Корреляция с использованием активов и категорий активов

KUMA позволяет использовать категории активов в правилах корреляции. Такие правила корреляции более универсальные, так как охватывают большее количество активов, чем правила корреляции, направленные на конкретные активы. Например, вы можете настроить срабатывание правила корреляции, если в качестве источника обнаружен актив из одной категории, а в качестве назначения – из другой.

Настройка правил корреляции с использованием категорий активов состоит из следующих этапов:

Добавление активов в KUMA

Активы добавляются в KUMA либо вручную, либо через импорт из других решений, например из Kaspersky Security Center. Всем добавленным активам KUMA присваивает идентификатор актива AssetID. При поступлении события в KUMA в полях этого события нет значения AssetID, то есть нет информации о том, какие именно активы из списка добавленных в KUMA были затронуты. Обогащение событий информацией об активах происходит в коллекторе.

Настройка обогащения событий информацией об активах на коллекторах

Так как обогащение активами повышает нагрузку на сервис коллектора, рекомендуется выбрать, на каких коллекторах вы хотите настроить обогащение активами. Это можно сделать исходя из типа и функции источников событий, которые отправляют события в коллектор. Вы можете настроить обогащение активами на всех коллекторах и позднее выключить обогащение на тех коллекторах, для которых оно не требуется.

Обогащение событий активами вы можете настроить на шаге Обогащение событий при создании коллектора. Для этого вам нужно создать и настроить правило обогащения с типом обогащение активами. Вы можете это сделать либо на шаге Обогащение событий, либо создать правило обогащения предварительно и затем привязать его в коллекторе.

Логика работы правила обогащения активами следующая. Когда в коллектор поступает событие, KUMA проверяет, заполнены ли поля SourceAddress, DestinationAddress, DeviceAddress, SourceHostName, DestinationHostName и DeviceHostName. Значения IP-адреса или FQDN из этих полей затем сверяются со значениями IP-адресов и FQDN из свойств активов, добавленных в KUMA. Таким образом, совпадение значений из полей события и из свойств актива позволяет определить, какой именно актив указан в событии. Далее KUMA прописывает значение AssetID найденного актива в одно или несколько из следующих полей события: SourceAssetID, DestinationAssetID, DeviceAssetID. После этого события направляются в коррелятор или хранилище.

Добавление категорий активов

Вы можете создать категории активов, чтобы объединить их в логические группы на основе какого-либо признака.

Настройка корреляции с использованием категорий активов

Коррелятор получает нормализованное событие. Если в этом событии прописаны значения AssetID, коррелятор через запрос к базе данных Ядра KUMA получает информацию о принадлежности этого актива категориям активов. Таким образом, на основе этой информации вы можете создавать правила корреляции, в которых в качестве условий срабатывания можно указать категории активов.

Например, для обнаружения атаки "Попытка доступа непривилегированного пользователя к критическим элементам инфраструктуры" вы можете создать правило корреляции и указать на вкладке Селекторы фильтр:

SourceAssetID inCategory "Устройства непривилегированных пользователей"

И

DestinationAssetID inCategory "Оборудование инфраструктуры"

И

DestinationPort = ИЛИ (22, 3389, 1433)

При таких параметрах при поступлении события о попытке доступа с устройства из категории "Устройства непривилегированных пользователей" на устройство из категории "Оборудование инфраструктуры" по порту 22, 3389 или 1433 KUMA выполнит следующие действия:

1. На коллекторе будут определены активы, которые соответствуют IP-адресам устройства-источника и устройства-назначения.
   1. Коррелятор последовательно выполнит следующее:
   2. Определит, в какие категории входят эти активы.
   3. Применит фильтр, указанный в правиле корреляции.
   4. При выполнении условий фильтра создаст корреляционное событие.
2. В веб-интерфейсе будет создан алерт.

Реагирование

Вы можете запускать задачи на конкретных активах вручную в окне информации об активе или автоматически с помощью правил реагирования.