Парсинг служебных событий Kaspersky CyberTrace в McAfee Enterprise Security Manager

В этом разделе описывается порядок парсинга служебных событий Kaspersky CyberTrace, имеющих следующий формат:

Kaspersky CyberTrace Service Event| date=%Date% alert=%Alert% msg:%RecordContext%

Обратите внимание, что при изменении формата служебных событий необходимо изменить правила обработки служебных событий в McAfee Enterprise Security Manager.

Для парсинга события службы введите следующие данные в диалоговом окне Advanced Syslog Parser Rule:

1. В главном окне McAfee Enterprise Security Manager нажмите Configuration.
2. В дереве Physical Display выберите устройство-получатель и нажмите Add Data Source.

   

   Добавление источника данных

   Откроется диалоговое окно Add Data Source.

3. В диалоговом окне Add Data Source введите следующие данные:
   • Data Source Vendor: Generic
   • Data Source Model: Advanced Syslog Parser
   • Data Format: Default
   • Data Retrieval: SYSLOG (по умолчанию)
   • Enabled: Parsing
   • Name: Kaspersky CyberTrace
   • IP: IP-адрес сервера, с которого Kaspersky CyberTrace будет отправлять события.
   • Syslog Relay: None
   • Mask: 0
   • Require syslog TLS: Cleared
   • Port: 514
   • Support Generic Syslogs: Log "unknown syslog" event

     McAfee Enterprise Security Manager получает все события из Kaspersky CyberTrace. Если McAfee Enterprise Security Manager не может выполнить парсинг события, оно отображается как неизвестное.

   • Time Zone: выберите нужный часовой пояс
   • Encoding: None

   

   Конфигурация источника данных

4. (Необязательно) Нажмите Advanced, чтобы указать параметры источника данных в диалоговом окне Advanced options.
5. Нажмите на кнопку OK.

   McAfee ESM предлагает развернуть настроенную политику.

   

   Диалоговое окно Rollout

6. Выберите Kaspersky CyberTrace, а затем нажмите кнопку Policy Editor на панели инструментов.

   

   Выбор в Policy Editor

7. В окне Policy Editor выберите тип правил Advanced Syslog Parser Rules.
8. Нажмите New → Advanced Syslog Parser Rule.

   

   Окно Policy Editor

9. Чтобы создать парсер для анализа событий обновления потока данных, введите следующие данные в диалоговом окне Advanced Syslog Parser Rule:
   • На вкладке General введите следующие данные:
     • Name: Kaspersky_CyberTrace_ServiceEvent
     • Tags: выберите теги, определяющие правило (они будут использоваться при фильтрации событий)
     • Rule Assignment Type: User Defined 1 или другой определяемый пользователем тип
     • Description: событие службы Kaspersky CyberTrace
   • На вкладке Parsing введите следующие данные:
     • Provide content strings: событие службы Kaspersky CyberTrace
     • Sample Log Data: предоставьте пример события обновления потока данных. Например (в одну строку, без символов новой строки):

       Kaspersky CyberTrace Service Event| date=Apr 17 19:08:28 alert=KL_ALERT_UpdatedFeed msg:feed=Demo_Botnet_CnC_URL_Data_Feed.json records=3907

     • Добавьте следующие регулярные выражения на вкладке Parsing:

   Название	Регулярное выражение
   ct_service_name	alert\=(\S+)(?=\s)
   ct_context	(msg.*)(?=$)
   ct_date	date\=(\S+\s\d+\s\S+)

   

   Вкладка Parsing

   • На вкладке Field Assignment введите следующие данные:

   Поле	Выражение
   Action	"0"
   Описание	Перетащите ct_context в это поле
   Severity	"60" или другое значение по вашему выбору
   Return_Code	Перетащите ct_service_name в это поле
   First Time	Перетащите ct_date в это поле

   

   Вкладка Field Assignment

   Вы можете добавить другие поля, нажав на кнопку +.

   • На вкладке Mapping введите следующие данные:
     • В таблице временных данных:

   Формат времени	Поля времени
   %b %d %H:%M:%S	First time

   • В таблице действий:

   Ключ действия	Значение действия
   0	Success

   • В таблице важности:

   Ключ важности	Значение важности
   60	60

   

   Вкладка Mapping

10. Нажмите на кнопку Finish, чтобы сохранить политику.
11. В списке Default Policy выберите устройство Kaspersky CyberTrace, а затем включите правило Kaspersky_CyberTrace_ServiceEvent.

    

    Включение правила

12. Выберите File → Save, чтобы сохранить текущее состояние.
13. Выберите Operations → Rollout, чтобы развернуть политику.

    

    Развертывание политики

14. При появлении запроса согласитесь на повторную инициализацию устройства Kaspersky CyberTrace в McAfee ESM.
15. Выберите пункт меню Operations → Modify Aggregation Settings, чтобы изменить правила агрегирования служебных событий Kaspersky CyberTrace.
16. В окне Modify Aggregation Settings в поле Field 2 задайте значение Return_Code и нажмите кнопку OK.

    

    Modify Aggregation Settings

17. Подтвердите запрос на развертывание.