Построение иерархии экземпляров OSMP

Вы можете организовать экземпляры Open Single Management Platform (OSMP) в двухуровневую иерархию с родительским экземпляром наверху. Это позволит передавать параметры родительского экземпляра дочерним экземплярам, сохраняя при этом параметры дочерних экземпляров.

Например, Пользователь A и Пользователь B развернули OSMP. Оба пользователя имеют независимый экземпляр OSMP и работают в собственном экземпляре Консоли OSMP.

Чтобы обеспечить обмен данными между экземплярами, Пользователю A и Пользователю B нужно организовать свои экземпляры в иерархию. Для этого Пользователь A, пользователь будущего дочернего экземпляра, отправляет запрос на подключение к будущему родительскому экземпляру, где Пользователь B, пользователь будущего родительского экземпляра, подтверждает запрос.

При необходимости вы можете отключить дочерний экземпляр.

После построения иерархии объекты экземпляров управляются в иерархии следующим образом:

• Серверы администрирования

  В иерархии экземпляров вам нужно вручную назначить подчиненный Сервер администрирования.

• Тенанты

  Иерархия тенантов дочернего экземпляра встроена в иерархию тенантов родительского экземпляра. Параметры тенанта и параметры тенанта интеграции дочернего экземпляра можно изменить как в дочернем, так и в родительском экземплярах. Параметры тенанта и параметры тенанта интеграции родительского экземпляра можно изменить только из родительского экземпляра.

  В родительском экземпляре вы можете просматривать иерархию тенантов дочернего экземпляра, создавать, изменять и удалять тенанты дочернего экземпляра, но удалить дочерний экземпляр тенанта Root невозможно.

• Активы (устройства) и категории активов

  Параметры родительского и дочернего экземпляров не зависят друг от друга. Если вы вносите изменения в родительский экземпляр, изменения не применяются к дочернему, и наоборот.

  В дочернем экземпляре активы родительского экземпляра не отображаются. В дочернем экземпляре доступны просмотр категорий активов родительского экземпляра, привязка активов дочернего экземпляра и выполнение действий по реагированию для активов дочернего экземпляра. Например, для родительского экземпляра и для дочернего экземпляра существует категория активов NNN. Если вы запускаете действие по реагированию для категории NNN из дочернего экземпляра, действие по реагированию выполняется только с активами дочернего экземпляра. Вы не можете изменять категории родительских экземпляров, назначать эти категории устройствам дочерних экземпляров или создавать подкатегории унаследованных категорий.

  В родительском экземпляре отображаются категории активов дочернего экземпляра. Если вы выберете категорию актива, отобразятся активы дочернего экземпляра. Вы можете выполнять действия по реагированию для активов категорий дочерних экземпляров. Если нет подключения к дочернему экземпляру, пользователь родительского экземпляра может инициировать действие по реагированию, которое будет выполнено на устройствах дочернего экземпляра после восстановления подключения. Если вы удаляете категорию из родительского экземпляра, то в дочернем экземпляре эта категория становится локальной и перемещается в категорию Категоризованные активы на тенанте Root дочернего экземпляра. Вы не можете удалить категорию активов, если она используется ресурсами KUMA. Категории активов дочернего экземпляра не могут использоваться ресурсами KUMA родительского экземпляра.

• Пользователи и роли пользователей

  Все пользователи управляются из родительского экземпляра. Пользователи и роли реплицируются из родительского экземпляра в дочерний (кроме учетной записи admin). В дочернем экземпляре существующие пользователи удаляются, а роли пользователей остаются без репликации в родительский экземпляр.

  Учетная запись admin уникальна для каждого экземпляра OSMP и не реплицируется между экземплярами. Поэтому под учетной записью admin родительского экземпляра не поддерживаются следующие действия:

  • Работа с событиями дочернего экземпляра в разделе Поиск угроз родительского экземпляра;
  • Просмотр информации о ресурсах дочерних экземпляров из родительского экземпляра;
  • Просмотр и управление сервисами дочерних экземпляров из родительского экземпляра.
• Файлы

  Файлы, загруженные и полученные в результате действий по реагированию, выполненных на дочернем экземпляре, отображаются в таблице файлов в родительском экземпляре в поле Тенант со следующим значком: (). Открывая сведения о файле дочернего экземпляра в родительском экземпляре, вы перенаправляетесь на дочерний экземпляр для дальнейших операций с файлом.

• Объекты KUMA
  • События

    События дочернего экземпляра хранятся в дочернем экземпляре, события родительского экземпляра хранятся в родительском экземпляре. В родительском экземпляре вы можете выполнить поиск событий дочерних экземпляров.

  • Правила корреляции и IOA-правила

    После построения иерархии IOA-правила преобразуются в правила корреляции KUMA.

    Существуют следующие режимы работы с правилами корреляции в иерархии:

    • Локальный. Если правило корреляции создано в дочернем экземпляре, оно управляется и в дочернем экземпляре. Если правило корреляции унаследовано от родительского экземпляра, то на дочернем экземпляре вы можете только добавлять исключения в правило корреляции и не можете изменять правило.

      Правила корреляции и их исключения применяются только к устройствам, подключенным к Серверу администрирования дочернего экземпляра.

    • Глобальный. Правила корреляции создаются в родительском экземпляре. Правила и их исключения применяются к устройствам дочернего экземпляра, которые вы указали при настройке параметров правил.
  • Исключения правил корреляции

    Временные исключения, добавленные в правила корреляции в родительском экземпляре, не наследуются. В дочернем экземпляре вы можете добавить временное исключение к унаследованным правилам корреляции. Фильтры наследуются с правилами корреляции.

• Алерты и инциденты

  Алерты и инциденты дочернего экземпляра реплицируются в родительский экземпляр и отображаются как в дочернем, так и в родительском экземплярах. Алерты и инциденты родительского экземпляра отображаются только в родительском экземпляре. В родительском экземпляре вы не можете изменять, привязывать и объединять алерты или инциденты дочернего экземпляра.

  При удалении алертов или инцидентов в дочернем экземпляре они также удаляются из родительского экземпляра.

  Параметры алертов и инцидентов, а также срок хранения не наследуются. Если срок хранения истекает и алерт или инцидент удаляются в дочернем экземпляре, соответствующее событие отправляется в родительский инцидент, а затем алерт или инцидент также удаляется в родительском экземпляре.

• Типы инцидентов, рабочие процессы и SLA

  Чтобы избежать несогласованности данных, типы инцидентов, рабочие процессы и SLA копируются в дочерний экземпляр как единый пакет.

  • SLA.

    На дочернем экземпляре создать SLA невозможно. При попытке просмотреть дочерний SLA родительского экземпляра вы будете перенаправлены на дочерний экземпляр.

  • Рабочий процесс

    В дочернем экземпляре вы можете создавать рабочие процессы, а также просматривать и применять рабочие процессы, унаследованные от родительского экземпляра. При попытке просмотреть рабочий процесс дочернего экземпляра из родительского экземпляра вы будете перенаправлены на дочерний экземпляр. В родительском экземпляре вы можете удалять рабочие процессы родительского экземпляра: если рабочий процесс не имеет связанных объектов в родительском экземпляре, рабочий процесс больше не отображается и через 90 дней полностью удаляется. Вы не можете удалить рабочий процесс, если у него есть связанные объекты.

  • Типы инцидентов

    Типы инцидентов наследуются от родительского экземпляра, в котором у них статус выключен. Если тип инцидента по умолчанию наследуется, то в дочернем экземпляре этот тип инцидента не используется по умолчанию.

    В дочернем экземпляре вы можете создавать новые типы инцидентов, а также просматривать и применить унаследованные типы инцидентов. Вы не можете изменять унаследованные типы инцидентов. Также вы можете использовать атрибут по умолчанию как для унаследованных типов инцидентов, так и для тех, которые созданы локально в дочернем экземпляре.

• Правила агрегации

  Правила агрегации, созданные вручную, наследуются от родительского экземпляра. Предустановленные правила агрегации не наследуются.

  В родительском экземпляре вы можете просмотреть все правила агрегации дочернего экземпляра. Возможность изменять правила определяется вашей XDR-ролью.

  В дочернем экземпляре унаследованные правила агрегации отображаются в верхней части таблицы правил в том порядке, в котором они отображались в родительском экземпляре. По умолчанию правила при наследовании выключены. Вы можете просматривать, включать и выключать унаследованные правила агрегации.

  Включенные правила агрегации будут применяться в соответствии с их приоритетом: чем выше правило в таблице, тем выше его приоритет.

• Правила сегментации

  Правила сегментации, созданные вручную, наследуются от родительского экземпляра. Предустановленные правила сегментации не наследуются.

  В родительском экземпляре вы можете просмотреть все правила сегментации дочернего экземпляра. Возможность изменять правила определяется вашей XDR-ролью.

  В дочернем экземпляре унаследованные правила сегментации отображаются в верхней части таблицы правил в том порядке, в котором они отображались в родительском экземпляре. По умолчанию правила при наследовании выключены. Вы можете просматривать, включать и выключать унаследованные правила сегментации.

  Включенные правила сегментации будут применяться в соответствии с их приоритетом: чем выше правило в таблице, тем выше его приоритет.

• Правила запрета

  Правила запрета наследуются от родительского экземпляра.

  В родительском экземпляре вы можете просматривать и изменять правила запрета дочернего экземпляра, а также применять правила дочернего экземпляра к активам дочернего экземпляра. Вы не можете применить правила запрета дочернего экземпляра к активам родительского экземпляра.

  В дочернем экземпляре можно просматривать правила запрета, унаследованные от родительского экземпляра. Эти правила невозможно изменять, также невозможно добавлять или удалять активы дочернего экземпляра в правилах запрета, унаследованных от родительского экземпляра.

• YARA- и IOC-правила

  Списки YARA-правил и IOC-правил наследуются от родительского экземпляра.

  В родительском экземпляре вы можете просматривать и изменять правила дочернего экземпляра, а также применять правила дочернего экземпляра к активам дочернего экземпляра. Вы не можете применять правила дочернего экземпляра к активам родительского экземпляра.

  В дочернем экземпляре вы можете просматривать YARA-правила и IOC-правила, унаследованные от родительского экземпляра, но не можете изменять эти правила. Для выполнения действий по реагированию вы можете использовать как правила дочернего экземпляра, так и правила, унаследованные от родительского экземпляра.

• Правила Sandbox

  Правила Sandbox наследуются от родительского экземпляра.

  В родительском экземпляре вы можете просматривать и изменять правила дочернего экземпляра Sandbox, а также применять правила дочернего экземпляра к активам дочернего экземпляра.

  В дочернем экземпляре вы можете просматривать правила Sandbox, унаследованные от родительского экземпляра, но не можете изменять эти правила.

• Плейбуки

  В родительском экземпляре вы можете создавать плейбуки в дочернем экземпляре и вручную запускать плейбуки для алертов и инцидентов дочернего экземпляра.

• Лицензирование

  Управление лицензиями и настройка параметров лицензирования выполняются экземплярами независимо друг от друга и не наследуются в иерархии экземпляров.

  Лицензионный ключ добавляется для каждого экземпляра отдельно. Вы можете добавить один и тот же лицензионный ключ для всех экземпляров.

• Политики и задачи

  Политики и задачи наследуются от родительского экземпляра.

• Параметры KSN/KPSN, учетные данные и шаблоны уведомлений не наследуются.