Создание агента

Агент KUMA состоит из двух частей: одна часть создается внутри веб-интерфейса KUMA, а вторая устанавливается на сервере или устройстве сетевой инфраструктуры.

Создание агента производится в несколько этапов:

1. Создание набора ресурсов агента в веб-интерфейсе KUMA
2. Создание сервиса агента в веб-интерфейсе KUMA
3. Установка серверной части агента на устройстве, с которого требуется передавать события

Агенты KUMA для устройств Windows можно создать следующим образом:

• Создать вручную путем создания набора ресурсов агента и создания сервиса агента в веб-интерфейсе KUMA.
• Создать автоматически при создании коллектора с типом транспорта wmi, wec или etw. Набор ресурсов и сервис таких агентов создаются в мастере установки коллектора, однако их все равно требуется установить на устройстве, с которого требуется передать события. В созданном вручную агенте коннектор с типом etw следует использовать только в одном подключении. Если вы настроите несколько подключений в созданном вручную агенте etw, статус агента etw будет зеленым, но события не будут передаваться и в журнале агента etw будет ошибка.

На одном устройстве может быть установлено несколько агентов, при этом все агенты должны быть одной версии.

Если на устройстве, где вы планируете создать агент, уже есть установленный агент более старой версии, требуется сначала остановить установленный агент (удалить агент с устройства Windows или перезапустить сервис агента для Linux), а затем можно создавать новый агент. При этом если установлены агенты той же версии, что и планируется создать, остановка агентов не требуется.

При создании и запуске агента версии 3.0.1 и более поздних версий требуется принять условия Лицензионного соглашения.

Создание набора ресурсов для агента

Сервис агента в веб-интерфейсе KUMA создается на основе набора ресурсов для агента, в котором объединяются коннекторы и точки назначения. Типом агента считается тип использованного в нем коннектора. Исключением являются агенты с точкой назначения типа diode: такие агенты считаются diode-агентами.

Чтобы создать набор ресурсов для агента в веб-интерфейсе KUMA:

1. В веб-интерфейсе KUMA в разделе Ресурсы → Агенты нажмите Добавить агент.

   Откроется окно создания агента. В левой части окна отображаются вкладки с общими параметрами агента и подключениями. Вкладка Общие параметры будет активна.

2. На вкладке Общие параметры выполните следующие действия:
   • В поле Название агента введите уникальное имя создаваемого сервиса. Название должно содержать от 1 до 128 символов в кодировке Unicode.
   • В раскрывающемся списке Тенант выберите тенант, которому будет принадлежать хранилище.
   • Если требуется включить логирование операций сервиса, переведите переключатель Отладка в активное положение.
   • Если требуется просматривать имена сервисов или адреса хостов, откуда приходит событие, переведите переключатель Отслеживать маршрут события в активное положение.

     Переключатель Отслеживать маршрут события доступен, если в подключениях указана хотя бы одна точка назначения с типом internal. По умолчанию переключатель находится в положении Выключено.

     При использовании типа коннектора tcp, udp, http, wec, wmi, etw на этапе нормализации в поле событий DeviceAddress, если оно пустое, записываются IP-адреса устройств, от которых были получены события.

   • В поле Описание при необходимости добавьте описание сервиса: до 256 символов в кодировке Unicode.
3. Перейдите на вкладку существующего подключения или создайте подключение с помощью кнопки Добавить в нижней части панели слева и переключитесь на вкладку созданного подключения, чтобы изменить его параметры.

   По умолчанию для нового агента создается подключение Подключение №1. Новому подключению присваивается название по шаблону Подключение <номер>.

   Вы можете создать несколько подключений для агента. При необходимости вы можете управлять подключениями:

   • переименовывать подключения;
   • дублировать подключения;
   • удалять подключения.
4. При необходимости в поле Название подключения переименуйте подключение для более удобной работы с ними, например, чтобы определить, от какого подключения и с какого агента пришли события. Если вы оставите поле пустым, будет использовано название по шаблону Подключение <номер>.

   Длина названия может быть от 1 до 128 символов. Название может содержать только буквы и цифры и не может содержать специальные символы. Пробелы в начале и конце строки названия будут удалены. При вставке названия в поле из буфера обмена, если текст содержит перенос строки, абзац или отступ, эти символы будут заменены на пробел. Вы можете использовать одинаковое название для нескольких подключений внутри одного агента.

   Если вы включили отслеживание маршрута события, то при просмотре информации о событии в разделе События будет отображаться название подключения, от которого пришло это событие.

5. В блоке параметров Коннектор добавьте коннектор:
   • Если хотите выбрать существующий коннектор, выберите его в раскрывающемся списке.
   • Если хотите создать новый коннектор, выберите в раскрывающемся списке Создать и укажите следующие параметры:
     • В поле Название укажите имя коннектора. Название должно содержать от 1 до 128 символов в кодировке Unicode.
     • В раскрывающемся списке Тип выберите тип коннектора и укажите его параметры на вкладках Основные параметры и Дополнительные параметры. Набор доступных параметров зависит от выбранного типа коннектора:
       • tcp
       • udp
       • nats-jetstream
       • kafka
       • http
       • file
       • ftp
       • nfs
       • wmi
       • wec
       • snmp
       • etw

       При использовании типа коннектора tcp или udp на этапе нормализации в поле событий DeviceAddress, если оно пустое, будут записаны IP-адреса устройств, с которых были получены события.

       Возможности по изменению уже созданных wec-. wmi- или etw-подключений в агентах, коллекторах и коннекторах ограничены. Тип подключения можно изменить с wec на wmi или etw обратно, однако типы wec, wmi и etw не получится сменить на какой-либо другой тип подключения. При этом при изменении других типов подключений невозможно выбрать типы wec, wmi и etw. Новые подключения можно создавать без ограничения по типам коннекторов.

       При добавлении коннектора типа wmi, wec или etw (существующего или нового) для агента параметры Режим TLS и Сжатие не будут отображаться на агенте, но их значения будут храниться в его конфигурации. Для нового коннектора эти параметры по умолчанию выключены.
       Если для существующего коннектора, выбранного из списка, режим TLS включен, вы не сможете скачать файл конфигурации агента. В этом случае, чтобы скачать файл конфигурации, необходимо перейти в ресурс коннектора, который используется на агенте, и отключить режим TLS.

   Коннектор добавлен в выбранное подключение набора ресурсов агента. Созданный коннектор доступен только в этом наборе ресурсов и не отображается в разделе веб-интерфейса Ресурсы → Коннекторы.

6. В блоке параметров Точки назначения добавьте точку назначения.
   • Если хотите выбрать существующую точку назначения, выберите ее в раскрывающемся списке.
   • Если хотите создать новую точку назначения, выберите в раскрывающемся списке Создать и укажите следующие параметры:
     • В поле Название укажите имя точки назначения. Название должно содержать от 1 до 128 символов в кодировке Unicode.
     • В раскрывающемся списке Тип выберите тип точки назначения и укажите ее параметры на вкладках Основные параметры и Дополнительные параметры. Набор доступных параметров зависит от выбранного типа точки назначения:
       • nats-jetstream – используется для коммуникации через NATS.
       • tcp – используется для связи по протоколу TCP.
       • http – используется для связи по протоколу HTTP.
       • diode – используется для передачи событий с помощью диода данных.
       • kafka – используется для коммуникаций с помощью kafka.
       • file – используется для записи в файл.
     • Включите или выключите переключатель Состояние, чтобы включить или выключить отправку событий в точку назначения. По умолчанию этот переключатель включен.

     Дополнительные параметры точки назначения агента (например, сжатие и режим TLS) должны совпадать с дополнительными параметрами точки назначения коллектора, с которым вы хотите связать агент.

   Точек назначения может быть несколько. Их можно добавить с помощью кнопки Добавить точку назначения и удалить с помощью кнопки .

7. Повторите шаги 3–5 для каждого подключения агента, которое вы хотите создать.
8. Нажмите Сохранить.

Набор ресурсов для агента создан и отображается в разделе Ресурсы → Агенты. Теперь можно создать сервис агента в KUMA.

Управление подключениями для агента

Вы можете управлять созданными для агента подключениями: переименовывать, дублировать или удалять их.

Переименование подключения

По умолчанию новому подключению, созданному в наборе ресурсов для агента, присваивается название по шаблону Подключение <номер>. Для более удобной работы с подключениями вы можете переименовывать их, например, чтобы определить, от какого подключения и какого агента пришли события.

Чтобы переименовать подключение:

1. В веб-интерфейсе KUMA в разделе Ресурсы → Агенты создайте новый агент или нажмите на существующий агент в таблице.
2. При необходимости создайте подключение для агента с помощью кнопки Добавить в нижней части панели слева.
3. Перейдите на вкладку подключения, которое вы хотите переименовать.
4. В поле Название подключения измените название подключения.

   Длина названия может быть от 1 до 128 символов. Название может содержать только буквы и цифры и не может содержать специальные символы. Пробелы в начале и конце строки названия будут удалены. При вставке названия в поле из буфера обмена, если текст содержит перенос строки, абзац или отступ, эти символы будут заменены на пробел. Вы можете использовать одинаковое название для нескольких подключений внутри одного агента.

5. Нажмите Сохранить.

Подключение переименовано. Если вы включили отслеживание маршрута события, то при просмотре информации о событии в разделе События будет отображаться название подключения, от которого пришло это событие.

Дублирование подключения

Если вы хотите создать подключение для агента на основе существующего подключения, вы можете создать копию подключения с теми же параметрами.

Чтобы дублировать подключение:

1. В веб-интерфейсе KUMA в разделе Ресурсы → Агенты создайте новый агент или нажмите на существующий агент в таблице.
2. При необходимости создайте подключение для агента с помощью кнопки Добавить в нижней части панели слева.
3. Перейдите на вкладку подключения, которое вы хотите дублировать, и нажмите на кнопку Дублировать.

Для агента будет создано подключение с такими же параметрами, как в исходном подключении. Новое подключение будет создано с одним из следующих названий:

• Если название исходного подключения соответствовало шаблону Подключение <номер>, название дублированного подключения также будет соответствовать этому шаблону. Подключению будет присвоен номер <номер>+1 от номера последнего созданного подключения с названием по такому же шаблону.
• Если исходное подключение ранее было переименовано, новое подключение будет создано с таким же названием. Вы можете использовать одинаковое название для нескольких подключений внутри одного агента.

Вы можете изменить название нового подключения в поле Название подключения на вкладке этого подключения.

Удаление подключения

Если для агента создано более одного подключения, вы можете удалить подключение.

Чтобы удалить подключение:

1. В веб-интерфейсе KUMA в разделе Ресурсы → Агенты создайте новый агент или нажмите на существующий агент в таблице.
2. При необходимости создайте подключение для агента с помощью кнопки Добавить в нижней части панели слева.
3. Перейдите на вкладку подключения, которое вы хотите удалить, и нажмите на кнопку Удалить.

Вы не сможете восстановить подключение после удаления, но вы можете восстановить версию агента, в которой ранее было сохранено это подключение, через историю изменений.

Создание сервиса агента в веб-интерфейсе KUMA

Когда набор ресурсов для агента создан, можно перейти к созданию сервиса агента в KUMA.

Чтобы создать сервис агента в веб-интерфейсе KUMA:

1. В веб-интерфейсе KUMA в разделе Ресурсы → Активные сервисы нажмите Добавить сервис.
2. В открывшемся окне Выберите сервис выберите только что созданный набор ресурсов для агента и нажмите Создать сервис.

Сервис агента создан в веб-интерфейсе KUMA и отображается в разделе Ресурсы → Активные сервисы. Теперь сервисы агента необходимо установить на каждом устройстве, с которого вы хотите передавать данные в коллектор. При установке используется идентификатор сервиса.

Установка агента в сетевой инфраструктуре KUMA

Когда сервис агента создан в KUMA, можно перейти к установке агента на устройствах сетевой инфраструктуры, с которых вы хотите передавать данные в коллектор.

На одном устройстве может быть установлено несколько агентов, при этом все агенты должны быть одной версии.

Перед установкой убедитесь в сетевой связности системы и откройте используемые компонентами порты.

Установка агента KUMA на устройствах Linux

Агент KUMA, установленный на устройствах Linux, останавливается при закрытии терминала или при перезапуске сервера. Если вы не хотите запускать агентов KUMA вручную, мы рекомендуем устанавливать их с помощью программы, которая автоматически запускает программы при перезапуске сервера, например с помощью программы Supervisor. Если вы хотите запускать агентов KUMA автоматически, укажите в конфигурационном файле KUMA параметры автоматического запуска и перезапуска. Подробнее о настройке параметров автоматического запуска и перезапуска см. официальную документацию программ для автоматического запуска программ.

Пример настройки параметров в программе Supervisor

Чтобы установить агент KUMA на устройство Linux:

1. На устройстве Linux, на котором вы хотите установить агент KUMA, создайте директории для конфигурационного файла и агентов KUMA, например:
   • /opt/kaspersky/kuma;
   • /opt/kaspersky/agent.
2. Поместите конфигурационный файл KUMA в созданную для него директорию. Конфигурационный файл KUMA расположен внутри установщика в директории /kuma-ansible-installer/roles/kuma/files.

   Убедитесь, что файл kuma имеет достаточные права для запуска.

3. Создайте пользователя KUMA выполнив команду:

   sudo useradd --system kuma && usermod -s /usr/bin/false kuma

4. Предоставьте пользователю KUMA доступ к директории с конфигурационным файлом KUMA, а также ко всем файлам внутри директории, выполнив команду:

   sudo chown -R kuma:kuma <путь к директории с конфигурационным файлом KUMA>

5. Установите агент KUMA, выполнив команду:

   sudo /opt/kaspersky/kuma/kuma agent --core https://<FQDN сервера Ядра KUMA>:<номер порта Ядра KUMA для внутренних коммуникаций (по умолчанию используется порт 7210)> --id <идентификатор сервиса, скопированный из веб-интерфейса KUMA> --wd <путь к директории, где будут размещаться файлы устанавливаемого агента KUMA. Если не указать этот параметр, файлы будут храниться в директории, где расположен файл KUMA> [--accept-eula]

   Вы можете установить два агента KUMA на одном устройстве Linux. В этом случае агенты KUMA будут работать параллельно. При установке второго агента KUMA вам нужно указать для него отдельную директорию с помощью параметра --wd.

   Для запуска агента вам нужно принять Лицензионное соглашение. Вы можете добавить в команду параметр --accept-eula, чтобы автоматически принять Лицензионное соглашение во время установки агента KUMA. В этом случае установка не требует интерактивного взаимодействия. Если вы не укажете этот параметр, вам нужно будет принять или отклонить Лицензионное соглашение самостоятельно во время установки агента KUMA.

   Примеры установки агента KUMA:

   • Установка агента KUMA без автоматического принятия Лицензионного соглашения:

     sudo /opt/kaspersky/kuma/kuma agent --core https://kuma.example.com:7210 --id XXXX --wd /opt/kaspersky/kuma/agent/XXXX

   • Установка агента KUMA с автоматическим принятием Лицензионного соглашения:

     sudo /opt/kaspersky/kuma/kuma agent --core https://kuma.example.com:7210 --id XXXX --wd /opt/kaspersky/kuma/agent/XXXX --accept-eula

   Используя параметр --accept-eula во время установки агента KUMA, вы подтверждаете, что согласны с условиями Лицензионного соглашения и принимаете их.

6. Если вы выбрали установку KUMA с автоматическим принятием Лицензионного соглашения и хотите ознакомиться текстом лицензии или в процессе установки вам не был автоматически предоставлен текст Лицензионного соглашения, выполните команду:

   ./kuma license --show

Агент KUMA будет установлен на устройстве Linux.

Вы можете настроить коллектор для приема данных, которые агент KUMA пересылает в KUMA.

Установка агента KUMA на устройствах Windows

Перед установкой агента KUMA на устройстве Windows администратору сервера необходимо создать на устройстве Windows учетную запись с правами EventLogReaders и Log on as a service. Эту же учетную запись необходимо использовать для запуска агента.
Если вы хотите запустить агент под локальной учетной записью, для запуска потребуются права администратора и Log on as a service. Если вы хотите выполнить удаленный сбор и только чтение журналов под доменной учетной записью, будет достаточно прав EventLogReaders.

Чтобы установить агент KUMA на устройство Windows:

1. Скопируйте файл kuma.exe в папку на устройстве Windows. Для установки рекомендуется использовать папку C:\Users\<имя пользователя>\Desktop\KUMA.

   Файл kuma.exe находится внутри установщика в директории /kuma-ansible-installer/roles/kuma/files/.

2. Запустите командную строку на устройстве Windows с правами администратора и найдите папку с файлом kuma.exe.
3. Выполните следующую команду:

   kuma agent --core https://<полное доменное имя сервера ядра KUMA>:<порт, используемый сервером ядра KUMA для внутренних коммуникаций (по умолчанию используется порт 7210)> --id <идентификатор сервиса агента, созданного в KUMA> --user <имя пользователя, под которым будет работать агент, включая домен> --install [--accept-eula]

   Для запуска агента вам нужно принять Лицензионное соглашение. Вы можете добавить в команду параметр --accept-eula, чтобы автоматически принять Лицензионное соглашение во время установки агента. В этом случае установка не требует интерактивного взаимодействия. Если вы не укажете этот параметр, вам нужно будет принять или отклонить Лицензионное соглашение самостоятельно во время установки агента KUMA.

   Примеры:

   • Установка агента KUMA без автоматического принятия Лицензионного соглашения:

     kuma agent --core https://kuma.example.com:7210 --id XXXXX --user domain\username --install

   • Установка агента KUMA с автоматическим принятием Лицензионного соглашения:

     kuma agent --core https://kuma.example.com:7210 --id XXXXX --user domain\username --install --accept-eula

   Используя параметр --accept-eula во время установки агента KUMA, вы подтверждаете, что согласны с условиями Лицензионного соглашения и принимаете их.

   Справочная информация об установщике доступна по команде kuma help agent.

4. Если вы запустили установку агента без автоматического принятия Лицензионного соглашения, в процессе установки вам будет предложено ознакомиться с текстом лицензии и у вас будет возможность принять соглашение или отказаться.
5. Если вы выбрали установку с автоматическим принятием Лицензионного соглашения и хотите ознакомиться текстом лицензии или в процессе установки вам не был автоматически предоставлен текст Лицензионного соглашения, выполните следующую команду:

   kuma.exe license --show

   Если вы хотите принять Лицензионное соглашение, выполните следующую команду и нажмите y:

   kuma.exe license

6. Укажите пароль для пользователя, под которым будет работать агент одним из следующих способов:
   • Вручную.
   • Из файла при установке агента.

     Чтобы не вводить пароль вручную, добавьте пароль в файл в формате .TXT и разместите файл в той же директории, что и бинарный файл агента.

     Укажите в команде содержащий пароль файл следующим образом: <имя файла с паролем>.txt. Например, password.txt.

     kuma agent --core https://kuma.example.com:7210 --id XXXXX --user domain\username --install < password.txt

     Все данные из файла password.txt будут перенаправлены в команду в качестве пароля, за исключением символов конца строки (\n\r , \n).

     Путь хранения папки с агентом после установки: C:\ProgramData\Kaspersky Lab\KUMA\agent\${agent_id}.

   Если лицензионное соглашение (EULA) не было принято перед установкой агента с флагом < password.txt, появится ошибка с сообщением, о том что соглашение не принято.

   Варианты принятия EULA:

   1. В файле с паролем можно указать признак принятия EULA. Для этого в файле с паролем должны быть две строки: первая с признаком принятия EULA "y", вторая - с паролем. Например:

      y

      <password>

      Команда установки агента будет выглядеть следующим образом:

      kuma agent --core https://kuma.example.com:7210 --id XXXXX --user domain\username --install < password.txt

      В этом случае при установке агента дополнительно принимать EULA не потребуется.

      Если ранее, до запуска команды с файлом-паролем, была принята EULA, первая строка в файле будет воспринята как пароль и установка завершится ошибкой Access denied.

   2. Можно принять EULA и выполнить тихую установку одновременно, применив флаг --accept-eula.

      Команда установки агента будет выглядеть следующим образом:

      kuma agent --core https://kuma.example.com:7210 --id XXXXX --user domain\username --accept-eula --install < password.txt

      При этом важно, чтобы в файле был указан только пароль первой строкой, иначе возникнет ошибка.

Создана папка C:\ProgramData\Kaspersky Lab\KUMA\agent\<идентификатор агента>, в нее установлен сервис агента KUMA. Агент пересылает события Windows в KUMA: можно настроить коллектор для их приема.

Когда сервис агента установлен, он запускается автоматически. Сервис также настроен на перезапуск в случае сбоев. Агент можно перезапустить из веб-интерфейса KUMA, но только когда сервис активен. В противном случае сервис требуется перезапустить вручную на машине Windows.

Удаление агента KUMA с устройств Windows

При настройке сервисов можно проверить конфигурацию на наличие ошибок до установки, запустив агент с помощью команды:

kuma agent --core https://<полное доменное имя сервера ядра KUMA>:<порт, используемый сервером ядра KUMA для внутренних коммуникаций (по умолчанию используется порт 7210)> --id <идентификатор сервиса агента, созданного в KUMA> --user <имя пользователя, под которым будет работать агент, включая домен>

Автоматически созданные агенты

При создании коллектора с коннекторами типа wec, wmi или etw автоматически создаются агенты для приема событий Windows.

Автоматически созданные агенты имеют ряд особенностей:

• Автоматически созданные агенты могут иметь только одно подключение.
• Автоматически созданные агенты отображаются в разделе Ресурсы → Агенты, в конце их названия указаны слова auto created. Агенты можно просмотреть или удалить.
• Параметры автоматически созданных агентов указываются автоматически на основе параметров коллектора из разделов Подключение источников и Транспорт. Изменить параметры можно только в коллекторе, для которого был создан агент.
• В качестве описания автоматически созданного агента используется описание коллектора в разделе Подключение источников.
• Отладка автоматически созданного агента включается и выключается в разделе коллектора Подключение источников.
• При удалении коллектора с автоматически созданным агентом вам будет предложено удалить коллектор вместе с агентом или удалить только коллектор. При удалении только коллектора агент станет доступен для редактирования.
• При удалении автоматически созданных агентов тип коллектора меняется на http, а из поля URL коллектора удаляется адрес подключения.
• Если хотя бы одно название журнала Windows указано в коннекторе типа wec или wmi с ошибкой, агент не будет получать события из всех перечисленных в коннекторе журналов Windows. При этом статус агента будет зеленый. Попытки получить события будут повторяться каждые 60 секунд, сообщения об ошибке будут добавляться в журнал сервиса.
• Если в коннекторе типа etw имя сессии указано некорректно, указан не тот провайдер в сессии или указан неверный способ, в каком режиме отправлять события (для корректной отправки событий на стороне Windows Server должен быть указан режим Real time или File and Real time), от агента не будут поступать события, в журнале агента на Windows будет зарегистрирована ошибка, а статус агента будет зеленым. При этом попытки получить события каждые 60 сек не будет. Если вы изменяете параметры сессии на стороне Windows, следует перезапустить агент etw и/или сессию, чтобы изменения были применены.

В интерфейсе KUMA автоматически созданные агенты появляются одновременно с созданием коллектора, однако их все равно требуется установить на устройстве, с которого требуется передать сообщение.

Обновление агентов

При обновлении версий KUMA требуется обновить и установленные на удаленных машинах агенты WMI, WEC и ETW.

Чтобы обновить агент, используйте учетную запись с правами администратора и выполните следующие шаги:

1. В веб-интерфейсе KUMA в разделе Ресурсы → Активные сервисы - Агенты выберите агент, который вы хотите обновить, и скопируйте его идентификатор.

   Идентификатор понадобится для последующего удаления агента и установки нового агента с тем же идентификатором.

2. В ОС Windows в разделе Службы откройте агент и нажмите Стоп.
3. В командном интерпретаторе перейдите в папку, где был установлен агент и выполните команду по удалению агента с сервера.

   kuma.exe agent --id <идентификатор сервиса агента, созданного в KUMA> --uninstall

4. Поместите в ту же папку новый агент.
5. В командном интерпретаторе перейдите в папку с новым агентом и из этой папки выполните команду установки, используя идентификатор агента из пункта 1.

   kuma agent --core https://<полное доменное имя сервера ядра KUMA>:<порт, используемый сервером ядра KUMA для внутренних коммуникаций (по умолчанию используется порт 7210)> --id <идентификатор сервиса агента, созданного в KUMA> --user <имя пользователя, под которым будет работать агент, включая домен> --install

6. При первой установке обновленного агента на устройстве требуется подтверждение лицензии. В процессе установки вам будет предложено ознакомиться с текстом лицензии и у вас будет возможность принять соглашение или отказаться. Если этого не произошло автоматически, вы можете воспользоваться следующей командой, чтобы ознакомиться с текстом лицензии:

   kuma.exe license --show

   Если вы хотите принять лицензионное соглашение, выполните команду и нажмите y:

   kuma.exe license

Агент обновлен.

Передача в KUMA событий из изолированных сегментов сети

Схема передачи данных

С помощью диодов данных можно передавать события из изолированных сегментов сети в KUMA. Передача данных организована следующим образом:

1. Установленный на изолированном сервере агент KUMA с точкой назначения diode принимает события и перемещает их в директорию, из которой события заберет диод данных.

   Агент накапливает события в буфере до его переполнения или в течение заданного пользователем срока после последней записи на диск. Затем события записываются в файл во временной директории агента. Файл перемещается в директорию, обрабатываемую диодом данных; в качестве его названия используется хеш-сумма (SHA-256) содержимого файла и время создания файла.

2. Диод данных перемещает файлы из директории изолированного сервера в директорию внешнего сервера.
3. Установленный на внешнем сервере коллектор KUMA с коннектором diode считывает и обрабатывает события из файлов той директории, в которой размещает файлы диод данных.

   После считывания из файла всех событий он автоматически удаляется. Перед считыванием событий происходит верификация содержимого файлов по хеш-сумме в названии файла. Если содержимое не проходит верификацию, файл удаляется.

В указанной выше схеме компоненты KUMA отвечают за перемещение событий в определенную директорию внутри изолированного сегмента и за прием событий из определенной директории во внешнем сегменте сети. Перемещение файлов с событиями из директории изолированного сегмента сети в директорию внешнего сегменте сети осуществляет диод данных.

Для каждого источника данных внутри изолированного сегмента сети необходимо создать свой агент и коллектор KUMA, а также настроить диод данных на работу с отдельными директориями.

Настройка компонентов KUMA

Настройка компонентов KUMA для передачи данных из изолированных сегментов сети состоит из следующих этапов:

1. Создание сервиса коллектора во внешнем сегменте сети.

   На этом этапе необходимо создать и установить коллектор для получения и обработки файлов, которые диод данных будет перемещать из изолированного сегмента сети. Создать коллектор и все требуемые для него ресурсы можно с помощью мастера установки коллектора.

   На шаге Транспорт требуется выбрать или создать коннектор типа diode. В коннекторе необходимо указать директорию, в которую диод данных будет перемещать файлы из изолированного сегмента сети.

   Пользователь kuma, под которым работает коллектор, должен иметь права на чтение, запись и удаление в директории, в которую диод данных перемещает данные из изолированного сегмента сети.

2. Создание набора ресурсов агента KUMA.

   На этом этапе необходимо создать набор ресурсов агента KUMA, который будет в изолированном сегменте сети получать события и подготавливать их для передачи диоду данных. Набор ресурсов diode-агента имеет следующие особенности:

   • Точка назначения в агенте должна иметь тип diode. В этом ресурсе необходимо указать директорию, из которой диод данных будет перемещать файлы во внешний сегмент сети.
   • Для diode-агента невозможно выбрать коннекторы типа sql или netflow.
   • В коннекторе diode-агента должен быть выключен режим TLS.
3. Скачивание конфигурационного файла агента в виде JSON-файла.
   1. Набор ресурсов агента с точкой назначения типа diode необходимо скачать в виде JSON-файла.
   2. Если в наборе ресурсов агента использовались ресурсы секретов, конфигурационный файл необходимо вручную дополнить данными секретов.
4. Установка сервиса агента KUMA в изолированном сегменте сети.

   На этом этапе необходимо установить агент в изолированном сегменте сети на основе конфигурационного файла агента, созданного на предыдущем этапе. Установка возможна на устройствах Linux и Windows.

Настройка диода данных

Диод данных необходимо настроить следующим образом:

• Данные необходимо передавать атомарно из директории изолированного сервера (куда их помещает агент KUMA) в директорию внешнего сервера (где их считывает коллектор KUMA).
• Переданные файлы необходимо удалять с изолированного сервера.

Сведения о настройке диода данных можно получить в документации используемого в вашей организации диода данных.

Особенности работы

При работе с изолированными сегментами сети не поддерживаются работа с SQL и NetFlow.

При использовании указанной выше схемы невозможно администрирование агента через веб-интерфейс KUMA, поскольку он располагается в изолированном сегменте сети. В списке активных сервисов KUMA такие агенты не отображаются.

Конфигурационный файл diode-агента

Созданный набор ресурсов агента с точкой назначения типа diode можно скачать в виде конфигурационного файла. Этот файл используется при установке агента в изолированном сегменте сети.

Чтобы скачать конфигурационный файл,

В веб-интерфейсе KUMA в разделе Ресурсы → Агенты выберите нужный набор ресурсов агента с точкой назначения diode и нажмите Скачать конфигурацию.

Конфигурация параметров агента скачивается в виде JSON-файла в соответствии с параметрами вашего браузера. Секреты, использованные в наборе ресурсов агента, скачиваются пустыми, их идентификаторы указаны в файле в разделе secrets. Для использования файла конфигурации для установки агента в изолированном сегменте сети необходимо вручную дополнить файл конфигурации секретами (например, указать URL и пароли, используемые в коннекторе агента для получения событий).

Необходимо при помощи списка контроля доступа (ACL) настроить права доступа к файлу на сервере, где будет установлен агент. Чтение файла должно быть доступно пользователю, от имени которого будет запускаться diode-агент.

Ниже приводится пример конфигурационного файла diode-агента с коннектором типа kafka.

Описание полей секретов

Поля секрета

Установка Linux-агента в изолированном сегменте сети

Чтобы установить в изолированном сегменте сети агент KUMA на устройство Linux:

1. Поместите на Linux-сервер в изолированном сегменте сети, который будет использоваться для получения агентом событий и с которого диод данных будет перемещать файлы во внешний сегмент сети, следующие файлы:
   • Конфигурационный файл агента.

     Необходимо при помощи списка контроля доступа (ACL) настроить права доступа к конфигурационному файлу так, чтобы доступ на чтение файла был только у пользователя KUMA.

   • Исполняемый файл /opt/kaspersky/kuma/kuma (файл kuma можно найти внутри установщика в директории /kuma-ansible-installer/roles/kuma/files/).
2. Выполните следующую команду:

   sudo ./kuma agent --cfg <путь к конфигурационному файлу агента> --wd <путь к директории, где будут размещаться файлы устанавливаемого агента. Если не указывать этот флаг, файлы будут храниться в директории, где расположен файл kuma>

Сервис агента установлен и запущен на сервере в изолированном сегменте сети. Он получает события и передает их диоду данных для отправки во внешний сегмент сети.

Установка Windows-агента в изолированном сегменте сети

Перед установкой агента KUMA на устройстве Windows администратору сервера необходимо создать на устройстве Windows учетную запись с правами EventLogReaders и Log on as a service. Эту же учетную запись необходимо использовать для запуска агента.

Чтобы установить в изолированном сегменте сети агент KUMA на устройство Windows:

1. Поместите на Window-сервер в изолированном сегменте сети, который будет использоваться для получения агентом событий и с которого диод данных будет перемещать файлы во внешний сегмент сети, следующие файлы:
   • Конфигурационный файл агента.

     Необходимо при помощи списка контроля доступа (ACL) настроить права доступа к конфигурационному файлу так, чтобы доступ на чтение файла был только у пользователя, под которым будет работать агент.

   • Исполняемый файл kuma.exe. Файл можно найти внутри установщика в директории /kuma-ansible-installer/roles/kuma/files/.

   Рекомендуется использовать папку C:\Users\<имя пользователя>\Desktop\KUMA.

2. Запустите командную строку на устройстве Windows с правами администратора и найдите папку с файлом kuma.exe.
3. Выполните следующую команду:

   kuma.exe agent --cfg <путь к конфигурационному файлу агента> --user <имя пользователя, под которым будет работать агент, включая домен> --install

   Справочная информация об установщике доступна по команде:

   kuma.exe help agent

4. Введите пароль для пользователя, под которым будет работать агент.

Создана папка C:\Program Files\Kaspersky Lab\KUMA\agent\<Идентификатор Агента>, в нее установлен сервис агента KUMA. Агент перемещает события в папку для обработки диодом данных.

При установке агента конфигурационный файл агента перемещается в директорию C:\Program Files\Kaspersky Lab\KUMA\agent\<идентификатор агента, указанный в конфигурационном файле>. Файл kuma.exe перемещается в директорию C:\Program Files\Kaspersky Lab\KUMA.

При установке агента его конфигурационный файл не должен находиться в директории, в которую устанавливается агент.

Когда сервис агента установлен, он запускается автоматически. Сервис также настроен на перезапуск в случае сбоев.

Удаление агента KUMA с устройств Windows

При настройке сервисов можно проверить конфигурацию на наличие ошибок до установки, запустив агент с помощью команды:

kuma.exe agent --cfg <путь к конфигурационному файлу агента>

Передача в KUMA событий с машин Windows

Для передачи событий с машин Windows в KUMA используется связка агента и коллектора KUMA. Передача данных организована следующим образом:

1. Установленный на машине агент KUMA получает события Windows:
   • с помощью коннектора WEC: агент получает события, поступающие на хост по подписке (subscription), и журналы сервера.
   • с помощью коннектора WMI: агент подключается к удаленным серверам, указанным в конфигурации, и получает события.
   • с помощью коннектора ETW: агент использует для подключения к DNS-серверу имя сессии и провайдера, указанные в параметрах коннектора, и получает события.
2. Агент без предварительной обработки передает события коллектору KUMA, указанному в точке назначения.

   Можно настроить агент таким образом, чтобы разные журналы отправлялись в разные коллекторы.

3. Коллектор принимает события от агента, выполняет полный цикл обработки события и отправляет обработанные события в точку назначения.

Получение событий с агента WEC рекомендуется при использовании централизованного получения событий c хостов Windows с помощью технологии Windows Event Forwarding (WEF). Агент необходимо установить на сервер, который выполняет сбор событий, он будет выполнять роль Windows Event Collector (WEC). Мы не рекомендуем устанавливать агенты KUMA на каждый конечный хост, с которого планируется получать события.

Процесс настройки получения событий c использованием агента WEC подробно описан в приложении Настройка получения событий с устройств Windows с помощью Агента KUMA (WEC).

Подробнее о технологии Windows Event Forwarding см. в официальной документации Microsoft.

Получение событий с помощью агента WMI рекомендуется использовать в следующих случаях:

• Если отсутствует возможность использовать технологию WEF для реализации централизованного сбора событий, одновременно с этим запрещена установка стороннего ПО на сервере-источнике событий (например, агент KUMA).
• Если необходимо выполнить сбор событий с небольшого количества хостов - не более 500 хостов для одного агента KUMA.

Агент ETW используется только для получения событий из журналов Windows DNS-серверов.

Для подключения журналов Windows в качестве источника событий рекомендуется использовать мастер Подключить источник. При использовании мастера в процессе создания коллектора с коннекторами типами WEC и WMI автоматически создаются агенты для приема событий Windows. Также ресурсы, необходимые для сбора событий Windows, можно создать вручную.

Создание и установка агента и коллектора для получения событий Windows происходит в несколько этапов:

1. Создание набора ресурсов агента.

   Коннектор агента:

   При создании агента на вкладке Подключение необходимо создать или выбрать коннектор типа WEC, WMI или ETW.

   Если хотя бы одно название журнала Windows указано в коннекторе типа WEC или WMI с ошибкой, или недоступен сервер WMI, агент будет получать события из всех перечисленных в коннекторе журналов Windows, кроме проблемного. При этом статус агента будет зеленый. Попытки получить события будут повторяться каждые 60 секунд, сообщения об ошибке будут добавляться в журнал сервиса.

   Точка назначения агента:

   Тип точки назначения агента зависит от используемого вами способа передачи данных: nats-jetstream, tcp, http, diode, kafka, file.

   В качестве разделителя в точке назначения необходимо использовать значение \0.

   Дополнительные параметры точки назначения агента (например, разделитель, сжатие и режим TLS) должны совпадать с дополнительными параметрами коннектора коллектора, с которым вы хотите связать агент.

2. Создание сервиса агента в веб-интерфейсе KUMA.
3. Установка агента KUMA на машине Windows, с которой вы хотите получать события Windows.

   Перед установкой убедитесь, что компоненты системы имеют доступ к сети и откройте необходимые сетевые порты:

   • Порт 7210, протокол TCP: от сервера с коллекторами к Ядру.
   • Порт 7210, протокол TCP: от сервера агента к Ядру.
   • Порт, настроенный при создании коннектора в поле URL: от сервера агента к серверу с коллектором.
4. Создание и установка коллектора KUMA.

   При создании набора ресурсов коллектора на шаге Транспорт необходимо создать или выбрать существующий коннектор, с помощью которого коллектор будет получать события от агента. Тип коннектора должен совпадать с типом точки назначения агента.

   Дополнительные параметры коннектора, такие как разделитель, сжатие и режим TLS, должны совпадать с дополнительными параметрами точки назначения агента, с которой вы хотите связать агент.