KUMA 3.0 - что нового?

Kaspersky Unified Monitoring and Analysis Platform 3.0.3 - что получаем после обновления?

• Теперь поддерживаются и Oracle Linux 9.2, и Astra Linux 1.7.4.

• Можно писать условия фильтров и корреляционных правил в виде кода.

• Теперь можно создавать пользовательские поля, что позволяет реализовать произвольную таксономию. Это сокращают время на написание поисковых запросов.

• Источники событий теперь распознаются автоматически: нормализация событий теперь доступна в следующих вариантах:1 коллектор – 1 нормализатор, 1 коллектор – несколько нормализаторов с привязкой к IP.

• Публикация правил корреляции на корреляторах теперь доступна из меню правил корреляции. Теперь можно выбрать одно или несколько правил и привязать их к одному или нескольким корреляторам. Список корреляторов теперь в виде дерева ресурсов-корреляторов. Работая с правилами корреляции Общего тенанта, аналитик может опубликовать правила на корреляторах сразу всех доступных ему тенантов.

• В коррелятор добавлена новая возможность – контекстные таблицы, где список ключевых полей определяется пользователем; данные в контекстных таблицах типизированы (целые числа, числа с плавающей точкой, строки, логический тип, timestamp, IP); поддерживаются массивы для всех типов данных, перечисленных выше; поля контекстных таблиц, содержащие массивы, можно использовать в правилах корреляции: возможен подсчет уникальных значений, вычисление длины массива, обращение к определенному элементу массива.

• Снижена нагрузка на коррелятор за счет ввода функции функции "index_of" и "last_index_of". Функции возвращают позицию искомого символа в строке. Использований функции "index_of" и "last_index_of" вместе с функцией "substring" позволяет отказаться от использования регулярных выражений в правилах корреляции для получения подстроки.

• В KUMA можно получать события KEDR с помощью коннектора kata/edr. Отличие от коннектора kafka заключается в том, что коннектор kata/edr позволяет интегрироваться с KATA версии 5.1, настройка происходит быстрее и удобнее. C помощью параметров коллектора и фильтра вы можете уточнить запрос: сколько событий в одном запросе вы хотите получать, какие события и с какой периодичностью вы хотите получать.

• Активы, импортированные из KSC или KICS for Networks, но агенты которых более не подключаются к KSC или KICS, в KUMA отмечаются как архивные и по истечении заданного пользователем периода, могут быть удалены.

• В активах в поле FQDN может быть представлен массив значений.

• Для отправки событий во внешний источник добавлен формат CEF.

• Утилита kuma-ptvm позволяет выполнить подключение к API MaxPatrol VM и получить данные об устройствах и их атрибутах, включая уязвимости, а также позволяет отредактировать данные об активах и импортировать данные с использованием API KUMA.

• Предустановленные пакеты для KATA, KSС, KSMG, KWTS позволяют визуализировать данные, как только подключены соответствующие источники событий.

• Иерархическая структура больше не поддерживается. При обновлении с версии 2.1.3 до 3.0.x все хосты с KUMA становятся независимыми.

• Теперь можно отправлять тестовые события

• При обновлении с 2.1.3 до 3.0.3 старые журналы Ядра будут сохранены и появятся новые журналы Ядра.

• В KUMA 3.0.3 изменены роли и их функционал

• Добавлены нормализаторы для источников событий

Коротко мы описали основные изменения, которые были сделаны в новой версии Kaspersky Unified Monitoring and Analysis Platform.

Подробнее ознакомиться с ними и о порядке перехода на новую версию можно запросив демонстрацию решения.