Создание маршрутизатора событий

28 января 2026

ID 274648

Эта функциональность доступна только в коммерческой версии LogAnalyzer.

Маршрутизатор событий – это сервис, который позволяет принимать потоки событий от коллекторов и дальше распределять события по заданным точкам назначения в соответствии с настроенными фильтрами.

Чтобы события из коллектора были направлены в маршрутизатор событий, нужно создать ресурс точки назначения eventRouter с адресом маршрутизатора событий и привязать ресурс к тем коллекторам, которые должны отправлять события в маршрутизатор.

Маршрутизатор событий принимает события по API-порту, как и точки назначения типа storage и correlator.

Создать маршрутизатор можно в разделе Ресурсы.

Использование маршрутизатора событий позволяет снизить утилизацию каналов связи, что актуально для каналов с невысокой пропускной способностью и каналов, уже загруженных продуктивным трафиком.

Возможные сценарии использования:

Коллектор – маршрутизатор в дата-центре

Коллектор передает события на маршрутизатор в дата-центре, а маршрутизатор передает события в заданную точку назначения хранилища.

collector_event router

Предусловия:

В филиалах настроены коллекторы от KUMA 3.2.
В дата-центре есть мощности для установки Маршрутизатора событий.
В дата-центре установлена KUMA 3.2.

Шаги:

В дата-центре:
1. Создать сервис Маршрутизатор событий.
2. Создать точки назначения типов storage и correlator и указать их в Маршрутизаторе событий.
3. В Маршрутизаторе событий на вкладке Дополнительные параметры настроить фильтр, чтобы передавать события в хранилище. Например, DeviceCustomString = correlator или DeviceCustomString = storage.
4. Настроить обогащение.
В коллекторах филиалов:
1. Создать точку назначения типа eventRouter.
2. Указать URL Маршрутизатора событий в дата-центре офисе.
3. Если eventRouter заменяет собой прежде настроенные точки назначения, их можно удалить.

Постусловие:

Коллекторы в филиалах настроены.
Маршрутизатор событий в дата-центре настроен.

Соединения филиалов с дата-центром оптимизированы: теперь не требуется в каждом коллекторе настраивать отправку событий в хранилище в дата-центре.

Маршрутизация в хранилище будет выполнена уже в дата-центре.

Каскадное подключение: несколько коллекторов – маршрутизатор в филиале, маршрутизатор в филиале – маршрутизатор в дата-центре

Несколько коллекторов передают события в маршрутизатор событий в филиале, маршрутизатор событий в филиале передает события в маршрутизатор в дата-центре, где уже происходит передача событий в заданные точки назначения: корреляторы и хранилище.

event router_event router

Схема каскадного подключения маршрутизаторов

Предусловия:

В филиалах настроены коллекторы от KUMA 3.2.
В дата-центре есть мощности для установки Маршрутизатора событий.
В дата-центре установлена KUMA 3.2.

Шаги:

В дата-центре:
1. Создать сервис Маршрутизатор событий.
2. Создать Точки назначения типа storage и correlator и указать их в Маршрутизаторе событий.
3. В Маршрутизаторе событий на вкладке Дополнительные параметры настроить фильтр, чтобы передавать события в хранилище и/или коррелятор. Например, DeviceCustomString = correlator или DeviceCustomString = storage.
В филиале:
1. Создать сервис Маршрутизатор событий.
2. Создать Точку назначения типа eventRouter и указать URL Маршрутизатора событий в дата-центре.
В коллекторах филиалов:
1. Создать точку назначения типа eventRouter и указать URL Маршрутизатора событий в филиале.
2. Если eventRouter заменяет собой прежде настроенные точки назначения, их можно удалить.

Постусловие:

Коллекторы в филиалах настроены.
Маршрутизатор событий в дата-центре и маршрутизатор событий в филиале настроены.

Соединение филиалов с дата-центром оптимизированы: теперь не требуется в каждом коллекторе настраивать отправку событий в дата-центр, достаточно собрать общий поток событий на маршрутизатор и одним потоком отправить в дата-центр.

Маршрутизатор событий доступен для установки только на устройства под управлением Linux. Создавать сервис может только пользователь с ролью Главный администратор. Создавать сервис можно в любом тенанте, привязка к тенанту не накладывает никаких ограничений.

Вы можете установить сервис маршрутизатора событий как на отдельном хосте, так и вместе с коллектором. Поскольку для маршрутизатора событий в файле инвентаря отсутствует отдельная секция, вы можете указать хост для установки маршрутизатора событий в секции kuma_collector. Также если вы планируете устанавливать маршрутизатор событий на отдельном хосте, вам нужно указать этот хост в файле инвентаря в секции kuma_collector, тогда при очередном обновлении LogAnalyzer сервис маршрутизатора событий также будет обновлен.

Для получения информации о параметрах работы сервиса доступны следующие метрики:

IO
Process
OS

Как и для прочих ресурсов, для маршрутизатора событий в LogAnalyzer создаются следующие события аудита:

Ресурс успешно добавлен.
Ресурс успешно обновлен.
Ресурс успешно удален.

Установка маршрутизатора событий состоит из двух этапов:

В этом разделе

Запуск мастера установки маршрутизатора событий

Установка маршрутизатора событий на сервере

Профессиональные услуги «Лаборатории Касперского»

Внедрение продуктов. Аудит и конфигурирование системы защиты. Свяжитесь с нами и получите помощь экспертов

Расширенная техническая поддержка (MSA) — приоритетная обработка инцидентов

Поддержка по телефону или через веб‑портал. Быстрое реагирование, мониторинг и проверка. Подайте заявку и активируйте контракт

Вам помогла эта статья?

Что нам нужно улучшить?

Спасибо за ваш отзыв, вы помогаете нам становиться лучше!