Приложение 5. Настройка совместной работы с SIEM-системами

Настройка совместной работы приложения Kaspersky Industrial CyberSecurity for Linux Nodes c SIEM-системами

1. Настройте запись событий в журнал операционной системы.

   События, которые записываются в журнал операционной системы, будут отправлены на сервер SIEM-системы для дальнейшего анализа и корреляции.

2. Для запуска интеграции c SIEM-системами, запустите скрипт tune_syslog_for_siem.sh, указав параметры интеграции с SIEM-сервером: протокол, адрес SIEM-сервера и порт SIEM-сервера.

   ./tune_syslog_for_siem.sh <protocol> <address> <port>

   где:

   • <protocol> – протокол TCP или UDP;
   • <address> – IP-адрес или FQDN вашего SIEM-сервера;
   • <port> – TCP-порт или UPD-порт, на котором ваш SIEM-сервер ожидает подключений.

   Если вы не укажете нужные параметры, отобразится сообщение о необходимости их указать.

Вы также можете настроить отправку событий в SIEM с помощью Kaspersky Security Center. Подробнее см. в справке Kaspersky Security Center.

Выключение интеграции с SIEM-системами

1. Для выключения интеграции, запустите скрипт turnoff_syslog_for_siem.sh.

   Также вы можете распространить скрипты через Kaspersky Security Center с помощью мастера создания инсталляционного пакета и задачи удаленной установки. Подробнее см. в справке Kaspersky Security Center.

2. Если необходимо, выключите запись событий в журнал операционной системы.

Типы отправляемых событий

Приложение отправляет в SIEM-систему следующие типы событий:

• Process (id = 1) - Запуск процесса
• Process Terminated (id = 23) - Завершение работы процесса
• File Create (id = 2.1) - Создание файла
• File Modify (id = 2.2) - Изменение файла
• File Rename (id = 2.3) - Переименование файла
• File Read (id = 2.4) - Чтение из файла
• File Delete (id = 2.5) - Запись в файл
• File Attributes Modify (id = 2.6) - Модификация атрибутов файла
• File Owner Change (id = 29.1) - Изменение владельца файла
• File ACL Change (id = 29.2) - Изменение прав доступа к файлу
• Linux Event Log (id = 19) - Появление событий в системном журнале из списка:
  • NewUserCreated - Создание аккаунта пользователя
  • GroupCreated - Создание группы пользователей
  • UserAccountDeleted - Удаление аккаунта пользователя
  • GroupDeleted - Удаление группы пользователей
  • ChangeAccountExpirationDate - Изменение срока жизни аккаунта пользователя
  • MemberAddedToGroup - Назначение аккаунту пользователя группы
  • MemberRemovedGroup - Удаление аккаунта пользователя из группы
  • UserPasswordChanged - Изменение пароля пользователя
  • LinuxAuth - Авторизация/логин пользователя
  • LinuxSessionStart - Старт пользовательской сессии
  • LinuxSessionEnd - Завершение пользовательской сессии
  • ServiceStart - Запуск сервиса
  • ServiceStop - Остановка сервиса
  • AuditdConfigurationChanged - Изменение настроек аудита