Suricata

Настройка получения событий от программы Suricata версии 7.0.1 в Kaspersky SIEM состоит из следующих этапов:

Настройка передачи событий Suricata в KUMA

1. Подключитесь по протоколу SSH к серверу, обладающему административными учетными записями.
2. Создайте резервную копию файла /etc/suricata/suricata.yaml.

   Установите в конфигурационном файле /etc/suricata/suricata.yaml в секции eve-log следующие значения:

   - eve-log:

   enabled: yes

   filetype: regular #regular|syslog|unix_dgram|unix_stream|redis

   filename: eve.json

3. Сохраните изменения в файле конфигурации /etc/suricata/suricata.yaml.

Cобытия Suricata будут записываться в файл /usr/local/var/log/suricata/eve.json.

Suricata не поддерживает ограничение размера файла с событиями eve.json. При необходимости вы можете контролировать размер журнала с помощью ротации. Например, для настройки ежечасной ротации журнала добавьте в конфигурационный файл следующие строки:

outputs:

- eve-log:

filename: eve-%Y-%m-%d-%H:%M.json

rotate-interval: hour

Создание коллектора KUMA для получения событий Suricata

При создании коллектора в веб-интерфейсе Kaspersky SIEM на шаге Парсинг событий выберите нормализатор [OOTB] Suricata json file, на шаге Транспорт выберите тип коннектора file.

Установка коллектора KUMA в сетевой инфраструктуре

После завершения создания и настройки коллектора для сбора событий Suricata требуется установить коллектор KUMA на сервере сетевой инфраструктуры, предназначенной для получения событий.

Проверка поступления событий Suricata в коллектор KUMA

Вы можете проверить, что настройка сервера источника событий Suricata выполнена правильно, выполнив поиск связанных событий в веб-интерфейсе Kaspersky SIEM.