Настройка коллекторов в KUMA

В приложении KUMA вам необходимо создать четыре коллектора для получения событий безопасности Kaspersky NGFW:

• коллектор для получения событий плагина Kaspersky NGFW в Open Single Management Platform;
• коллектор для получения событий аудита Open Single Management Platform;
• коллектор для получения событий в формате CEF Kaspersky NGFW;
• коллектор для получения событий по протоколу syslog из Kaspersky NGFW.

Вы можете импортировать коллекторы и все необходимые ресурсы для KUMA из файла kuma-kngfw-<номер версии>, входящего в комплект поставки, либо создать вручную, как указано в справке KUMA.

Чтобы настроить коллекторы в KUMA:

1. Откройте веб-интерфейс KUMA.
2. Если вы используете Kaspersky Security Center, создайте отдельный тенант для событий безопасности Kaspersky NGFW:
   1. Перейдите в раздел Параметры → Тенанты и нажмите Добавить.

      Откроется окно создания тенанта.

   2. Введите название тенанта для событий Kaspersky NGFW, например NGFW.
   3. Нажмите Сохранить.
3. Импортируйте ресурсы:
   1. Перейдите в раздел Ресурсы и нажмите Импорт ресурсов.

      Откроется окно Импорт ресурсов.

   2. В раскрывающемся списке Тенант выберите тенант по умолчанию (Root tenant) в Kaspersky Symphony XDR или созданный тенант (NGFW) в Kaspersky Security Center.
   3. В раскрывающемся списке Источник импорта выберите Файл.
   4. Укажите пароль от файла и выберите файл kuma-kngfw-<номер версии> из комплекта поставки.
   5. Выберите импортируемые ресурсы: Все ресурсы.
   6. Нажмите Импортировать.
   7. Разрешите конфликты между импортированными из файла и существующими ресурсами, если они возникли. Подробнее см. в справке KUMA.

   Будут импортированы следующие коллекторы и необходимые для них коннекторы и нормализаторы:

   • ngfw_ksc_plugin_collector;
   • ngfw_cef_collector;
   • ngfw_syslog_collector;
   • KSC log collector.
4. Если вы используете Kaspersky Security Center, создайте хранилище:
   1. Перейдите в раздел Ресурсы → Хранилища и нажмите Добавить.

      Откроется окно Создание хранилища.

   2. На вкладке Основные параметры в поле Название хранилища введите имя создаваемого хранилища, например ngfw_store. Название должно содержать от 1 до 128 символов в кодировке Unicode.
   3. В раскрывающемся списке Тенант выберите Main.
   4. При необходимости введите описание, измените условия хранения и срок хранения событий аудита.
   5. В блоке параметров Узлы кластера ClickHouse заполните следующие поля:
      • В поле FQDN укажите полное доменное имя хоста сервиса, на котором расположен Kaspersky NGFW.
      • В полях идентификаторов шарда, реплики и кипера укажите роль узла в кластере ClickHouse. Идентификаторы шарда и кипера должны быть уникальными в рамках кластера, идентификатор реплики должен быть уникальным в рамках шарда.
   6. Нажмите Создать.
5. Создайте сервис хранилища:
   1. Перейдите в раздел Ресурсы → Активные сервисы и нажмите Добавить.
   2. Выберите хранилище по умолчанию ([OOTB] Storage) в Kaspersky Symphony XDR или созданное хранилище (ngfw_store) в Kaspersky Security Center.
   3. Нажмите Создать сервис.
   4. В разделе Сервисы установите флажок рядом с созданным сервисом ([OOTB] Storage или ngfw_store) и нажмите в меню Копировать идентификатор.
   5. На сервере, где установлено приложение KUMA, выполните команду создания сервиса хранилища:

      sudo /opt/kaspersky/kuma/kuma storage --core https://kumatest.localdomain:7210 --id <идентификатор сервиса, скопированный из веб-интерфейса KUMA> --api.port 7221 --install

6. Создайте необходимые пространства:
   1. Перейдите в раздел Ресурсы → Хранилища и нажмите на строку с хранилищем по умолчанию ([OOTB] Storage) в Kaspersky Symphony XDR или с созданным хранилищем (ngfw_store) в Kaspersky Security Center.
   2. В блоке параметров Пространства нажмите Добавить пространство.
   3. В поле Название введите название создаваемого пространства: dataplane_events, service_events, management_events или system_events.
   4. В блоке параметров Параметры фильтра в раскрывающемся списке Фильтр выберите Создать.
   5. Нажмите Добавить условие и добавьте следующие условия для создаваемых пространств:
      • Для dataplane_events:

        (DeviceEventClassID = Firewall, SSL Inspection, URL Antivirus, File Antivirus, IDPS, Web Control, DNS Security, Explicit Proxy)

      • Для system_events:

        (DeviceEventClassID = Update of the malware signature database, System time, Integrity check, Monitoring security functions, HW and SW faults, Cluster operation)

      • Для management_events:

        (DeviceEventClassID = Authentication Event, Traffic filtering management, IP address settings, MAC address settings, General functions settings, General functions management, Security functions management, Journal management)

      • Для service_events:

        (DeviceEventClassID = 'Service')

        Для добавления каждого следующего пространства нажмите Добавить пространство и повторите шаги b–e.

   6. Нажмите Сохранить.
7. Измените секрет для подключения к базе данных Open Single Management Platform:
   1. Перейдите в раздел Ресурсы → Секреты и нажмите на строку с секретом ksc_secret.
   2. В поле URL укажите адрес для подключения к серверу в следующем формате:

      postgres://user:password@kscdb.example.com:5432/database

      где:

      • user – учетная запись с правами на SELECT из схемы public и CONNECT к нужной базе данных;
      • password – пароль учетной записи;
      • kscdb.example.com:5432 – адрес и порт сервера базы данных;
      • database – название базы данных Open Single Management Platform.
   3. Нажмите Сохранить.
8. В импортированные коллекторы ngfw_ksc_plugin_collector, ngfw_cef_collector, ngfw_syslog_collector и KSC log collector добавьте хранилище по умолчанию ([OOTB] Storage) в Kaspersky Symphony XDR или созданное хранилище (ngfw_store) в Kaspersky Security Center:
   1. Перейдите в раздел Ресурсы → Коллекторы и выберите тенант Root tenant в Kaspersky Symphony XDR или созданный тенант (NGFW) в Kaspersky Security Center.
   2. Нажмите на строку с необходимым коллектором.
   3. Перейдите в раздел Маршрутизация и при необходимости удалите существующие хранилища.
   4. Нажмите Добавить.

      Откроется окно создания точки назначения.

   5. Введите название хранилища [OOTB] Storage или ngfw_store.
   6. В раскрывающемся списке Тип выберите storage.
   7. В поле URL выберите предложенный адрес для [OOTB] Storage или ngfw_store.
   8. Нажмите Сохранить.
9. Установите коллекторы на сервере:
   1. Перейдите в раздел Ресурсы → Коллекторы и выберите тенант Root tenant в Kaspersky Symphony XDR или созданный тенант (NGFW) в Kaspersky Security Center.
   2. Нажмите на строку с необходимым коллектором.
   3. Перейдите в раздел Проверка параметров и нажмите Сохранить и создать.
   4. В открывшемся окне скопируйте команду из поля Рекомендуемая команда для установки коллектора и используйте скопированную команду для установки коллектора на сервере через интерфейс командной строки.
10. Обновите конфигурацию сервисов:
    1. Перейдите в раздел Ресурсы → Активные сервисы.
    2. Выберите требующие обновления сервисы и нажмите Обновить параметры.

В приложении KUMA будут настроены необходимые коллекторы для получения событий из Kaspersky NGFW.