KUMA осуществляет централизованный сбор и анализ журналов регистрации, корреляцию событий ИБ в реальном времени и своевременное оповещение об инцидентах. Решение поставляется с готовым набором правил корреляции. Высокопроизводительный потоковый движок корреляции обеспечивает производительность более 300 тысяч событий в секунду (EPS) на один узел корреляции. Модульная архитектура решения позволяет еще больше увеличить общую производительность за счет балансировки и распределения нагрузки между компонентами.

Один из важнейших параметров SIEM-системы – это интеграция с потоками данных об угрозах. Kaspersky Unified Monitoring and Analysis поддерживает интеграцию «из коробки» с платформой Kaspersky CyberTrace для агрегации и управления потоками данных об угрозах, а также c платформой Kaspersky Threat Intelligence. Данные Kaspersky Threat Intelligence содержат петабайты достоверных данных об угрозах и постоянно обновляются, что позволяет своевременно блокировать возможные векторы атак и эффективнее расследовать инциденты.

Одна из самых актуальных проблем при расследовании инцидентов – недостаток информации и контекста об информационных активах организации. Автоматизированное обнаружение и инвентаризация хостов в сети позволяет решить эту проблему. KUMA с помощью агента Kaspersky Endpoint Security в автоматизированном режиме получает полную информацию о конечных точках (в том числе сведения о уязвимостях на рабочих станциях), а также любых изменениях, произошедших с ними. Данная информация может использоваться для корреляции событий ИБ с учетом контекста, а также и при расследовании инцидентов.