Kaspersky KUMA؛ مرکز کنترل رویدادهای امنیتی

Kaspersky KUMA با جمع‌آوری، یکپارچه‌سازی و تحلیل وقایع، دید جامعی برای شناسایی و مدیریت تهدیدهای امنیتی فراهم می‌کند.

هر سازمانی که زیرساخت فناوری اطلاعات گسترده‌ای دارد، روزانه با حجم بزرگی از داده‌های امنیتی مواجه است؛ از رویدادهای سیستم‌عامل و تجهیزات شبکه تا Endpointها، سامانه‌های هویتی، برنامه‌های کاربردی و محصولات امنیتی. مسئله فقط جمع‌آوری این داده‌ها نیست. ارزش واقعی زمانی ایجاد می‌شود که رویدادهای پراکنده کنار هم قرار بگیرند، الگوهای مشکوک شناسایی شوند و تیم امنیتی بتواند بر اساس شواهد کافی درباره یک Incident تصمیم بگیرد. SIEM همین لایه را ایجاد می‌کند و KUMA برای دریافت، پردازش، ذخیره‌سازی، تحلیل و همبسته‌سازی اطلاعات امنیتی طراحی شده است.

SIEM چیست و چرا برای امنیت سازمان اهمیت دارد؟

SIEM کسپرسکی یا Security Information and Event Management، داده‌های امنیتی منابع مختلف را در یک چارچوب متمرکز جمع‌آوری و تحلیل می‌کند. یک ورود ناموفق به‌تنهایی لزوماً تهدید نیست؛ اما وقتی در کنار تلاش‌های متعدد برای ورود، تغییرات غیرمعمول حساب و فعالیت مشکوک روی یک Endpoint دیده شود، می‌تواند بخشی از یک الگوی حمله باشد. SIEM با ارتباط‌دادن این رویدادها، تمرکز تحلیل‌گر را از هزاران Event منفرد به الگوهای معنادار منتقل می‌کند.

Kaspersky KUMA چیست؟

Kaspersky Unified Monitoring and Analysis Platform یا KUMA یک راهکار SIEM برای زیرساخت فناوری اطلاعات سازمان‌هاست. KUMA رویدادهای امنیتی را دریافت، پردازش و ذخیره می‌کند، امکان جست‌وجو و تحلیل داده‌ها را فراهم می‌سازد و با Correlation می‌تواند نشانه‌های تهدید را شناسایی و برای آن‌ها Alert ایجاد کند. این پلتفرم بر پایه معماری Microservice ساخته شده و می‌تواند هم به‌عنوان Log Management و هم به‌عنوان یک SIEM کامل مورد استفاده قرار گیرد.

Kaspersky KUMA چگونه کار می‌کند؟

فرآیند کار KUMA از دریافت رویداد آغاز می‌شود. Collector داده‌ها را از منابع مختلف دریافت و در صورت نیاز Parse و Normalize می‌کند. سپس رویدادها می‌توانند Filtering، Aggregation و Enrichment شوند و برای تحلیل به Correlator برسند.

Correlator رویدادهای نرمال‌شده را به‌صورت Real-Time بر اساس Correlation Rule بررسی می‌کند. قوانین می‌توانند یک Event یا یک توالی مشخص از Eventها را ارزیابی کنند. اگر الگوی تعیین‌شده شناسایی شود، KUMA یک Correlation Event ایجاد می‌کند و می‌تواند Alert تولید کند، Notification ارسال کند، Active List را به‌روزرسانی کند یا اقدامی در فرآیند Response انجام دهد.

داده‌های موردنیاز نیز در Storage نگهداری می‌شوند تا جست‌وجو و استخراج اطلاعات تحلیلی با سرعت مناسب انجام شود. Storage در KUMA بر فناوری ClickHouse متکی است و برای سناریوهای با حجم بالای داده طراحی شده است.

اجزای اصلی Kaspersky KUMA

Core بخش مرکزی مدیریت و کنترل پلتفرم است و از طریق Console امکان پیکربندی و مشاهده وضعیت سامانه را فراهم می‌کند. Collector برای دریافت و پردازش اولیه رویدادها، Correlator برای تحلیل و همبسته‌سازی و Storage برای نگهداری و دسترسی تحلیلی به داده‌ها به کار می‌روند.

در کنار این اجزا، Agentها و Connectorها برای دریافت داده از منابع مختلف استفاده می‌شوند. Kaspersky انواع Agent برای روش‌های متنوعی مانند WMI، Windows Event Collector، TCP، UDP، HTTP، Kafka، SNMP و File را مستند کرده است.

قابلیت‌های کلیدی Kaspersky KUMA

KUMA چرخه اصلی مدیریت رویدادهای امنیتی را پوشش می‌دهد: Event Collection، Normalization، Enrichment، Correlation، Alerting، Storage، Search، Reporting و Response. همین پوشش باعث می‌شود پلتفرم صرفاً یک مخزن Log نباشد و بتواند در فرآیند عملیاتی SOC نیز نقش داشته باشد.

Integration نیز بخش مهم معماری KUMA است. مستندات رسمی Kaspersky از یکپارچه‌سازی با Kaspersky Security Center، LDAP، Kaspersky Threat Lookup، Kaspersky CyberTrace و راهکارهای EDR خبر می‌دهند. این ارتباط‌ها Context بیشتری برای تحلیل فراهم می‌کنند.

Kaspersky KUMA از چه تهدیداتی محافظت می‌کند؟

KUMA را نباید با Endpoint Protection یا تجهیزات امنیت شبکه اشتباه گرفت. نقش اصلی آن، پایش و تحلیل رویدادها و کمک به Detection و Response است. KUMA می‌تواند با ارتباط‌دادن داده‌های چندمنبعی به شناسایی الگوهایی مانند تلاش‌های غیرعادی برای ورود، فعالیت مشکوک حساب‌های کاربری، تغییرات غیرمنتظره و توالی رویدادهای مرتبط با یک حمله کمک کند.

مزیت اصلی در چنین سناریوهایی Correlation است؛ رویدادی که به‌تنهایی کم‌اهمیت به نظر می‌رسد، ممکن است در کنار چند Event دیگر به یک Indicator مهم تبدیل شود.

مزایای استفاده از Kaspersky KUMA

یکی از مهم‌ترین مزایای KUMA کاهش فاصله میان تولید رویداد و تبدیل آن به اطلاعات قابل تصمیم‌گیری است. تحلیل‌گران می‌توانند داده‌ها را در یک محیط متمرکز مشاهده، فیلتر، جست‌وجو و بررسی کنند و به‌جای رفت‌وآمد میان منابع متعدد، تصویر منسجم‌تری از یک رخداد داشته باشند.

مزیت دیگر، انعطاف در استقرار است. Kaspersky برای KUMA معماری‌های All-in-One، Distributed و High Availability را مستند کرده است. در معماری توزیع‌شده نیز سرویس‌های Collector، Correlator و Storage می‌توانند بر اساس نیاز سازمان در سرورهای جداگانه مستقر شوند.

Kaspersky KUMA برای چه سازمان‌ها و صنایعی مناسب است؟

KUMA برای سازمان‌هایی مناسب است که منابع متعدد تولیدکننده رویداد دارند و به دید متمرکز، تحلیل چندمنبعی و فرآیند منظم Detection نیازمندند. بانک‌ها، شرکت‌های دارویی، صنایع تولیدی، سازمان‌های دولتی، اپراتورها، مراکز داده و شرکت‌های فناوری می‌توانند از چنین معماری‌ای استفاده کنند.

با این حال، انتخاب SIEM باید بر اساس تعداد Event Sourceها، نرخ تولید Event، مدت نگهداری داده، معماری شبکه، تعداد تحلیل‌گران SOC و الزامات Compliance انجام شود. بنابراین انتخاب KUMA نیز باید پس از برآورد ظرفیت و طراحی معماری صورت گیرد، نه صرفاً بر اساس نام محصول.

Kaspersky KUMA و SOC

SIEM یکی از اجزای کلیدی SOC یا Security Operations Center است. SOC برای تشخیص و بررسی تهدیدات به داده‌ای نیاز دارد که کامل، استاندارد و قابل تحلیل باشد. KUMA این داده را از منابع مختلف دریافت و در اختیار تحلیل‌گران قرار می‌دهد.

در این ساختار، KUMA نقش جمع‌آوری، Normalization، Correlation و مدیریت داده‌های رویدادی را بر عهده می‌گیرد و تیم SOC از Alertها، Dashboardها، گزارش‌ها و داده‌های ذخیره‌شده برای بررسی Incident استفاده می‌کند. قابلیت‌های Response نیز در سناریوهای تعریف‌شده می‌توانند به اجرای اقدامات مشخص کمک کنند.

تفاوت Kaspersky KUMA و XDR

SIEM و XDR هم‌پوشانی دارند اما یکسان نیستند. SIEM بیشتر بر جمع‌آوری و مدیریت داده‌های امنیتی از منابع گسترده، جست‌وجو، نگهداری و Correlation تمرکز دارد. XDR معمولاً Detection، Investigation و Response را میان چند لایه امنیتی با Context عمیق‌تر دنبال می‌کند.

Kaspersky نیز XDR را فناوری‌ای معرفی می‌کند که Detection و Response را در چند لایه گسترش می‌دهد و می‌تواند با SIEMها یکپارچه شود. در نتیجه، KUMA و XDR در بسیاری از معماری‌ها می‌توانند مکمل یکدیگر باشند، نه الزاماً جایگزین مستقیم.

Kaspersky KUMA و هوش مصنوعی

هوش مصنوعی در SIEM جایگزین کامل Rule و Correlation نیست. کیفیت داده، Normalization، Context و Use Caseهای درست همچنان پایه Detection هستند. یکی از رویکردهای تحلیلی مهم، UEBA یا User and Entity Behavior Analytics است که با بررسی رفتار معمول کاربران، تجهیزات و موجودیت‌ها به کشف ناهنجاری کمک می‌کند. Kaspersky نیز UEBA را در مطالب رسمی خود به‌عنوان روشی برای کشف تهدید بر اساس رفتار غیرعادی معرفی کرده است.

بنابراین، ارزش تحلیل هوشمند زمانی بیشتر می‌شود که روی داده‌های استاندارد، کامل و قابل اعتماد اجرا شود.

چرا Kaspersky KUMA؟

KUMA را باید یک پلتفرم برای ایجاد دید عملیاتی بر رویدادهای امنیتی دانست. معماری Microservice، استقرار توزیع‌شده، دریافت داده از منابع متنوع، Normalization، Correlation، Storage، Reporting و Integration با سایر سامانه‌های امنیتی، این پلتفرم را برای سازمان‌هایی مناسب می‌کند که به یک لایه متمرکز برای مدیریت رویدادهای امنیتی نیاز دارند.

با این حال، موفقیت پروژه SIEM فقط به انتخاب محصول وابسته نیست. طراحی Use Caseها، ظرفیت‌سنجی، تنظیم Ruleها، کاهش False Positive و تعریف فرآیند Incident Response اهمیت دارد. SIEM بدپیکربندی‌شده می‌تواند حجم Alert را بیشتر کند؛ SIEM درست‌طراحی‌شده، داده را به تصمیم قابل اجرا تبدیل می‌کند.

چرا ایمن آزما افزار؟

پیاده‌سازی SIEM یک خرید ساده نرم‌افزار نیست؛ پروژه‌ای است که باید از شناخت زیرساخت و منابع رویداد آغاز شود و تا طراحی معماری، ظرفیت‌سنجی، راه‌اندازی، تنظیم Use Caseها و تحویل عملیاتی ادامه پیدا کند. در استقرار Kaspersky KUMA نیز باید تعداد Event Sourceها، حجم رویداد، الزامات نگهداری داده و ساختار SOC از ابتدا مشخص باشد.

ایمن آزما افزار می‌تواند این مسیر را از منظر فنی و اجرایی بررسی کند تا انتخاب KUMA بر اساس نیاز واقعی سازمان انجام شود. طراحی صحیح و انطباق راهکار با معماری موجود، کمک می‌کند سرمایه‌گذاری روی SIEM به یک زیرساخت امنیتی قابل استفاده تبدیل شود، نه صرفاً یک سامانه جمع‌آوری Log.

در نهایت، هدف SIEM فقط ایجاد «دید بیشتر» نیست؛ هدف، ایجاد دیدی است که بتوان بر اساس آن سریع‌تر و دقیق‌تر تصمیم گرفت. Kaspersky KUMA با قرار دادن جمع‌آوری، پردازش، Correlation و تحلیل رویدادها در یک چارچوب یکپارچه، می‌تواند این نقش را در معماری امنیتی سازمان ایفا کند.