимости заменить самоподписанный сертификат на корпоративный.

После выполнения этих шагов можно переходить к первоначальной настройке.

Первоначальная настройка

После успешного развертывания необходимо выполнить первоначальную настройку Kaspersky SIEM, чтобы подготовить систему к полноценной работе:

• Интеграция с Active Directory и добавление пользователей, назначение ролей

  Настройте интеграцию с Active Directory, чтобы включить аутентификацию с помощью доменной учетной записи, или создайте пользователей вручную. После этого назначьте всем пользователям роли.

• Настройка мультитенантности

  При необходимости настройте структуру тенантов, чтобы управлять доступом пользователей и определять взаимодействие между ресурсами и сервисами KUMA.

• Настройка источников событий, хранения и корреляции

  Укажите, откуда должны быть получены события, а также как они должны храниться и обрабатываться:

  • Настройте интеграцию c Kaspersky Security Center.
  • Импортируйте активы из Kaspersky Security Center.
  • Добавьте активы вручную или импортируйте их из других источников (необязательно).
  • Настройте источники событий, чтобы указать, откуда вы хотите получать события.
  • Создайте хранилище для событий.
  • Создайте коллекторы для приема, обработки (нормализации) и передачи событий.
  • Создайте корреляторы для первоначального анализа нормализованных событий и их дальнейшей обработки.

  При создании коррелятора вы можете создать правила корреляции, которые определяют правила обработки и реагирования на события, а также импортировать ранее сохраненные или представленные в репозитории правила корреляции или использовать готовый набор правил корреляции, входящий в поставку Kaspersky SIEM. После создания коррелятора вы можете связать правила корреляции с коррелятором

  Рекомендуется настроить исключения на этом этапе, чтобы избежать ложных срабатываний и нерелевантных данных.

• Настройка уведомлений

  Настройте подключение к SMTP-серверу для получения уведомлений по электронной почте.

• Настройка интеграций

  Настройте интеграцию с решениями "Лаборатории Касперского", чтобы расширить возможности и обогатить данные, доступные для расследования инцидентов.

• Проверка корректности первоначальной настройки

  Если первоначальная настройка выполнена корректно, сервисы будут отображаться в зеленом статусе. После перезапуска сервиса в разделе События появится событие аудита. При правильно настроенных источниках событий поиск по событиям вернет соответствующие записи.

После завершения первоначальной настройки события от защищаемых активов будут получены и обработаны Kaspersky SIEM, а при срабатывании правила корреляции будет создан алерт.