13 октября 2026
ID 265545
Zeek IDS
Вы можете настроить получение событий программы Zeek IDS версии 1.8 в SIEM-систему KUMA.
Настройка получения событий состоит из следующих этапов:
Преобразование формата журнала событий Zeek IDS
По умолчанию события Zeek IDS записываются в файлы в директорию /opt/zeek/logs/current.
Нормализатор [OOTB] ZEEK IDS json file поддерживает работу с журналами Zeek IDS в формате JSON. Для передачи событий в нормализатор KUMA файлы журналов нужно преобразовать в формат JSON.
Эту процедуру нужно повторять каждый раз перед получением событий Zeek IDS.
- Подключитесь к серверу, на котором установлена программа Zeek IDS, под учетной записью с правами администратора.
- Создайте директорию, где будут храниться журналы событий в формате JSON, с помощью команды:
sudo mkdir /opt/zeek/logs/zeek-json - Перейдите в эту директорию с помощью команды:
sudo cd /opt/zeek/logs/zeek-json - Выполните команду, которая с помощью утилиты jq преобразует исходный формат журнала событий к необходимому:
jq . -c<путь к файлу журнала, формат которого нужно изменить>>><название нового файла>.logПример:
jq . -c /opt/zeek/logs/current/conn.log >> conn.log
В директории /opt/zeek/logs/zeek-json будет создан новый файл, если такого ранее не существовало. Если такой файл уже был в текущей директории, то в конец файла будет добавлена новая информация.
Создание коллектора KUMA для получения событий Zeek IDS
При создании коллектора в веб-интерфейсе Kaspersky SIEM на шаге Парсинг событий выберите нормализатор [OOTB] ZEEK IDS json file, на шаге Транспорт выберите тип коннектора file.
Установка коллектора KUMA в сетевой инфраструктуре
После завершения создания и настройки коллектора для сбора событий Zeek IDS требуется установить коллектор KUMA на сервере сетевой инфраструктуры, предназначенной для получения событий.
Проверка поступления событий Zeek IDS в коллектор KUMA
Вы можете проверить, что настройка сервера источника событий Zeek IDS выполнена правильно, выполнив поиск связанных событий в веб-интерфейсе Kaspersky SIEM.
