Apache Cassandra

Kaspersky SIEM позволяет получать информацию о событиях Apache Cassandra.

Настройка получения событий состоит из следующих этапов:

Настройка журналирования событий Apache Cassandra в KUMA

1. Убедитесь, что на сервере, где установлена Apache Cassandra, есть 5 ГБ свободного дискового пространства.
2. Подключитесь к серверу Apache Cassandra под учетной записью с правами администратора.
3. Перед внесением изменений создайте резервные копии следующих конфигурационных файлов /etc/cassandra/cassandra.yaml и /etc/cassandra/logback.xml.
4. Убедитесь, что параметры конфигурационного файла /etc/cassandra/cassandra.yaml имеют следующие значения, и при необходимости внесите изменения:
   1. В секции audit_logging_options присвойте параметру enabled значение true.
   2. В секции logger присвойте параметру class_name значение FileAuditLogger.
5. В конфигурационный файл /etc/cassandra/logback.xml добавьте следующие строки:

   <!-- Audit Logging (FileAuditLogger) rolling file appender to audit.log -->

   <appender name="AUDIT" class="ch.qos.logback.core.rolling.RollingFileAppender">

   <file>${cassandra.logdir}/audit/audit.log</file>

   <rollingPolicy class="ch.qos.logback.core.rolling.SizeAndTimeBasedRollingPolicy">

   <!-- rollover daily -->

   <fileNamePattern>${cassandra.logdir}/audit/audit.log.%d{yyyy-MM-dd}.%i.zip</fileNamePattern>

   <!-- each file should be at most 50MB, keep 30 days worth of history, but at most 5GB -->

   <maxFileSize>50MB</maxFileSize>

   <maxHistory>30</maxHistory>

   <totalSizeCap>5GB</totalSizeCap>

   </rollingPolicy>

   <encoder>

   <pattern>%-5level [%thread] %date{ISO8601} %F:%L - %replace(%msg){'\n', ' '}%n</pattern>

   </encoder>

   </appender>

   <!-- Audit Logging additivity to redirect audt logging events to audit/audit.log -->

   <logger name="org.apache.cassandra.audit" additivity="false" level="INFO">

   <appender-ref ref="AUDIT"/>

   </logger>

6. Сохраните изменения в конфигурационном файле.
7. Перезапустите службу Apache Cassandra с помощью следующих команд:

   sudo systemctl stop cassandra.service

   sudo systemctl start сassandra.service

8. После перезапуска проверьте статус Apache Cassandra с помощью следующей команды:

   sudo systemctl status cassandra.service

   Убедитесь, что в выводе команды есть последовательность символов:

   Active: active (running)

Настройка передачи событий Apache Cassandra завершена. События будут располагаться в директории /var/log/cassandra/audit/, в файле audit.log (${cassandra.logdir}/audit/audit.log).

Создание коллектора KUMA для событий Apache Cassandra

Для получения событий Apache Cassandra при создании коллектора KUMA необходимо выполнить следующие действия: на шаге Транспорт выберите коннектор типа file, на шаге Парсинг событий в поле Нормализатор выберите [OOTB] Apache Cassandra file.

Установка коллектора KUMA в сетевой инфраструктуре

После завершения создания и настройки коллектора для сбора событий Apache Cassandra требуется установить коллектор KUMA на сервере сетевой инфраструктуры, предназначенной для получения событий.

Проверка поступления событий Apache Cassandra в коллектор KUMA

Вы можете проверить, что настройка сервера источника событий Apache Cassandra выполнена правильно, выполнив поиск связанных событий в веб-интерфейсе Kaspersky SIEM.