Работа с базой знаний

Для более наглядной работы с пакетами и ресурсами, которые поставляет "Лаборатория Касперского", в Kaspersky SIEM доступен раздел База знаний. В этом разделе можно просматривать доступные и установленные пакеты и ресурсы, устанавливать отдельные ресурсы или пакеты целиком, оценивать покрытие техник MITRE ATT&CK установленными ресурсами, отслеживать актуальность версий ресурсов, выполнять поиск и фильтрацию по заданным параметрам.

Пакеты содержат наборы ресурсов, предназначенных для настройки Kaspersky SIEM. Пакеты загружаются из репозитория "Лаборатории Касперского".

Если пакеты из репозитория еще не были загружены, в разделе База знаний список пакетов и ресурсов будет пустым. Чтобы получить доступные для установки пакеты и ресурсы, необходимо настроить обновление предустановленных ресурсов.

Просмотр информации о пакетах и ресурсах

Чтобы открыть базу знаний,

в веб-интерфейсе решения перейдите в раздел Ресурсы → База знаний.

Раздел содержит виджеты, отображающие сводную информацию о пакетах и ресурсах в вашем экземпляре KUMA. Вы можете отобразить или скрыть виджеты с помощью значка просмотра виджетов . Доступны следующие виджеты:

• Статус пакетов – количество пакетов со следующими статусами:
  • Доступно – пакет доступен для установки.
  • Установлено – пакет установлен целиком.
  • Экстренно – пакет содержит ресурсы с высоким приоритетом, которые необходимо установить как можно скорее.
  • Новое – пакет добавлен в репозиторий менее трех месяцев назад и еще не был установлен или просмотрен.
  • Требуется обновление – для пакета доступна более новая версия в репозитории.

    Для обновления пакета нужно повторно установить пакет. При повторной установке будет установлена доступная версия пакета.

• Статус ресурсов – количество ресурсов различных типов со следующими статусами:
  • Доступно – ресурс доступен для установки.
  • Установлено – ресурс установлен и не требует обновления.
  • Требуется обновление – для ресурса доступна более новая версия в репозитории.
• Покрыто техниками MITRE, {{ filter }} – информация о количестве или проценте техник MITRE ATT&CK, покрытых выбранными ресурсами.

Виджеты также являются фильтрами для таблиц на странице. При выборе значения в виджете таблица автоматически обновляется в соответствии с выбранным фильтром. Например, можно отобразить только ресурсы со статусом Требуется обновление.

При работе с таблицей доступны вкладки Пакеты и Ресурсы.

Описание вкладки Пакеты

Описание вкладки Ресурсы

Для поиска пакетов или ресурсов используйте поле Поиск. Поиск выполняется только на открытой вкладке. При переключении между вкладками введенный поисковый запрос сохраняется и применяется к выбранной вкладке. В поле Поиск можно вводить название ресурса, источник событий, тип событий, название пакета или любую подстроку.

Для фильтрации содержимого вкладок Пакеты и Ресурсы нажмите значок фильтра .

Таблицы можно сортировать, нажав на заголовок столбца нужного параметра и выбрав По возрастанию или По убыванию. Также доступна фильтрация по столбцам Тип ресурса или Статус, нажав на заголовок необходимого столбца и выбрав значения, которые вы хотите отобразить.

Об импорте пакетов и ресурсов

Ресурсы импортируются в выбранный тенант. Связанные ресурсы, принадлежащие тенанту Shared, будут импортированы в тенант Shared. Права для учетной записи на тенант Shared не требуется. Нужны только права на импорт в выбранном тенанте.

Импортированные OOTB-ресурсы невозможно изменить или переместить. Если вы хотите изменить или переместить импортированный OOTB-ресурс, создайте его копию. При импорте следующих версий пакета копия не будет обновляться, поскольку представляет собой отдельный объект.

Импортированные ресурсы в папке Integration можно изменить. Подобные ресурсы отмечены Этот ресурс входит в пакет. К пакетному ресурсу в папке Integration допускается добавить словарь с типом Таблица. Добавить другие типы ресурсов невозможно. При импорте следующих версий пакета измененный ресурс не будет заменен на аналогичный ресурс из пакета, что позволит сохранить внесенные изменения.

Ресурсы из репозитория импортируются из репозитория на языке, указанном в параметре Локализация ресурсов KUMA в разделе параметров Ядра KUMA.

Установка пакетов

Пакет получает статус Установлено только в том случае, если установлены все ресурсы, входящие в его состав.

Чтобы установить пакет целиком:

1. Перейдите в раздел Ресурсы → База знаний → Пакеты.
2. Выполните одно из следующих действий:
   • Установите флажок напротив нужного пакета и нажмите на кнопку Установить.
   • Нажмите на название пакета и в открывшемся окне нажмите на кнопку Установить.
3. Выберите тенант.
4. Нажмите на кнопку Установить.

Ресурсы будут импортированы в KUMA и доступны для дальнейшей настройки.

Установка отдельных ресурсов

Чтобы установить отдельные ресурсы из пакета:

1. Перейдите в раздел Ресурсы → База знаний → Ресурсы.
2. Выполните одно из следующих действий:
   • Установите флажок напротив нужных ресурсов и нажмите на кнопку Установить.
   • Нажмите на название ресурса и в открывшемся окне нажмите на кнопку Установить.
3. Выберите тенант.
4. Нажмите на кнопку Установить.

Ресурс будет установлен.

Обновление ресурсов

Если для установленного ресурса доступна новая версия, ресурс получает статус Требуется обновление.

Чтобы обновить ресурс:

1. Перейдите в раздел Ресурсы → База знаний → Ресурсы.
2. Установите флажок напротив одного или нескольких ресурсов со статусом Требуется обновление.
3. Нажмите на кнопку Обновить.