Как получать события из изолированного сегмента сети с помощью diode-коллектора Kaspersky Unified Monitoring and Analysis Platform
Показать приложения и версии, для которых применима статья
- Kaspersky Unified Monitoring and Analysis Platform 4.6;
- Kaspersky Unified Monitoring and Analysis Platform 4.2;
- Kaspersky Unified Monitoring and Analysis Platform 4.0;
- Kaspersky Unified Monitoring and Analysis Platform 3.4;
- Kaspersky Unified Monitoring and Analysis Platform 3.2.
Рекомендации могут быть применимы к версиям, снятым с поддержки:
- Kaspersky Unified Monitoring and Analysis Platform 3.0.3;
- Kaspersky Unified Monitoring and Analysis Platform 3.0.2;
- Kaspersky Unified Monitoring and Analysis Platform 2.1.
С помощью diode-коллекторов вы можете получать события из изолированных сегментов сети в Kaspersky Unified Monitoring and Analysis Platform (далее KUMA).
Для получения событий необходимы сервер в изолированном сегменте сети, на который установлен diode-агент, и сервер за пределами изолированного сегмента сети, который будет принимать события из него через диод данных или утилиту rsync.
Как создать diode-коллектор
- Откройте веб-интерфейс KUMA, перейдите в раздел Ресурсы → Коллекторы и нажмите Добавить.
- Создайте новый коллектор.
- Заполните обязательные поля Название коллектора и Тенант, указав «Diode Collector» в поле Название коллектора.
- Для парсинга событий выберите нормализатор, который будет соответствовать собираемым событиям в изолированном сегменте сети.
- Перейдите в раздел Проверка параметров и нажмите Сохранить и создать сервис.
- Скопируйте текст из поля Рекомендуемая команда для установки коллектора.
- Выполните на сервере коллектора команду для установки:
/opt/kaspersky/kuma/kuma collector --core https://<внутренний IP-адрес или FQDN сервера KUMA>:7210 --id a0738bcd-92e3-4653-9c03-aabab0bad515 --api.port 7267 --install
- Назначьте необходимые полномочия на директорию, в которую при помощи диода данных или другим способом будут перенаправляться файлы из изолированного сегмента сети. Для этого выполните на сервере коллектора команду:
# sudo chown kuma:kuma /opt/diode
Как создать агент для сбора событий в изолированном сегменте
- Перейдите в раздел Ресурсы → Агенты и нажмите Добавить.
- Заполните обязательные поля Название и Тенант.
- Укажите все параметры для создания ресурса и нажмите Сохранить.
Как собрать события в изолированном сегменте сети
- Создайте точку назначения для diode-агента (в качестве примера выбрана директория C:\tmp\diode).
- Выполните настройку WMI-агента для сбора событий с инфраструктуры. В качестве точки назначения укажите директорию на том же сервере, где будет установлен агент.
Как завершить создание агента
Изолированные сегменты сети KUMA не имеют связи с коллектором и Ядром KUMA. Чтобы развернуть агенты KUMA в изолированном сегменте сети:
- Скачайте и настройте конфигурационный ресурс.
- Переместите файл с конфигурационным ресурсом на хост, предназначенный для установки агента.
- Настройте перенос файлов в директорию коллектора.
Шаг 1. Получение конфигурационного ресурса
- Зайдите в созданный агент.
- Перейдите на вкладку Общие параметры и нажмите Скачать конфигурационный ресурс.
При скачивании из конфигурационного ресурса будет удалена информация об учетной записи и пароле. Перейдите в раздел «Secrets» и самостоятельно укажите эти данные в полях «user» и «password».
Шаг 2. Перемещение конфигурационного ресурса
Переместите отредактированный конфигурационный ресурс на хост, предназначенный для установки агента.
Пример команды для установки Windows-агента в изолированном сегменте сети:
После верного выполнения инструкции в указанной директории C:\tmp\diode начнут появляться файлы.
Шаг 3. Перенос файлов в директорию коллектора
С помощью стороннего механизма перенесите файлы в указанную в коллекторе директорию /opt/diode. После переноса файлы будут вычитаны и доступны для просмотра через веб-интерфейс KUMA.
