Настройка сервера источника событий с помощью сервиса rsyslog

Для передачи событий от сервера в коллектор KUMA используется сервис rsyslog.

Чтобы настроить передачу событий от сервера в коллектор:

1. Проверьте, что на сервере источнике событий установлен сервис rsyslog. Для этого выполните следующую команду:

   systemctl status rsyslog.service

   Если сервис rsyslog не установлен на сервере, установите его, выполнив следующую команду:

   yum install rsyslog

   systemctl enable rsyslog.service

   systemctl start rsyslog.service

2. Откройте файл сервиса audit.service /etc/audit/auditd.conf и измените значения следующих параметров:

   name_format=NONE

   log_format=ENRICHED

   Параметр log_format определяет формат записей, создаваемых сервисом auditd, и должен иметь значение ENRICHED, чтобы в событиях сохранялась информация о пользователях.

   После изменения параметров перезапустите сервис auditd с помощью команды:

   sudo systemctl restart auditd.service

3. В папке /etc/rsyslog.d создайте файл audit.conf со следующим содержанием в зависимости от используемого протокола:
   • Для отправки событий по протоколу TCP:

     $ModLoad imfile

     $InputFileName /var/log/audit/audit.log

     $InputFileTag tag_audit_log:

     $InputFileStateFile audit_log

     $InputFileSeverity info

     $InputFileFacility local6

     $InputRunFileMonitor

     *.* @@<IP-адрес коллектора KUMA>:<порт коллектора KUMA>

     Например:

     *.* @@192.1.3.4:5858

   • Для отправки событий по протоколу UDP:

     $ModLoad imfile

     $InputFileName /var/log/audit/audit.log

     $InputFileTag tag_audit_log:

     $InputFileStateFile audit_log

     $InputFileSeverity info

     $InputFileFacility local6

     $InputRunFileMonitor

     template(name="AuditFormat" type="string" string="<%PRI%>%TIMESTAMP:::date-rfc3339% %HOSTNAME% %syslogtag% %msg%\n")

     *.* @<IP-адрес коллектора KUMA>:<порт коллектора KUMA>

     Например:

     *.* @192.1.3.4:5858;AuditFormat

4. Сохраните изменения в файле audit.conf.
5. Перезапустите сервис rsyslog, выполнив следующую команду:

   systemctl restart rsyslog.service

Сервер источника событий настроен. Данные о событиях передаются с сервера в коллектор KUMA.