Настройка получения событий KWTS

Вы можете настроить получение событий из системы анализа и фильтрации веб-трафика Kaspersky Web Traffic Security (KWTS) в KUMA.

Настройка получения событий состоит из следующих этапов:

1. Настройка передачи событий KWTS в KUMA.

   В зависимости от используемой версии KWTS вы можете использовать одну из следующих инструкций:

   Для KWTS 6.2

   Для KWTS 6.1

   Чтобы настроить передачу событий KWTS в KUMA:

   1. Подключитесь к серверу KWTS по протоколу SSH под учетной записью root.
   2. Перед внесением изменений создайте резервные копии следующих файлов:
      • /opt/kaspersky/kwts/share/templates/core_settings/event_logger.json.template
      • /etc/rsyslog.conf
   3. Убедитесь, что параметры конфигурационного файла /opt/kaspersky/kwts/share/templates/core_settings/event_logger.json.template имеют следующие значения, при необходимости внесите изменения:

      "siemSettings":

      {

      "enabled": true,

      "facility": "Local5",

      "logLevel": "Info",

      "formatting":

      {

   4. Сохраните внесенные изменения.
   5. Для отправки событий по протоколу UDP внесите следующие изменения в конфигурационный файл /etc/rsyslog.conf:

      $WorkDirectory /var/lib/rsyslog

      $ActionQueueFileName ForwardToSIEM

      $ActionQueueMaxDiskSpace 1g

      $ActionQueueSaveOnShutdown on

      $ActionQueueType LinkedList

      $ActionResumeRetryCount -1

      local5.* @<<IP-адрес коллектора KUMA>:<Порт коллектора>>

      Если вы хотите отправлять события по протоколу TCP, последняя строчка должна выглядеть следующим образом:

      local5.* @@<<IP-адрес коллектора KUMA>:<Порт коллектора>>

   6. Сохраните внесенные изменения
   7. Перезапустите сервис rsyslog с помощью следующей команды:

      sudo systemctl restart rsyslog.service

   8. Перейдите в веб-интерфейс KWTS на вкладку Параметры – Syslog и включите опцию Записывать информацию о профиле трафика.
   9. Нажмите Сохранить.
2. Настройка экспорта событий в формате CEF.

   Если вы настраиваете получение событий из KWTS 6.2, следуйте инструкции в документации KWTS 6.2, чтобы включить экспорт событий.

3. Создание коллектора KUMA для получения событий KWTS.

   Для получения событий KWTS в мастере установки коллектора на шаге Парсинг событий выберите нормализатор [OOTB] KWTS.

4. Установка коллектора KUMA для получения событий KWTS.
5. Проверка поступления событий KWTS в коллектор KUMA.

   Вы можете проверить, что настройка передачи событий KWTS выполнена правильно в разделе веб-интерфейса KUMA Поиск связанных событий.