Настройка интеграции в R-Vision SOAR

В этом разделе описывается интеграция KUMA с R-Vision SOAR на стороне R-Vision SOAR.

Интеграция в R-Vision SOAR настраивается в разделе Настройки консоли R-Vision SOAR. Подробнее о настройке R-Vision SOAR см. в документации этой программы.

Настройка интеграции с KUMA состоит из следующих этапов:

• Настройка роли пользователя R-Vision SOAR
  1. Присвойте используемому для интеграции пользователю R-Vision SOAR системную роль Менеджер по управлению инцидентами. Роль можно присвоить в веб-интерфейсе R-Vision SOAR в разделе Настройки → Общие → Пользователи системы, выбрав нужного пользователя. Роль добавляется в блоке параметров Системные роли.

     Пользователь R-Vision SOAR версии 4.0 с ролью Менеджер по управлению инцидентами

     

     Пользователь R-Vision SOAR версии 5.0 с ролью Менеджер по управлению инцидентами

     

  2. Убедитесь, что API-токен используемого для интеграции пользователя R-Vision SOAR указан в секрете в консоли KUMA. Токен отображается в веб-интерфейсе R-Vision SOAR в разделе Настройки → Общие → API.

     API-токен в R-Vision SOAR версии 4.0

     

     API-токен в R-Vision SOAR версии 5.0

     

• Настройка полей инцидентов R-Vision SOAR и обнаружений KUMA
  1. Добавьте поля инцидента ALERT_ID и ALERT_URL.
  2. Настройте категорию инцидентов R-Vision SOAR, создаваемых по обнаружениям KUMA. Это можно сделать в веб-интерфейсе R-Vision SOAR в разделе Настройки → Управление инцидентами → Категории инцидентов. Добавьте новую или измените существующую категорию инцидентов, указав в блоке параметров Поля категорий созданные ранее поля инцидентов Alert ID и Alert URL. Поле Alert ID можно сделать скрытым.

     Категории инцидентов с данными из обнаружений KUMA в R-Vision SOAR версии 4.0

     

     Категории инцидентов с данными из обнаружений KUMA в R-Vision SOAR версии 5.0

     

  3. Запретите редактирование ранее созданных полей инцидентов Alert ID и Alert URL. В веб-интерфейсе R-Vision SOAR в разделе Настройки → Управление инцидентами → Представления выберите категорию инцидентов R-Vision SOAR, которые будут создаваться по обнаружениям KUMA, и установите рядом с полями Alert ID и Alert URL значок замка.

     Поле Alert URL недоступно для редактирования в R-Vision SOAR версии 4.0

     

     Поле Alert URL недоступно для редактирования в R-Vision SOAR версии 5.0

     

• Создание коллектора и коннектора в R-Vision SOAR
  1. Создайте коллектор R-Vision SOAR для взаимодействия с KUMA.
  2. Создайте и настройте коннектор R-Vision SOAR для отправки в KUMA API-запросов на закрытие обнаружений.
• Создание правила на закрытие обнаружения в KUMA

  Создайте правило на отправку в KUMA запроса на закрытие обнаружения при закрытии инцидента в R-Vision SOAR.

В R-Vision SOAR теперь настроена интеграция с KUMA. Если интеграция также настроена в KUMA, при появлении обнаружений в KUMA информация о них будет отправляться в R-Vision SOAR для создания инцидента. В разделе Информация об обнаружении в консоли KUMA отображается ссылка в R-Vision SOAR.

В начало