Настройка коррелятора и правил корреляции в KUMA

Для получения в KUMA alert-уведомлений о событиях безопасности от оркестратора SD-WAN и CPE необходимо выполнить настройку коррелятора и правил корреляции.

Коррелятор – это сервис, который анализирует события, получаемые от сервиса коллектора (Syslog) по параметрам, настроенным в правилах корреляции, и выполняет уведомление о событии.

Правило корреляции – это правило, в котором описывается признак срабатывания и назначаемый уровень критичности.

Настройка правил корреляции

Чтобы настроить правила корреляции:

1. Перейдите в раздел Resources → Correlation rules.
2. Нажмите +Create.
3. В отобразившемся окне заполните параметры правила корреляции в соответствии с таблицей.
4. Перейдите на вкладку Actions и активируйте правило с помощью output.
5. Повторите действия для остальных правил корреляции.

Изменения будут сохранены.

Настройка коррелятора

Чтобы настроить коррелятор:

1. Перейдите в раздел Resources → Correlators.
2. Нажмите +Create.
3. На вкладке General заполните поля:
   • Name – название коррелятора (например, Audit).
   • Tenant – Main (выберите другой, если требуется).

   

   Параметры коррелятора на вкладке General в KUMA

4. На вкладке Correlation нажмите Link и в открывшемся окне выберите из списка все ранее созданные правила корреляции.

   

   Настройка правил корреляции в корреляторе в KUMA

5. На вкладке Routing нажмите +Add и заполните поля:
   • Kind – выберите storage. После этого появится поле URL.
   • URL – выберите доступный [OOTB] Storage (выберите другой, если требуется).
   • Name – автоматически будет заполнено после выбора в поле URL.

   

   Параметры коррелятора на вкладке Routing в KUMA

6. На вкладке Setup validation нажмите Create and save service и получите команду запуска, которую необходимо выполнить через CLI на сервере KUMA.
7. Нажмите Save.

Изменения будут сохранены.