Как настроить правила реагирования для Kaspersky Web Traffic Security 6.0 в Kaspersky Unified Monitoring and Analysis Platform

1. Скачайте и распакуйте архив с файлами скрипта и библиотек.

2. Откройте веб-интерфейс KUMA и перейдите в раздел Ресурсы → Активные сервисы.

3. Установите флажок напротив сервиса с типом Коррелятор и нажмите → Копировать идентификатор.

4. Разместите файлы скрипта и библиотек на сервере коррелятора KUMA в директорию:
   /opt/kaspersky/kuma/correlator/<идентификатор коррелятора>/scripts/

5. Подключитесь с помощью SSH к серверу коррелятора KUMA, на котором вы разместили файлы скрипта и библиотеки, и перейдите в директорию:
   cd /opt/kaspersky/kuma/correlator/<идентификатор коррелятора>/scripts/

6. Выполните команду:
   chmod +x kwts.py kwtsWebApiV6.py && chown kuma:kuma kwts.py kwtsWebApiV6.py

7. Откройте веб-интерфейс KWTS и авторизуйтесь с учетной записью администратора.

8. Выберите вкладку Учетные записи и роли и нажмите Создать.

9. Укажите название роли и установите флажки Создавать/изменять правила и Просматривать правила.

10. Нажмите Добавить.

11. Добавьте учетную запись пользователя с NTLM-аутентификацией в созданную роль.

Также вы можете использовать учетную запись локального администратора.

12. Перейдите в раздел Правила и нажмите Добавить правило.

13. Настройте новое правило:
    1. Выберите и укажите параметры:
       • В поле Действие выберите Заблокировать.
       • В поле Фильтрация трафика выберите URL.
       • В поле Равняется укажите заведомо вредоносный или несуществующий URL.
       • Введите уникальное название для правила.
    2. Включите правило.
    3. Нажмите Добавить.

14. Нажмите на название созданного правила и скопируйте ID правила из адресной строки.

1. Откройте веб-интерфейс KUMA и перейдите в раздел Ресурсы → Правила реагирования.

2. Нажмите Создать.

3. Настройте новое правило реагирования:
   1. Укажите название правила.
   2. Выберите тенант.
   3. Выберите тип Запуск скрипта.
   4. Укажите название скрипта — kwts.py.
   5. Укажите аргументы скрипта:
      --host <адрес сервера KWTS> --username <имя пользователя> --password <пароль учетной записи пользователя> --ntlm --rule_id <ID правила KWTS> <ключ>
      где:
      • <имя пользователя> — имя учетной записи из шага 11 предыдущего раздела.
      • --ntlm — укажите данный флаг, если используете учетную запись с NTLM-аутентификацией.
      • <ID правила KWTS> — идентификатор правила KWTS из шага 14 предыдущего раздела.
      • <ключ> — укажите один из трех ключей в соответствии с типом блокируемого объекта:
        • --url {{.RequestUrl}};
        • --ip {{.DestinationAddress}};
        • --domain {{.DestinationHostName}}.
   6. В блоке Параметры фильтра укажите условия срабатывания правил корреляции. При их выполнении KUMA заблокирует URL, IP-адрес или домен в KWTS.
   7. Нажмите Создать.

4. Перейдите в раздел Ресурсы → Активные сервисы.

5. Нажмите на название сервиса коррелятора для перехода в режим редактирования.

6. Откройте вкладку Реагирование и нажмите Добавить правило реагирования.

7. Выберите в раскрывающемся списке созданное правило реагирования и нажмите Сохранить.

8. Установите флажок напротив сервиса коррелятора и нажмите Обновить параметры.