Прием и нормализация событий

Коллектор является компонентом решения, предназначенным для приема событий из источников, их обработки и передачи в другие компоненты решения. В процессе обработки коллектор выполняет нормализацию событий, а также может применять фильтрацию, обогащение, преобразование и агрегацию данных. После обработки события передаются в настроенные точки назначения.

Максимальный размер события, обрабатываемого коллектором KUMA: 4 МБ.

Если вы используете лицензию SMB и для коллектора превышено одновременно среднечасовое и среднесуточное количество EPS, допустимое лицензией, коллектор останавливает прием событий и отображается с красным статусом и уведомлением о превышении лимита EPS. Пользователю с ролью Главный администратор будет отправлено уведомление о превышении лимита EPS и остановке коллектора. Каждый час происходит подсчет среднечасового значения EPS и полученное значение сравнивается с лимитом EPS в лицензии. Если среднечасовое значение ниже лимита, ограничения на коллекторе будут сняты и коллектор восстановит прием и обработку событий.

Для каждого коллектора нужно настроить один коннектор и один нормализатор. Вы также можете настроить любое количество дополнительных нормализаторов, фильтров, правил обогащения и правил агрегации. Для того чтобы коллектор мог отправлять нормализованные события в другие сервисы, необходимо добавить точки назначения. Как правило, используются две точки назначения: хранилище и коррелятор.

Коллектор предназначен для приема сырых событий из источников событий, дальнейшей нормализации и передачи обработанных событий в точки назначения.

Предустановленные коллекторы

В поставку KUMA включены следующие предустановленные коллекторы:

• [OOTB] CEF – собирает события в формате CEF, поступающие по протоколу TCP.
• [OOTB] KSC – собирает события от Kaspersky Security Center по протоколу Syslog TCP.
• [OOTB] KSC SQL – собирает события от Kaspersky Security Center c использование запроса к базе данных MS SQL.
• [OOTB] Syslog – собирает события по протоколу Syslog.
• [OOTB] Syslog-CEF – собирает события в формате CEF, поступающих по протоколу UDP и имеющих заголовок Syslog.

Рекомендации для ресурсов коллектора

Для эффективной обработки событий коллектором количество ядер процессора важнее, чем их частота. Например, восемь ядер процессора со средней частотой будут эффективнее обрабатывать события, чем четыре ядра с высокой частотой.

Также необходимо иметь в виду, что количество потребляемой коллектором оперативной памяти зависит от настроенных методов обогащения (DNS, учетные записи, активы, обогащение данными из Kaspersky CyberTrace) и использования агрегации (на потребление оперативной памяти влияет параметр окна агрегации данных, количество полей, по которым выполняется агрегация данных, объем данных в агрегируемых полях). Показатели использования KUMA вычислительных ресурсов зависят от типа анализируемых событий и от эффективности нормализатора.

Например, при потоке событий 1000 EPS и выключенном обогащении событий (обогащение событий выключено, агрегация событий выключена, 5000 учетных записей, 5000 активов в тенанте) одному коллектору требуются следующие ресурсы:

• 1 процессорное ядро или 1 виртуальный процессор;
• 512 МБ оперативной памяти;
• 1 ГБ свободногодискового пространства (без учета кеша событий).

Например, для пяти коллекторов, которые не выполняют обогащение событий потребуется выделить следующие ресурсы: 5 процессорных ядер, 2,5 ГБ оперативной памяти и 5 ГБ свободного дискового пространства.