Настройка публикации событий приложения в SIEM-систему

Вы можете настроить публикацию событий в формате CEF во внешнюю SIEM-систему, а также сохранять их локально в файлы журналов на сервере. Если сохранять события локально не требуется, пропустите шаги 3, 5, 6 инструкции этого раздела.

Выполните шаги по настройке публикации событий на каждом узле кластера, события с которого вы хотите публиковать в SIEM-систему. Только после настройки публикации событий следует включать экспорт событий в формате CEF.

Чтобы настроить публикацию событий приложения в SIEM-систему:

1. Запустите командную оболочку операционной системы на узле кластера для выполнения команд с полномочиями суперпользователя (администратора системы).
2. Создайте файл /etc/rsyslog.d/klms-cef-messages.conf и добавьте в него следующие строки:

   $ActionQueueFileName ForwardToSIEM

   $ActionQueueMaxDiskSpace 1g

   $ActionQueueSaveOnShutdown on

   $ActionQueueType LinkedList

   $ActionResumeRetryCount -1

   <категория (facility)>.* @@<IP-адрес SIEM-системы>:<порт, на котором SIEM-система принимает сообщения от Syslog по протоколу TCP>

3. Если вы хотите сохранять события локально, добавьте в тот же файл строку:

   <категория (facility) для формата CEF>.* -/var/log/klms-cef-messages

4. В конец файла добавьте строку:

   <категория (facility) для формата CEF>.* stop

   Пример файла: # Publish CEF messages to the SIEM system $ActionQueueFileName ForwardToSIEM $ActionQueueMaxDiskSpace 1g $ActionQueueSaveOnShutdown on $ActionQueueType LinkedList $ActionResumeRetryCount -1 local2.* @@10.16.32.64:514   # Also store CEF messages locally local2.* -/var/log/klms-cef-messages   # Prevent logging to the system log files local2.* stop

5. Если вы хотите сохранять события локально, создайте файл журнала /var/log/klms-cef-messages и настройте права доступа к нему. Для этого выполните команды:

   touch /var/log/klms-cef-messages

   chown root:klusers /var/log/klms-cef-messages

   chmod 640 /var/log/klms-cef-messages

6. При необходимости настройте правила ротации файлов журналов с экспортированными событиями. Для этого создайте файл /etc/logrotate.d/klms-cef-messages и добавьте в него следующие строки:

   /var/log/klms-cef-messages

   {

     size 500M

     rotate 10

     compress

     missingok

     notifempty

     sharedscripts

     postrotate

     /usr/bin/systemctl kill -s HUP rsyslog.service >/dev/null 2>&1 || true

     endscript

   }

7. Перезапустите службу rsyslog. Для этого выполните команду:

   service rsyslog restart

Публикация событий приложения в SIEM-систему будет настроена.