Об интеграции с SIEM

Чтобы уменьшить нагрузку на маломощные устройства и уменьшить риск снижения производительности системы в результате увеличения размеров журналов приложения, можно настроить публикацию событий аудита и событий выполнения задач по протоколу syslog на syslog-сервер.

Syslog-сервер – это внешний сервер для сбора событий (SIEM). Он хранит и анализирует полученные события, а также выполняет другие действия по управлению журналами.

Вы можете использовать интеграцию с SIEM в двух режимах:

• Дублировать события на syslog-сервере: в этом режиме все события выполнения задач, публикация которых настроена в параметрах журналов, а также все события системного аудита продолжают храниться на защищаемом устройстве даже после отправки на SIEM-сервер.

  Рекомендуется использовать этот режим, чтобы максимально снизить нагрузку на защищаемое устройство.

• Удалять локальные копии событий: в этом режиме все события, зарегистрированные в ходе работы приложения и опубликованные на SIEM-сервере, будут удалены с защищаемого устройства.

  Приложение никогда не удаляет локальные версии журнала безопасности.

Kaspersky Embedded Systems Security может конвертировать события в журналах приложения в форматы, поддерживаемые syslog-сервером, для передачи событий и их успешного распознавания на стороне SIEM-сервера. Приложение поддерживает конвертацию в формат структурированных данных и в формат JSON.

Рекомендуется выбирать формат событий на основе конфигурации используемого SIEM-сервера.