Как настроить правила реагирования для Kaspersky Web Traffic Security 6.2 в Kaspersky Unified Monitoring and Analysis Platform

1. Откройте веб-интерфейс KWTS и авторизуйтесь с учетной записью администратора.

2. Перейдите в раздел Пользователи и нажмите Добавить.

3. Укажите название роли и установите флажки:
   • Создавать/изменять правила.
   • Просматривать правила.

4. Нажмите Добавить.

5. Нажмите Назначить роль.

6. Создайте новую учетную запись с любым типом: local, NTLM или Kerberos (при наличии соответствующей интеграции).

7. Назначьте учетной записи роль, созданную на шаге 4.

8. Нажмите Сохранить.

9. Перейдите в раздел Правила и нажмите Добавить правило.

10. Настройте новое правило:
    1. Выберите и укажите параметры:
       • В поле Действие выберите Заблокировать.
       • В поле Фильтрация трафика выберите URL.
       • В поле Равняется укажите заведомо вредоносный или несуществующий URL.
       • Введите уникальное название для правила.
    2. Включите правило.
    3. Нажмите Добавить.
    4. 

11. Нажмите на название созданного правила и скопируйте ID правила из адресной строки.

1. Скачайте и распакуйте архив с утилитой для интеграции.

2. Откройте веб-интерфейс KUMA и перейдите в раздел Ресурсы → Активные сервисы.

3. Установите флажок напротив сервиса с типом Коррелятор и нажмите → Копировать идентификатор.

4. Разместите утилиту kwts-rule-update на сервере коррелятора KUMA в директорию:
   /opt/kaspersky/kuma/correlator/<идентификатор коррелятора>/scripts/

5. Подключитесь с помощью SSH к серверу коррелятора KUMA, на котором вы разместили файл, и перейдите в директорию:
   cd /opt/kaspersky/kuma/correlator/<идентификатор коррелятора>/scripts/

6. Создайте в директории файл конфигурации kwts.conf.

7. Задайте владельцем файла утилиты и файла конфигурации пользователя kuma:kuma с помощью команды:
   chown kuma:kuma kwts-rule-update kwts.conf

8. Задайте права с уровнем 600 для файла kwts.conf с помощью команды:
   chmod 600 kwts.conf

9. Заполните файл конфигурации kwts.conf:
   1. [kwts] :
      • host : укажите IP-адрес или FQDN KWTS (обязательно для учетной записи с типом NTLM или Kerberos);
      • auth_type : укажите local , ntlm или kerberos .
   2. [local] (заполняется при соответствующем auth_type = local):
      • username : имя учетной записи;
      • password : пароль учетной записи.

      Пример заполнения файла конфигурации с [local]

      [kwts]
      host = kwts.abc.lab
      auth_type = local
      
      [local]
      username = api-user
      password = secret

   3. [ntlm] (заполняется только при соответствующем auth_type = ntlm):
      • username : имя учетной записи;
      • password : пароль учетной записи.

      Пример заполнения файла конфигурации с [ntlm]

      [kwts]
      host = kwts.abc.lab
      auth_type = ntlm
      
      [ntlm]
      username = ABC\api-user
      password = secret

   4. [kerberos] (заполняется только при соответствующем auth_type = kerberos):
      • keytab : полный путь к keytab-файлу пользователя;
      • principal : уникальный идентификатор участника в домене Kerberos.
      Примечания по работе с Kerberos:
      

      • Пользователь kuma должен обладать правом на чтение keytab-файла.
      • Допускается размещение Keytab-файла в той же директории, где расположены утилита и файл конфигурации.
      • Файл /etc/krb5.conf должен содержать соответствующие реалмы (realms) и домены.

      Пример заполнения файла конфигурации с [kerberos]

      [kwts]
      host = kwts.abc.lab
      auth_type = kerberos
      
      [kerberos]
      principal = HTTP/web.abc.lab@ABC.LAB
      keytab = /opt/kaspersky/kuma/correlator/<id>/scripts/api-user.keytab

      Пример заполнения файла /etc/krb5.conf

      [libdefaults]
      default_realm = ABC.LAB
      
      [realms]
      ABC.LAB = {
      kdc = dc-01.abc.lab
      admin_server = dc-01.abc.lab
      }
      
      [domain_realm]
      .abc.lab = ABC.LAB
      abc.lab = ABC.LAB

10. Проверьте работу утилиты с помощью команды:
    ./kwts-rule-update --id <идентификатор правила KWTS> --value https://test.from.shell --config /opt/kaspersky/kuma/correlator/<идентификатор коррелятора KUMA>/scripts/kwts.conf

    В случае успешного запуска утилиты вы увидите строку: {"data":"success"}.

По умолчанию утилита проверяет подлинность сертификата. Для тестирования вы можете использовать флаг --insecure, чтобы отключить проверку.

1. Откройте веб-интерфейс KUMA и перейдите в раздел Ресурсы → Правила реагирования.

2. Нажмите Создать.

3. Настройте новое правило реагирования:
   1. Укажите название правила: KWTS Rule Update.
   2. В раскрывающемся списке выберите тенант.
   3. Тип: Запуск скрипта.
   4. Укажите название скрипта: kwts-rule-update.
   5. Укажите аргументы скрипта:
      --id <идентификатор правила KWTS> --value {{.RequestUrl}} --config /opt/kaspersky/kuma/correlator/<идентификатор коррелятора KUMA>/scripts/kwts.conf
   6. 

4. Перейдите к блоку Параметры фильтра и нажмите Код.

5. Укажите значение фильтра:
   Name = 'KWTS_TEST_RESPONSE'

6. Нажмите Создать.

7. Перейдите в раздел Ресурсы → Активные сервисы.

8. Нажмите на название сервиса коррелятора для перехода в режим редактирования.

9. Перейдите в раздел Реагирование и нажмите Добавить правило реагирования.

10. В раскрывающемся списке выберите созданное правило реагирования и нажмите Сохранить.

11. Установите флажок напротив сервиса коррелятора и нажмите Обновить параметры.