Sendmail

Настройка получения событий из почтового агента Sendmail Kaspersky SIEM состоит из следующих этапов:

Настройка журналирования Sendmail

По умолчанию события системы Sendmail записываются в syslog.

Чтобы убедиться в правильности настройки журналирования:

1. Подключитесь по SSH к серверу, на котором установлена система Sendmail.
2. Выполните команду:

   cat /etc/rsyslog.d/50-default.conf

   Команда должна вернуть следующую строку:

   mail.* -/var/log/mail.log

Если журналирование настроено правильно, вы можете перейти к настройке передачи событий Sendmail.

Настройка сервера источника событий

Для передачи событий от сервера, на котором установлен почтовый агент Sendmail, в коллектор Kaspersky SIEM используется сервис rsyslog.

Чтобы настроить передачу событий Sendmail в коллектор:

1. Подключитесь к серверу, на котором установлен Sendmail, под учетной записью с правами администратора.
2. В директории /etc/rsyslog.d/ создайте файл Sendmail-to-siem.conf и добавьте в него строку:

   If $programname contains 'sendmail' then @<collector_IP>:<collector_port>

   Пример

   If $programname contains 'sendmail' then @192.168.1.5:1514

   Если вы хотите отправлять события по протоколу TCP, содержимое файла должно быть таким:

   If $programname contains 'sendmail' then @@<collector IP>:<collector_port>

   где:

   • <collector_IP> – IP-адрес коллектора.
   • <collector_port> – порт коллектора.
3. Создайте резервную копию файла /etc/rsyslog.conf.
4. В конфигурационный файл /etc/rsyslog.conf добавьте следующие строки:

   $IncludeConfig /etc/Sendmail-to-siem.conf

   $RepeatedMsgReduction off

5. Сохраните внесенные изменения.
6. Перезапустите сервис rsyslog, выполнив следующую команду:

   sudo systemctl restart rsyslog.service

Создание коллектора KUMA

При создании коллектора в веб-интерфейсе Kaspersky SIEM в разделе Парсинг событий выберите нормализатор [OOTB] Sendmail syslog и в разделеТранспорт выберите тип коннектора tcp или udp.

Установка коллектора KUMA

После завершения создания и настройки коллектора для сбора событий Sendmail требуется установить коллектор KUMA на сервере сетевой инфраструктуры, предназначенной для получения событий.

Проверка поступления событий Sendmail в коллектор KUMA

Вы можете проверить, что настройка сервера источника событий Sendmail выполнена правильно, выполнив поиск связанных событий в веб-интерфейсе Kaspersky SIEM.