Управление ресурсами и сервисами

Основными компонентами Kaspersky SIEM, с помощью которых решение осуществляет работу с событиями, являются сервисы. Сервисы позволяют получать события из источников, чтобы в дальнейшем привести их к общему формату, удобному для поиска корреляций, а также для хранения и ручного анализа. При создании каждому сервису присваивается идентификатор.

В Kaspersky SIEM доступны следующие типы сервисов:

Хранилища – используются для хранения событий.
Корреляторы – используются для анализа событий и поиска заданных закономерностей.
Коллекторы – используются для получения события и конвертации их в формат KUMA.
Агенты – используются для получения событий на удаленных устройствах и пересылки их в коллекторы.
Маршрутизаторы событий – используются для приема потоков событий от коллекторов и корреляторов и дальнейшего распределения событий по указанным точкам назначения в соответствии с настроенными фильтрами.

Сервисы создаются на основе ресурсов. Ресурсы – это компоненты Kaspersky SIEM, которые содержат параметры для реализации различных функций, например, чтобы установить соединение с конкретным URL или преобразовать данные по определенным правилам. Ресурсы можно объединять в наборы ресурсов. При объединении ресурсов в набор они должны принадлежать к тому же тенанту, что и создаваемый набор ресурсов. Исключением является Общий тенант: принадлежащие ему ресурсы можно использовать в наборах ресурсов других тенантов.

Kaspersky SIEM поставляется с набором предустановленных ресурсов. Предустановленные ресурсы в названии содержат префикс [OOTB]. Такие ресурсы невозможно изменить. При этом вы можете создать копию предустановленного ресурса и внести изменения в копию.

Некоторые ресурсы связаны между собой. Например, в определенных типах коннекторов обязательно нужно указывать секрет коннектора. При импорте или экспорте таких коннекторов связанные секреты будут также импортированы или экспортированы.

В Kaspersky SIEM вы можете создавать следующие типы ресурсов:

Правила корреляции – в ресурсах этого типа содержатся правила определения в событиях закономерностей, указывающих на угрозы. Если условия, заданные в этих ресурсах, выполняются, создается корреляционное событие.
Нормализаторы – в ресурсах этого типа содержатся правила для приведения поступающих событий к формату, принятому в Kaspersky SIEM. После обработки в нормализаторе сырое событие становится нормализованным и может обрабатываться другими ресурсами и сервисами.
Коннекторы – в ресурсах этого типа содержатся параметры для установления сетевых подключений.
Правила агрегации – в ресурсах этого типа содержатся правила для объединения нескольких однотипных базовых событий в одно агрегационное событие.
Правила обогащения – в ресурсах этого типа содержатся правила для дополнения событий информацией из сторонних источников.
Точки назначения – в ресурсах этого типа содержатся параметры для пересылки событий в пункт дальнейшей обработки или хранения.
Фильтры – в ресурсах этого типа содержатся условия для отбора отдельных событий из потока событий для дальнейшей их передачи в обработку.
Правила реагирования – ресурсы этого типа используются в корреляторах для запуска, например, скриптов или задач Kaspersky Security Center при выполнении определенных условий.
Правила сегментации – ресурсы этого типа используются в корреляторах для разделения однотипных корреляционных событий по разным алертам.
Правила сбора и анализа данных – в ресурсах этого типа содержатся правила, которые позволяют планировать выполнение SQL-запросов с агрегационными функциям в хранилище по заданному расписанию. Далее по данным, полученным от SQL-запросов, осуществляется корреляция.
Шаблоны уведомлений – ресурсы этого типа используются при рассылке уведомлений о новых алертах.
Активные листы – ресурсы этого типа используются корреляторами для динамической работы с данными при анализе событий по правилам корреляции.
Словари – ресурсы этого типа используются для хранения ключей и их значений, которые могут потребоваться другим ресурсам и сервисам KUMA.
Прокси-серверы – в ресурсах этого типа содержатся параметры использования прокси-серверов.
Секреты – ресурсы этого типа используются для безопасного хранения конфиденциальной информации (например, учетных данных), которые должны использоваться KUMA для взаимодействия с внешними службами.
Контекстные таблицы – ресурсы этого типа используются корреляторами KUMA для анализа событий в соответствии с правилами корреляции.
Панели мониторинга – используются для контроля состояния безопасности сети организации. Панель мониторинга представляет собой набор виджетов, которые отображают аналитику данных безопасности.
Шаблоны отчетов – используются для настройки регулярного формирования отчетов о состоянии процессов и объектов в сети организации. В шаблоне указываются запрос, параметры отображения данных и расписание формирования отчетов.