Auditd

Для передачи событий от сервера в коллектор KUMA используется сервис rsyslog.

Чтобы настроить передачу событий от сервера в коллектор:

1. Проверьте, что на сервере источнике событий установлен сервис rsyslog. Для этого выполните следующую команду:

   systemctl status rsyslog.service

   Если сервис rsyslog не установлен на сервере, установите его, выполнив следующую команду:

   yum install rsyslog

   systemctl enable rsyslog.service

   systemctl start rsyslog.service

2. Откройте файл сервиса audit.service /etc/audit/auditd.conf и измените значения следующих параметров:

   name_format=NONE

   log_format=ENRICHED

   Параметр log_format определяет формат записей, создаваемых сервисом auditd, и должен иметь значение ENRICHED, чтобы в событиях сохранялась информация о пользователях.

   После изменения параметров перезапустите сервис auditd с помощью команды:

   sudo systemctl restart auditd.service

3. В папке /etc/rsyslog.d создайте файл audit.conf со следующим содержанием в зависимости от используемого протокола:
   • Для отправки событий по протоколу TCP:

     $ModLoad imfile

     $InputFileName /var/log/audit/audit.log

     $InputFileTag tag_audit_log:

     $InputFileStateFile audit_log

     $InputFileSeverity info

     $InputFileFacility local6

     $InputRunFileMonitor

     *.* @@<IP-адрес коллектора KUMA>:<порт коллектора KUMA>

     Например:

     *.* @@192.1.3.4:5858

   • Для отправки событий по протоколу UDP:

     $ModLoad imfile

     $InputFileName /var/log/audit/audit.log

     $InputFileTag tag_audit_log:

     $InputFileStateFile audit_log

     $InputFileSeverity info

     $InputFileFacility local6

     $InputRunFileMonitor

     template(name="AuditFormat" type="string" string="<%PRI%>%TIMESTAMP:::date-rfc3339% %HOSTNAME% %syslogtag% %msg%")

     *.* @<IP-адрес коллектора KUMA>:<порт коллектора KUMA>

     Например

     *.* @192.1.3.4:5858;AuditFormat

4. Сохраните изменения в файле audit.conf.
5. Перезапустите сервис rsyslog, выполнив следующую команду:

   systemctl restart rsyslog.service

Сервер источника событий настроен. Данные о событиях передаются с сервера в коллектор KUMA.

Для передачи событий от сервера в коллектор KUMA используется сервис syslog-ng.

Чтобы настроить передачу событий от сервера в коллектор:

1. Проверьте, что на сервере-источнике событий установлен сервис syslog-ng, выполнив следующую команду:

   systemctl status syslog-ng.service

   Если сервис syslog-ng не установлен на сервере, установите его, выполнив команду в соответствии с вашей системой управления пакетами:

   APT (Debian, Ubuntu)

   apt install syslog-ng

   YUM (CentOS 7, RHEL):

   yum install syslog-ng

   DNF (Fedora, CentOS 8)

   dnf install syslog-ng

   Zypper (openSUSE)

   zypper install syslog-ng

   Pacman (Arch Linux)

   pacman -S syslog-ng

   Snap (если доступно)

   snap install syslog-ng

2. После установки запустите сервис syslog-ng:

   systemctl enable syslog-ng.service

   systemctl start syslog-ng.service

3. Откройте файл параметров /etc/audit/auditd.conf сервиса audit.service и измените значение параметра name_format, присвоив этому параметру значение NONE:

   name_format=NONE

4. После изменения параметра перезапустите сервис auditd с помощью команды:

   sudo systemctl restart auditd.service

5. В папке /etc/syslog-ng создайте файл audit.conf со следующим содержанием в зависимости от используемого протокола:

   Для отправки событий по протоколу TCP

   source s_audit_log {

   file("/var/log/audit/audit.log"

   persist-name("s_audit_log_for_siem")

   follow-freq(1)

   program-override("auditd:")

   flags(no-parse));

   };

   log {

   source(s_audit_log);

   destination(d_audit_log);

   };

   # Форматирование сообщений

   template AuditFormat {

   template("<${PRI}>${ISODATE} ${HOST} ${MSG}\n");

   };

   # Передача журналов аудита на указанный адрес коллектора KUMA

   destination d_audit_log {

   tcp("<IP-адрес коллектора KUMA>" port(<порт коллектора KUMA>) persist-name("collector-audit") template(AuditFormat));

   };

   Для отправки событий по протоколу UDP

   source s_audit_log {

   file("/var/log/audit/audit.log"

   persist-name("s_audit_log_for_siem")

   follow-freq(1)

   program-override("auditd:")

   flags(no-parse));

   };

   log {

   source(s_audit_log);

   destination(d_audit_log);

   };

   # Форматирование сообщений

   template AuditFormat {

   template("<${PRI}>${ISODATE} ${HOST} ${MSG}");

   };

   # Передача журналов аудита на указанный адрес коллектора KUMA

   destination d_audit_log {

   udp("<IP-адрес коллектора KUMA>" port(<порт коллектора KUMA>) persist-name("collector-audit") template(AuditFormat));

   };

6. Сохраните изменения в файле audit.conf.
7. Добавьте в конфигурационный файл/etc/syslog-ng/syslog-ng.conf следующую строку:

   @include " audit.conf "

8. Перезапустите сервис syslog-ng, выполнив следующую команду:

   systemctl restart syslog-ng.service

Сервер источника событий настроен. Данные о событиях передаются с сервера в коллектор KUMA.