Kaspersky Unified Monitoring and Analysis Platform
База знаний Онлайн-справка
FAQ Обзор решения Форум Запрос в поддержку Обучающие видео Оставьте отзыв о KUMA
Аудит и мониторинг KUMA
Скопировано

13 октября 2026

ID 324111

Скачать PDF
Свернуть все Развернуть все

Аудит и мониторинг KUMA

Аудит и мониторинг KUMA предназначены для оценки состояния развернутого решения, выявления возможных проблем в инфраструктуре и конфигурации, а также для обеспечения стабильной работы компонентов и корректной обработки событий.

Аудит и мониторинг выполняются последовательно и состоит из следующих этапов:

Технический аудит

Технический аудит предназначен для проверки инфраструктуры, конфигурации и состояния компонентов KUMA. Этот этап включает шесть основных шагов:

  1. Проверка ресурсов и конфигурации

    Убедитесь, что система развернута правильно:

    При необходимости проверьте панели мониторинга для выявления высоконагруженных компонентов.

  2. Анализ состояния системы

    После проверки конфигурации системы выполните анализ текущего состояния KUMA:

    • Проанализируйте алерты KUMA от VictoriaMetrics.
    • Соберите записи журналов с помощью getlogs и проверьте записи журналов микросервисов на наличие ошибок.
  3. Анализ телеметрии

    Проверьте ключевые метрики:

    • Метрики хранилища:
      • Failed QPS (безуспешные запросы в секунду).
      • Failed Insert QPS (безуспешные запросы на вставку в секунду).
      • Delayed Insert QPS (отложенные запросы на вставку в секунду).
      • Rejected Insert QPS (отклоненные запросы на вставку в секунду).
      • Distribution Queue (очередь распределения).
      • Failed Select QPS (безуспешные запросы на выборку в секунду).
      • Read-only Replicas (реплики read-only).
    • Общие метрики:
      • Load (нагрузка).
      • CPU (ЦП).
      • Memory (память).
      • Disk (диск).
  4. Проверка отказоустойчивости

    Выполните интегральные проверки:

    • Контролируемое временное отключение одного из рабочих узлов кластера с запущенным на нем подом (англ. pod) c Ядром KUMA.
    • Контролируемое временное отключение одного из контроллеров.
  5. Проверка кластера

    Проверьте следующие параметры:

    • Cинхронизация времени между узлами кластера.
    • Уникальность идентификатора /etc/machine-id на узлах кластера.
    • Валидность внутренних сертификатов кластера.
    • Доступности сервера Метрик с любого контроллера кластера.
    • Состояние тома Ядра KUMA и тома сервиса Метрики.
    • Занятое дисковое пространство в томе Ядра KUMA.
  6. Проверка виртуализации

    На завершающем шаге убедитесь в следующем:

    • Используются правильные версии гипервизоров для размещения виртуальных машин с элементами кластера Ядра KUMA.
    • Не выполняются действия с запущенными виртуальными машинами (например, создание снимков, резервных копий или их перенос между серверами).
    • Не используется динамическое выделение памяти для виртуальных машин, которые содержат элементы кластера Ядра KUMA.

После завершения технического аудита можно переходить к проведению функционального аудита.

Функциональный аудит

На этапе функционального аудита оценивается корректность использования KUMA как SIEM-системы. Этот этап включает пять основных шагов:

  1. Проверка документации

    Убедитесь, что в документации описано следующее:

    • Процессы сопровождения.
    • Управление правилами детектирования.
    • Процессы мониторинга.
  2. Анализ источников событий

    Проверьте следующее:

    • Метрики входящего потока по типам источников (среднее значение, пиковая нагрузка, размер событий).
    • Покрытие источников событий (количество устройств).
    • Использование источников событий.
    • Проблемы нормализации источников событий.
    • Сопоставление источников событий с рекомендациями (техниками MITRE ATT&CK).
  3. Анализ пороговых значений (правил детектирования)

    Выполните следующее:

    • Анализ перечня пороговых значений.
    • Aнализ статистики срабатываний пороговых значений.
    • Анализ правил сегментации.
  4. Проверка интеграций

    Убедитесь, что настроены и правильно работают следующие интеграции:

    • Модель активов.
    • Службы каталогов и имен (AD, DNS).
    • Источники TI (Threat Intelligence).
    • Сервисы GeoIP.
    • Внешние оповещения (например, НКЦКИ).
  5. Проверка процессов

    Убедитесь, что правильно настроены и работают следующие процессы:

    • Распределение ролей.
    • Реализация рабочих процессов.
    • Состав и классификация алертов и инцидентов.
    • Взаимодействие с внешними системами, включая НКЦКИ.

    После завершения функционального аудита переходите к настройке мониторинга.

Настройка мониторинга KUMA

Мониторинг используется для постоянного контроля состояния системы после проведения аудита. Он включает:

  1. Бизнес-проверки

    Как выполнить бизнес-проверки

  2. Стандартные проверки

    После проведения бизнес-проверок убедитесь, что контролируется:

    • Состояние операционной системы – проверка работоспособности операционной системы, на которой установлены компоненты KUMA.
    • Сетевая доступность – проверка связи между устройствами, на которых установлены компоненты KUMA, в соответствии со схемой развертывания.
    • Доступность веб-интерфейса – проверка работы веб-интерфейса KUMA.
  3. Атомарные проверки

    Типы атомарных проверок

Настройку мониторинга рекомендуется выполнять после завершения аудита.

После настройки мониторинга проверьте:

  • Доступность сервисов.
  • Поступление и сохранение событий.
  • Формирование алертов.
  • Отсутствие потерь событий.
  • Корректность метрик.

Назад Аудит и контроль состояния решения
Отслеживание состояния сервисов Вперед
Вам помогла эта статья?
Что нам нужно улучшить?
Спасибо за ваш отзыв, вы помогаете нам становиться лучше!
Спасибо за ваш отзыв, вы помогаете нам становиться лучше!