Kaspersky Unified Monitoring and Analysis Platform
3.2
Русский

Содержание

Настройка получения событий Postfix

Вы можете настроить получение событий системы Postfix в KUMA. Интеграция возможна только при отправке событий по syslog с использованием протокола TCP. Ресурсы, описанные в этой статье, доступны для KUMA 3.0 и более новых версий.

Настройка получения событий состоит из следующих этапов:

  1. Настройка Postfix для отправки событий.
  2. Настройка коллектора KUMA для получения событий Postfix.
  3. Проверка поступления событий Postfix в коллектор KUMA.

    Вы можете проверить, что настройка сервера источника событий Postfix выполнена правильно в разделе веб-интерфейса KUMA Поиск связанных событий.

Система Postfix формирует события в двух форматах:

  • Многострочные события, содержащие информацию о сообщениях (с уникальным идентификатором). События имеют следующий вид:

    <syslog PRI> время хост имя_процесса: идентификатор: информация из базового события 1

    <syslog PRI> время хост имя_процесса: идентификатор: информация из базового события 2

  • Однострочные, содержащие информацию об ошибках (без идентификатора). События имеют следующий вид:

    <syslog PRI> время хост имя_процесса: критичность: основная информация для парсинга

Для обработки событий системы Postfix используется набор ресурсов KUMA, который необходимо применить при создании коллектора:

  • Нормализатор.
  • Правило агрегации.
  • Фильтры для точек назначения.

В процессе работы коллектора многострочные базовые события будут агрегированы на основе идентификатора событий, нормализованы, и одно событие будет направлено в хранилище и коррелятор.

Агрегированное событие примет следующий вид:

Служебная информация из правила агрегации: идентификатор: информация из базового события 1, информация из базового события 2, информация из базового события n

После агрегации полученное событие будет направлено в этот же коллектор, где будет выполняться нормализации агрегированного события.

Алгоритм обработки события системы Postfix

Для обработки события системы Postfix был реализован следующий алгоритм:

  1. Первичная нормализация.

    На этом этапе выполняется первичная нормализация базовых событий, которые начинаются с символа "<", поступивших по syslog. События приводятся к формату, пригодному для последующей агрегации: из события выделяется первый символ и размещается в поле FlexString1, идентификатор размещается в поле ExternalID, имя хоста размещается в поле DeviceHostName. Базовая нормализация выполняется в основном нормализаторе.

  2. Проверка на агрегацию.

    Выполняется проверка является ли событие агрегированным или нет. В результате проверки к неагрегированным событиям (первый символ не "{" и идентификатор не пустой) применяется правило агрегации, а затемагрегированные события направляются на повторную нормализацию.

  3. Применение правила агрегации.

    На этом этапе к событиям применяется правило агрегации, базовые события "склеиваются" и принимают следующий вид:

    Служебная информация из правила агрегации: идентификатор: информация из базового события 1, информация из базового события 2, информация из базового события n.

  4. После выполнения агрегации "склеенное" событие направляется обратно в этот же коллектор для выполнения нормализации агрегированного события.

    Чтобы замкнуть цикл обработки события, следует указать тот же самый коллектор в качестве точки назначения. На схеме точка назначения названа "Loop", чтобы обозначить цикл обработки события. Вы можете назвать точку назначения произвольным именем.

  5. Нормализация агрегированного события.

    Нормализация агрегированного события. начинающегося с символа "{", выполняется в экстранормализаторах Aggregated events, Aggregated events. Message KV parser, Aggregated events. Message regex 1, Aggregated events. Message regex 2.

  6. Отправка в хранилище и коррелятор.

    Агрегированные и нормализованные события отправляются в хранилище и коррелятор.

На следующем рисунке представлена схема обработки событий от системы Postfix.

postfix_events_processing

В этом разделе

Настройка Postfix для отправки событий

Настройка коллектора KUMA для получения и обработки событий Postfix
В начало
[Topic 287428]

Настройка Postfix для отправки событий

События аудита системы Postfix по умолчанию направляются в файл /var/log/maillog или /var/log/mail.

Для отправки событий в KUMA:

  1. Создайте резервную копию файла /etc/rsyslog.conf.
  2. Откройте файл /etc/rsyslog.conf в режиме редактирования.
  3. Добавьте в конец файла /etc/rsyslog.conf строку:

    mail.* @@<IP-адрес коллектора KUMA>:<порт коллектора KUMA>

  4. Сохраните файл /etc/rsyslog.conf
  5. Перезапустите сервис rsyslog с помощью команды:

    sudo systemctl restart rsyslog

В начало
[Topic 287429]

Настройка коллектора KUMA для получения и обработки событий Postfix

Чтобы настроить коллектор KUMA для получения событий Postfix:

  1. Импортируйте пакет [OOTB] Postfix из репозитория KUMA. Пакет доступен для KUMA 3.0 и более новых версий.
  2. Создайте новый коллектор и в мастере установки коллектора настройте следующие параметры:
    1. На шаге Транспорт в поле Тип выберите тип tcp, в поле URL укажите FQDN или IP-адрес и порт коллектора.
    2. На шаге Парсинг событий нажмите Добавить парсинг событий и в открывшемся окне Основной парсинг событий в раскрывающемся списке Нормализатор выберите нормализатор [OOTB] Postfix syslog.
    3. На шаге Агрегация событий нажмите Добавить правило агрегации и в открывшемся окне Агрегация событий в раскрывающемся списке Правило агрегации выберите правило агрегации [OOTB] Postfix. Aggreation rule.
    4. На шаге Маршрутизация нажмите Добавить и в открывшемся окне Создание точки назначения последовательно создайте три точки назначения: этот же коллектор с именем "Loop", хранилище и коррелятор.
      1. Создайте точку назначения с именем "Loop" со следующими параметрами.
        • На вкладке Основные параметры в раскрывающемся списке Тип выберите тип транспорта tcp, в поле URL укажите FQDN или IP-адрес и порт коллектора, указанные ранее на шаге 2.1 этой инструкции.
        • На вкладке Дополнительные параметры в раскрывающемся списке Фильтр выберите фильтр Postfix. Filter for event aggregation.

          Настройка этих параметров необходима для отправки агрегированного события в тот же самый коллектор для дальнейшей нормализации.

      2. Создайте точку назначения коррелятора:
      3. На вкладке Основные параметры в раскрывающемся списке Тип выберите correlator и заполните поле URL.
      4. На вкладке Дополнительные параметры в раскрывающемся списке Фильтр выберите фильтр Postfix. Aggregated events to storage and correlator.
      5. Создайте точку назначения хранилища:
      • На вкладке Основные параметры в раскрывающемся списке Тип выберите storage и заполните поле URL.
      • На вкладке Дополнительные параметры в раскрывающемся списке Фильтр выберите фильтр Postfix. Aggregated events to storage and correlator.

        Настройка этих параметров необходима для отправки агрегированного нормализованного события в хранилище и коррелятор.

  3. Нажмите на кнопку Создать.

    Сервис коллектора создан с заданными параметрами в веб-интерфейсе KUMA. На экране отобразится команда для установки сервиса на сервере.

  4. Скопируйте команду установки коллектора и выполните команду установки коллектора на нужном сервере.

Коллектор настроен для получения и обработки событий Postfix.

В начало
[Topic 287430]