Обогащение событий данными из Active Directory

Некоторые события, поступающие в Kaspersky SIEM, содержат данные о пользователях. Если в вашей организации используется Active Directory и у пользователей, помимо основной пользовательской учетной записи, могут быть служебные учетные записи, то вам может понадобиться информация обо всех учетных записях для каждого пользователя.

Для решения этой задачи вы можете использовать обогащение событий данными из Active Directory.

Чтобы настроить обогащение событий данными из Active Directory:

1. Для нужного тенанта настройте подключение к службе каталогов Active Directory по протоколу LDAP.
2. Импортируйте данные Аctive Directory в Kaspersky SIEM.
3. На шаге Обогащение событий мастера установки коллектора или в свойствах уже созданного коллектора для тенанта, для которого было настроено подключение в пункте 1 инструкции, настройте обогащение с помощью LDAP.
4. Обновите конфигурацию коллектора, для которого вы настроили обогащение с помощью LDAP.

Для наглядного ознакомления с обогащением событий с помощью LDAP вы можете просмотреть видео ниже.

Настроенное обогащение событий данными из Аctive Directory позволит вам следующее:

• При работе с событиями вы сможете открывать карточки учетных записей пользователей.
• В поисковых запросах, в виджетах и отчетах вы сможете использовать SQL-функции enrich_accounts и lookup_accounts.
• Вы сможете использовать в селекторах правил корреляции DistinguishedName доменных групп, например условия SourceAccountID inActiveDirectoryGroup CN=admins,OU=Users,DC=example,DC=com.