Как настроить интеграцию Kaspersky Managed Detection and Response с Kaspersky Unified Monitoring and Analysis Platform

Перед началом настройки интеграции убедитесь, что выполнены следующие условия:

Утилита интеграции представляет собой набор независимых модулей. В файле конфигурации config.yml вы можете настроить модули, которые будут использоваться в вашем сценарии интеграции KUMA и MDR.

Состав утилиты:

Шаг 1. Подготовьте MDR

1. Сгенерируйте API-токен MDR. Для этого:
   1. Откройте веб-интерфейс MDR и перейдите в раздел Параметры.
   2. Нажмите Добавить.
   3. Укажите Имя соединения.

      Имя соединения будет отображаться как имя пользователя при создании инцидентов, комментариев и вложений.

   4. Выберите роль Администратор MDR в раскрывающемся списке Роль пользователя.
   5. Выберите один или несколько тенантов, из которых необходимо импортировать инциденты в KUMA, раскрывающемся списке Тенант.
      Если в раскрывающемся списке Тенант отсутствуют варианты, выберите Корневой тенант, чтобы при соединении утилита обнаружила инциденты.
   6. Нажмите Создать.
   7. Сохраните значения следующих параметров:
      • Токен JWT: первичный токен, используется для получения токена доступа (access token) и токена обновления (refresh token).
      • Client ID: идентификатор клиента, передается при запросах к API MDR.
2. Укажите путь к сертификату сервера MDR (опционально).
   По умолчанию проверка подлинности сертификата сервера MDR отключена. Если проверка требуется, загрузите цепочку сертификатов в формате .pem. Для этого:
   1. Откройте веб-интерфейс MDR.
   2. Нажмите на значок настроек страницы в адресной строке слева от адреса веб-сайта.
   3. Перейдите в раздел Подключение защищено и нажмите Действительный сертификат.
   4. Выберите вкладку Подробнее.
   5. Нажмите Экспорт для сертификатов в блоке Иерархия сертифкатов:
      • DigiCert Global G2 TLS RSA SHA256 2020 CA1.crt;
      • DigiCert Global Root G2.crt;
      • _.mdr.kaspersky.crt;
   6. Создайте файл в формате .pem с сертификатами, экспортированными из браузера на предыдущем шаге:
      cat "DigiCert Global G2 TLS RSA SHA256 2020 CA1.crt" "DigiCert Global Root G2.crt" "_.mdr.kaspersky.crt" > mdr.pem
   7. Разместите файл mdr.pem в каталоге /conf.

По истечении срока действия сертификата или при его замене повторите шаги из пункта 2 и обновите файл mdr.pem.

Шаг 2. Подготовьте KUMA

1. Сгенерируйте API-токен KUMA. Для этого:
   1. Откройте веб-интерфейс KUMA и перейдите в раздел Параметры → Доступ → Пользователи.
   2. Создайте новую учетную запись пользователя с ролью Младший аналитик по инструкции.
   3. Нажмите Сгенерировать токен.
   4. Укажите срок действия API-токена и установите флажки прав доступа:

      Право доступа	Как используется утилитой
      POST /incidents/create	Создание инцидентов.
      POST /incidents/comment	Добавление комментариев, вложений и действий из MDR.
      POST /incidents/close	Закрытие инцидентов.
      GET /incidents	Поиск инцидента в KUMA по номеру при добавлении комментариев и вложений.

   5. Нажмите Сгенерировать и сохраните значение токена.
      Он будет использоваться в файле конфигурации далее.
2. Сохраните идентификатор тенанта (в формате UUID), в который будут импортироваться инциденты. Для этого:
   1. Откройте веб-интерфейс KUMA и перейдите в раздел Параметры → Доступ → Тенанты.
   2. Нажмите Экспортировать → Для словаря.
   3. Откройте файл tenants.csv.
   4. Сохраните идентификатор выбранного тенанта.

Утилита интеграции будет создавать инциденты только в указанном тенанте. При создании инцидента утилита передает идентификатор тенанта в поле TenantID.

Шаг 1. Установите утилиту интеграции

1. Скачайте и распакуйте архив с утилитой интеграции.
2. Разместите папку MDR-integrations в любой каталог на сервере с KUMA.

Проверьте, что после размещения утилиты на сервере был создан каталог /<path>/MDR-integrations с вложенными файлами и подкаталогами.

Шаг 2. Установите зависимости Python

Выполните установку библиотек для Python:

Где <path> — каталог на сервере, в котором размещена папка MDR-integrations.

1. Создайте новый файл конфигурации из файла примера с помощью команды:
   cp /<path>/MDR-integrations/conf/sample_config.yml /<path>/MDR-integrations/conf/config.yml
   Где <path> — каталог на сервере, в котором размещена папка MDR-integrations.
2. Откройте файл конфигурации config.yml в текстовом редакторе и заполните параметры.

Пример заполнения файла конфигурации config.yml по ссылке.

Файл конфигурации состоит из общих настроек и индивидуальных настроек для модулей.

Общие настройки

Параметры подключения к API MDR и пути к служебным файлам.

Настройки модулей

Чтобы выбрать несколько значений параметров фильтрации используйте формат:

<параметр фильтрации>:
    - <значение 1>
    - <значение 2>
    - <значение 3>

Раздел token_updater

Параметры обновления токена доступа к API MDR.

Раздел mdr_sync

Параметры фильтрации и импорта данных из MDR. Раздел содержит два модуля: incident и asset.

Модуль incident

Вложен в раздел modules.

Параметры фильтрации инцидентов задаются в параметре filter внутри модуля incident.

Полный список параметров фильтрации инцидентов приведен в документации REST API MDR.

Модуль asset

Вложен в раздел modules.

Параметры фильтрации активов задаются в параметре filter внутри модуля asset.

Полный список параметров фильтрации активов приведен в документации REST API MDR.

Модуль mdr_sync сохраняет данные об активах в каталоге /data. Функционал доставки активов в KUMA находится в разработке и в текущей версии утилиты не выполняется.

Раздел kuma

Параметры подключения к KUMA и настройки импорта данных.

В раздел modules включены модули incident и asset — по аналогии с mdr_sync.

Раздел event_sender (опциональный)

Параметры отправки событий во внешние системы по протоколам syslog. Если отправка событий не требуется, укажите enable: false для обоих модулей.

Раздел logging

Шаг 1. Добавьте токен и сертификат MDR

1. Перейдите в каталог /conf.
2. Откройте в текстовом редакторе файл .refresh_token.
3. Укажите токен JWT для доступа к API MDR, сгенерированный ранее.
4. Сохраните файл.
5. Если в файле конфигурации включена проверка сертификата MDR (параметр ssl_cert: conf/mdr.pem), замените файл mdr.pem на актуальный сертификат, созданный ранее.

Ограничьте доступ к файлам с токенами:

Где <path> — каталог на сервере, в котором размещена папка MDR-integrations.

Шаг 2. Запустите утилиту интеграции

Для диагностики работы утилиты, перед первым запуском в файле конфигурации config.yml укажите значение параметра логирования log_level: DEBUG. После завершения диагностики укажите значение log_level: INFO для логирования в штатном режиме.

1. Запустите утилиту с помощью команды:
   cd /<path> && python3 ./main.py

   Где <path> — каталог на сервере, в котором размещена папка MDR-integrations.

2. Проверьте работу утилиты:
   • Если при первом запуске отображаются сообщения об отсутствии необходимых пакетов для Python — установите их по инструкции.
   • Если возникло предупреждение о недействительном сертификате MDR (при включенной проверке сертификата) — обновите файл mdr.pem по инструкции.
   • Если сообщения об ошибках отсутствуют — интеграция настроена правильно.

Журнал работы утилиты находится в файле app.log.

Проверьте импорт инцидентов в KUMA

1. Убедитесь, что в KUMA были импортированы инциденты, созданные в MDR, начиная с момента времени, которое вы указали в файле конфигурации в параметре min_creation_time и значения в файле .last_check.
2. Проверьте, что имя импортированного инцидента в KUMA соответствует формату <номер> - <описание>, а в описании содержится ссылка на инцидент в веб-интерфейсе MDR.
3. В журнале app.log имеются записи вида:
   • new incident found. incident_id = <идентификатор инцидента> (модуль mdr_sync);
   • KUMA incident has been created successfully: <содержание инцидента KUMA> (модуль kuma);
   • New MDR comment: <содержание комментария MDR> (при поступлении комментариев MDR).

Автозапуск интеграции как службы systemd (рекомендуемый способ)

1. Остановите текущий сеанс утилиты.
2. Создайте новую учетную запись для службы systemd и назначьте ее владельцем каталога утилиты с помощью команды:

   sudo useradd -r -s /sbin/nologin mdr_user
   sudo chown -R mdr_user:mdr_user /<path>/MDR-integrations
   

   Где <path> — каталог на сервере, в котором размещена папка MDR-integrations.
3. Создайте файл mdr_integration.service в каталоге /etc/systemd/system/.
4. Укажите параметры запуска в файле:

   [Unit]
   Description=Kaspersky MDR Integration Service
   Wants=network-online.target
   After=network-online.target
   
   [Service]
   WorkingDirectory=/<path>/MDR-integrations/mdr_integration
   
   User=mdr_user
   Group=mdr_user
   
   ExecStart=/usr/bin/python3 /<path>/MDR-integrations/mdr_integration/main.py
   
   StandardOutput=null
   StandardError=null
   
   # Выключение без таймаута: дождаться остановки процесса
   TimeoutStopSec=0
   
   # Restart=on-failure
   # RestartSec=30
   # StartLimitIntervalSec=600
   # StartLimitBurst=3
   
   [Install]
   WantedBy=multi-user.target
           
   

   Где <path> — каталог на сервере, в котором размещена папка MDR-integrations.
   
   По умолчанию после трех сбоев модуля в течение 10 минут утилита автоматически останавливает работу. Если вы хотите, чтобы утилита автоматически перезапускалась после сбоя, сделайте активными параметры:
   • Restart=on-failure;
   • RestartSec=30;
   • StartLimitIntervalSec=600;
   • StartLimitBurst=3.

   Мы рекомендуем включать автоматический перезапуск интеграции (параметр Restart=on-failure) только после проверки и отладки конфигурации.

5. Зарегистрируйте и запустите службу с помощью команды:

   sudo systemctl daemon-reload
   sudo systemctl enable mdr_integration.service
   sudo systemctl start mdr_integration.service
   sudo systemctl status mdr_integration.service
   

Для получения журналов работы systemd, используйте команду:

Автозапуск интеграции через Cron (альтернативный способ)

Если systemd не используется, настройте автозапуск с помощью планировщика задач Cron.

1. Откройте crontab в режиме редактирования с помощью команды:
   sudo crontab -e
2. Добавьте новое задание с помощью команды:
   @reboot sleep 300 && python3 /<path>/MDR-integrations/mdr_integration/main.py
   Где <path> — каталог на сервере, в котором размещена папка MDR-integrations.

Задержка перед запуском длительностью 300 секунд (параметр sleep 300) необходима для запуска всех служб до запуска утилиты.

Проверка автозапуска интеграции

1. Перезагрузите сервер.
2. После перезагрузки убедитесь, что служба запущена и в KUMA продолжают импортироваться новые инциденты:
   sudo systemctl status mdr_integration.service

Модуль mdr_sync записывает файлы вида <время>_<тип>.json в каталоге /data.

Каждый модуль обработки (например .processed_kuma или .processed_event_sender) записывает обработанные файлы в каталоге /conf.

Рекомендации по работе с промежуточными данными:

• Периодически очищайте каталог /data. Предварительно убедитесь, что файлы доставлены (в журнале соответствующих модулей).
• Удаление только файлов из каталога /data не приведет к повторной доставке файлов, так как имена файлов сохраняются в .processed*.
• Для повторной доставки файла (например, после сбоя) удалите файл и его имя в .processed*.