Требования к устройствам с сервисами KUMA

Сервисы KUMA (коллекторы, корреляторы и хранилища) могут быть установлены либо на выделенных узлах вне кластера Kubernetes, либо в качестве рабочих нагрузок внутри кластера Kubernetes при развертывании Kaspersky Symphony XDR.

Если сервисы KUMA разворачиваются вне кластера Kubernetes, требования к оборудованию, программному обеспечению и установке, указанные в этой статье, применяются непосредственно к устройствам, на которых установлены сервисы.

Если сервисы KUMA разворачиваются внутри кластера Kubernetes, они запускаются на рабочих узлах Kubernetes и потребляют ресурсы кластера в соответствии с требованиями к оборудованию, программному обеспечению и установке, указанными в этой статье. В этом случае рабочие узлы Kubernetes должны иметь достаточную производительность для выполнения этих требований.

Общие требования к установке приложения

Вы можете установить приложение на следующих операционных системах:

• Oracle Linux
• Astra Linux
• Ubuntu

  Поддерживаемые версии операционных систем перечислены в разделе Аппаратные и программные требования.

  Поддерживаются конфигурации Сервер и Сервер с поддержкой графического интерфейса. В конфигурации Сервер с поддержкой графического интерфейса не требуется устанавливать дополнительные пакеты для формирования отчетов.

Перед развертыванием программы убедитесь, что выполняются следующие условия:

• Серверы, на которых вы хотите установить компоненты, соответствуют аппаратным и программным требованиям.
• Порты, которые будут использоваться установленным экземпляром KUMA, доступны.
• Адресация компонентов KUMA осуществляется по полному доменному имени FQDN устройства в формате hostname.example.com. Перед установкой решения убедитесь, что выполнение следующей команды возвращает корректное FQDN устройства:

  hostname -f

• Имя сервера, на котором запускается установщик, отличается от localhost или localhost.<домен>.
• Имя сервера, на котором будет установлено Ядро KUMA, не начинается с цифры.
• Синхронизация времени по протоколу Network Time Protocol (NTP) настроена на всех серверах с сервисами KUMA.

Рекомендованные аппаратные и программные требования

В этом разделе перечислены аппаратные и программные требования для обработки потока данных до 40 000 событий в секунду (EPS). Значение нагрузки KUMA зависит от типа анализируемых событий и эффективности нормализатора.

Для повышения эффективности обработки событий количество ядер процессора важнее тактовой чистоты. Например, 8 ядер процессора со средней тактовой частотой могут обрабатывать события эффективнее, чем 4 ядра процессора с высокой тактовой частотой. В таблице ниже перечислены аппаратные и программные требования компонентов KUMA.

Объем оперативной памяти, используемой коллектором, зависит от настроенных способов обогащения (DNS, учетные записи, активы, обогащение данными из Kaspersky CyberTrace) и от того, используется ли агрегирование. На потребление оперативной памяти влияют параметры окна агрегации данных, количество полей, используемых для агрегации данных, объем данных в агрегируемых полях.

Например, с потоком событий 1000 EPS и отключенным обогащением событий (обогащение событий отключено, агрегация событий отключена, 5000 учетных записей, 5000 активов на одного тенанта) одному коллектору требуются следующие ресурсы:

• 1 процессорное ядро или 1 виртуальный процессор;
• 512 МБ оперативной памяти;
• 1 ГБ дискового пространства (без учета кеша событий).

Например, для 5 коллекторов, которые не выполняют обогащение событий, потребуется выделить следующие ресурсы: 5 процессорных ядер, 2,5 ГБ оперативной памяти и 5 ГБ свободного дискового пространства.

Рекомендуемые аппаратные и программные требования для установки сервисов KUMA

Установка KUMA поддерживается в следующих виртуальных средах:

• VMware 6.5 и выше.
• Hyper-V for Windows Server 2012 R2 и выше.
• QEMU-KVM 4.2 и выше.

Рекомендации "Лаборатории Касперского" для серверов хранения

Для серверов хранения данных эксперты "Лаборатории Касперского" рекомендуют следующее:

• Ставьте ClickHouse на твердотельные накопители (SSD). Твердотельные накопители помогают повысить скорость доступа к данным. Жесткие диски можно использовать для хранения данных с помощью технологии HDFS.
• Чтобы подключить систему хранения данных к серверам хранения, используйте высокоскоростные протоколы, такие как Fibre Channel или iSCSI 10G. Не рекомендуется использовать протоколы уровня приложений, например NFS и SMB, для подключения систем хранения данных.
• Используйте файловую систему ext4 на кластерных серверах ClickHouse.
• Если вы используете RAID-массивы, используйте RAID 0 для высокой производительности или RAID 10 для высокой производительности и отказоустойчивости.
• Для обеспечения отказоустойчивости и производительности подсистемы хранения данных, убедитесь, что узлы ClickHouse разворачиваются строго на разных дисковых массивах.
• Если вы используете виртуализированную инфраструктуру для размещения компонентов системы, разворачивайте узлы кластера ClickHouse на разных гипервизорах. В этом случае необходимо запретить двум виртуальным машинам с ClickHouse работать с одним гипервизором.
• Для высоконагруженных установок KUMA установите ClickHouse на физических серверах.

Требования к устройствам для установки агентов

Чтобы отправлять данные в коллектор KUMA, вам нужно установить агенты на устройствах сетевой инфраструктуры. Требования к аппаратному и программному обеспечению перечислены в таблице ниже.

Рекомендуемые аппаратные и программные требования для установки агентов

Требования к установке на устройствах с операционными системами Oracle Linux, Astra Linux, Ubuntu 22.04 LTS