Обогащение событий активами

К корпоративной сети компании может быть подключено множество устройств (активов) различных типов, например серверы, рабочие станции, ноутбуки, мобильные устройства, IoT-устройства. Активы идентифицируются по таким свойствам как IP-адрес, FQDN, MAC-адрес. Для обеспечения безопасности корпоративной сети вам может понадобиться:

• отслеживать активы и их свойства при корреляции и для проведения расследований;
• использовать активы и их свойства для срабатывания правил корреляции;
• отслеживать состояние активов на виджетах и в отчетах;
• иметь актуальный список активов с незакрытыми уязвимостями;
• контролировать трафик с IoT-устройств, например с веб-камер, холодильников, кофе-машин.

Для решения этих задач можно использовать обогащение событий активами.

Настройка обогащения событий активами состоит из следующих этапов:

1. Добавление активов в KUMA и заполнение их свойств

   Это можно сделать следующими способами:

   • Импортировать активы из:
     • Kaspersky Security Center Windows или Kaspersky Security Center Linux;
     • KICS for Networks или KATA;
     • MaxPatrol VM;
     • отчета nmap.
   • Добавить активы вручную.
   • Добавить активы по REST API.
2. Добавление настраиваемых полей в свойства активов

   Если вам недостаточно существующих полей модели данных актива, вы можете создать настраиваемые поля активов и затем добавить в эти поля значения в свойствах активов вручную или через REST API.

   Например, если вы хотите разделять IoT-устройства по типам, вы можете создать настраиваемое поле IoT type. Затем вам нужно найти в разделе Активы веб-интерфейса KUMA все IoT-устройства и в свойствах каждого устройства указать тип устройства в поле IoT type, например: веб-камера, холодильник, кофе-машина.

3. Настройка категоризации активов

   Вы можете сгруппировать активы в категории, которые можно использовать при настройке правил корреляции. При создании категорий вы можете использовать свойства активов в качестве условий наполнения категорий, например наличие уязвимостей, тип IoT-устройства или актуальность антивирусных баз. Каждой категории вы можете назначить уровень важности от низкого до критического.

4. Настройка правил обогащения событий активами

   Так как обогащение активами повышает нагрузку на сервис коллектора, рекомендуется выбрать, на каких коллекторах вы хотите настроить обогащение активами. Это можно сделать исходя из типа и функции источников событий, которые отправляют события в коллектор. Вы можете настроить обогащение активами на всех коллекторах и позднее выключить обогащение на тех коллекторах, для которых оно не требуется.

   Обогащение событий активами настраивается на шаге Обогащение событий при создании коллектора. Для этого вам нужно создать и настроить правило обогащения с типом обогащение активами. Вы можете это сделать либо на шаге Обогащение событий, либо создать правило обогащения предварительно и затем привязать его в коллекторе.

   Логика работы правила обогащения активами следующая. Когда в коллектор поступает событие, KUMA проверяет, заполнены ли поля SourceAddress, DestinationAddress, DeviceAddress, SourceHostName, DestinationHostName и DeviceHostName. Значения IP-адреса или FQDN из этих полей затем сверяются со значениями IP-адресов и FQDN из свойств активов, добавленных в KUMA. Таким образом, совпадение значений из полей события и из свойств актива позволяет определить, какой именно актив указан в событии. Далее KUMA прописывает значение AssetID найденного актива в одно или несколько из следующих полей события: SourceAssetID, DestinationAssetID, DeviceAssetID. После этого события направляются в коррелятор или хранилище.

   Например, в событие поступают следующие данные:

   SourceAddress=192.168.х.хх
SourceHostName=kuma.example.com

   В KUMA есть два актива: company.example.com (IP-адрес: 192.168.х.хх; FQDN: company.example.com) и kuma.example.com (IP-адрес: 192.168.y.yyy; FQDN: kuma.example.com). Сопоставление для них осуществляется следующим образом:

   • Если вы указали отдельно sourceAddress → sourceAssetID, а затем sourceHostname → sourceAssetID, то актив будет соответствовать первому условию (company.example.com).
   • Если вам важнее получить значение параметра sourceHostname (kuma.example.com), то первым указывается sourceHostname → sourceAssetID, а затем sourceAddress → sourceAssetID.
   • Если вы указали sourceAddress + sourceHostname → sourceAssetID, обогащение не произойдет.

   Возможные значения параметров в таблице сопоставления полей

   Поле KUMA	Поле для записи данных
   DestinationAddress DestinationHostName DeviceAddress DeviceHostName SourceAddress SourceHostName DestinationMacAddress DeviceMacAddress SourceMacAddress DeviceCustomString1 DeviceCustomString2 DeviceCustomString3 DeviceCustomString4 DeviceCustomString5 DeviceCustomString6	SourceAssetID DeviceAssetID DestinationAssetID

Выполнение этого сценария позволит вам следующее:

• При работе с событиями вы сможете открыть свойства актива и посмотреть детальную информацию, например, об уязвимостях актива и состоянии его антивирусной защиты.
• В поисковых запросах, в виджетах и отчетах вы сможете использовать функции enrich_assets и lookup_assets.
• Вы сможете использовать в селекторах правил корреляции условия типа inCategory, что позволит учитывать в корреляционной логике произвольные свойства активов, например отслеживать интернет-трафик для категории IoT-устройств, таких как веб-камеры, кофе-машины или холодильники.
• Алертам будет присваиваться уровень важности на основании уровня важности категорий активов. Например, если в алерте присутствует актив с категорией Vulnerable, то у алерта будет высокий уровень важности.
• Вы сможете создавать и выгружать в файл CSV список активов, удовлетворяющих поисковому фильтру, например список кофе-машин с незакрытой уязвимостью.