Обогащение событий геоданными

Некоторые события, поступающие в Kaspersky SIEM, содержат белые (публичные) IP-адреса. Вам может понадобиться информация о том, каким геолокациям соответствуют белые IP-адреса в событиях.

Для решения этой задачи вы можете использовать обогащение событий геоданными.

Чтобы настроить обогащение событий геоданными:

1. Сконвертируйте геоданные в формат KUMA.
2. Импортируйте сконвертированные геоданные в Kaspersky SIEM.
3. Создайте правило обогащения с типом геоданные одним из следующих способов:
   • На шаге Обогащение событий мастера установки коллектора.
   • Аналогично предыдущему способу в свойствах уже установленного коллектора в разделе Обогащение событий.
   • Отдельно как ресурс.
4. Если вы создали правило обогащения геоданными отдельно как ресурс, добавьте его в свойствах коллекторов, обрабатывающих события с белыми IP-адресами.
5. Обновите конфигурации коллекторов, к которым вы добавили правило обогащения геоданными.