Система Check Risk WAF готова к интеграции с Kaspersky KUMA сразу после развертывания как в кластерном, так и в all in one виде.

Также присутствует инструкция по созданию виджетов: Настройка дашборда KUMA для событий Check Risk WAF

Примечание: корректно установленный пакет нормализации позволит использовать события WAF в механизмах корреляции, настраивать оповещения, формировать отчёты и проводить расследования инцидентов в единой системе.

Порядок настройки передачи событий:

№ шага Описание Скриншот
1

Импорт правила нормализации.

Перейдите в раздел «Ресурсы и сервисы», затем откройте подраздел «Нормализаторы». Нажмите кнопку «Импортировать ресурсы» в интерфейсе.
Раздел «Нормализаторы»: импорт ресурсов
 

В диалоге импорта выберите целевой тенант (по умолчанию — main). В качестве источника импорта укажите «файл». В поле пароля введите q123123Q!q123123Q!. Выберите файл с именем check-risk-waf для загрузки.
Импорт ресурсов: выбор тенанта, файла и ввод пароля
 

Отметьте все ресурсы, предназначенные для импорта, и подтвердите импорт нажатием кнопки «Импортировать».

После успешного импорта в выбранном тенанте появится раздел Check Risk Waf с загруженным правилом нормализации. Убедитесь, что правило доступно для выбора в списке нормализаторов.
Выбор ресурсов Check Risk WAF для импорта
2

Добавление нового коллектора

Перейдите в раздел «Ресурсы и сервисы», затем откройте «Сервисы».

Нажмите «Добавить сервис» и в списке шаблонов выберите [OOTB] CEF как основу, затем нажмите «Создать».
Добавление сервиса на основе шаблона [OOTB] CEF
 

Откройте созданный сервис-коллектор для редактирования. Измените название на удобное для вас, например [CHECK-RISK] JSON WAF.
Параметры коллектора [CHECK-RISK] JSON WAF
 

Во вкладке «Транспорт» укажите транспортный протокол UDP и назначьте свободный порт для приёма сообщений. Убедитесь, что порт не занят другими сервисами.
Настройка транспорта UDP и порта приёма сообщений
 

Во вкладке «Парсинг событий» в поле выбора нормализатора укажите ранее импортированный нормализатор Check Risk Waf.
Выбор нормализатора Check Risk Waf для парсинга событий
 

Во вкладке «Маршрутизация» проверьте, что у коллектора указан корректный путь к хранилищу и коррелятору. При необходимости добавьте дополнительные точки назначения.
Маршрутизация событий к хранилищу и коррелятору
 

При необходимости на вкладке «Проверка параметров» сохраните команду установки коллектора, которая будет показана для запуска на целевом сервере. Сохраните настройки коллектора нажатием «Сохранить коллектор».
Проверка параметров и команда установки коллектора
3

Подключитесь к серверу, на который будет устанавливаться коллектор, по SSH от имени root и выполните ранее сохранённую команду установки. Пример команды (в вашем окружении FQDN, идентификатор и порт будут отличаться; используйте значения, сгенерированные интерфейсом KUMA):

/opt/kaspersky/kuma/kuma collector --core https://kuma.check.risk:7210 --id 72faff01-5b10-4aed-bc9d-bf510f5c4b1c --api.port 7237 –install

После выполнения команды при необходимости выполните перезагрузку коллектора через интерфейс KUMA, выбрав нужный коллектор и нажав «Перезагрузить».

Контроль успешной установки: в интерфейсе «Активные сервисы» коллектор должен приобрести зелёный статус «работает».
Коллектор в списке активных сервисов
 

Проведите тестовую отправку логов из Check Risk WAF на указанный UDP-порт и убедитесь, что события корректно проходят через нормализатор и поступают в назначенные точки хранения/корреляции. Для верификации используйте просмотр входящих событий в KUMA и/или логи коллектора.
Информация о нормализованном событии audit
 

Пример корректно нормализованного события доступа к ресурсу
Пример нормализованного события доступа к ресурсу

Примечание: если в процессе импорта или установки возникают ошибки, рекомендуется проверить версию пакета и совместимость с текущей версией SIEM, а также обратиться в техническую поддержку.