Postfix

Вы можете настроить получение событий системы Postfix в KUMA. Интеграция возможна только при отправке событий по syslog с использованием протокола TCP. Ресурсы, описанные в этой статье, доступны для KUMA 3.0 и более новых версий.

Система Postfix формирует события в двух форматах:

• Многострочные события, содержащие информацию о сообщениях (с уникальным идентификатором). События имеют следующий вид:

  <syslog PRI> время хост имя_процесса: идентификатор: информация из базового события 1

  <syslog PRI> время хост имя_процесса: идентификатор: информация из базового события 2

• Однострочные, содержащие информацию об ошибках (без идентификатора). События имеют следующий вид:

  <syslog PRI> время хост имя_процесса: критичность: основная информация для парсинга

Для обработки событий системы Postfix используется набор ресурсов KUMA, который необходимо применить при создании коллектора:

• Нормализатор.
• Правило агрегации.
• Фильтры для точек назначения.

В процессе работы коллектора многострочные базовые события будут агрегированы на основе идентификатора событий, нормализованы, и одно событие будет направлено в хранилище и коррелятор.

Агрегированное событие примет следующий вид:

Служебная информация из правила агрегации: идентификатор: информация из базового события 1, информация из базового события 2, информация из базового события n

После агрегации полученное событие будет направлено в этот же коллектор, где будет выполняться нормализации агрегированного события.

Алгоритм обработки события системы Postfix

Настройка получения событий состоит из следующих этапов:

Настройка Postfix для отправки событий

События аудита системы Postfix по умолчанию направляются в файл /var/log/maillog или /var/log/mail.

1. Создайте резервную копию файла /etc/rsyslog.conf.
2. Откройте файл /etc/rsyslog.conf в режиме редактирования.
3. Добавьте в конец файла /etc/rsyslog.conf строку:

   mail.* @@<IP-адрес коллектора KUMA>:<порт коллектора KUMA>

4. Сохраните файл /etc/rsyslog.conf.
5. Перезапустите сервис rsyslog с помощью команды:

   sudo systemctl restart rsyslog

Создание коллектора KUMA для получения событий Postfix

1. Импортируйте пакет [OOTB] Postfix из репозитория KUMA.
2. Создайте новый коллектор и в мастере установки коллектора настройте следующие параметры:
   1. На шаге Транспорт в поле Тип выберите тип tcp, в поле URL укажите FQDN или IP-адрес и порт коллектора.
   2. На шаге Парсинг событий нажмите Добавить парсинг событий и в открывшемся окне Основной парсинг событий в раскрывающемся списке Нормализатор выберите нормализатор [OOTB] Postfix syslog.
   3. На шаге Агрегация событий нажмите Добавить правило агрегации и в открывшемся окне Агрегация событий в раскрывающемся списке Правило агрегации выберите правило агрегации [OOTB] Postfix. Aggreation rule.
   4. На шаге Маршрутизация нажмите Добавить и в открывшемся окне Создание точки назначения последовательно создайте три точки назначения: этот же коллектор с именем Loop, хранилище и коррелятор.
      1. Создайте точку назначения с именем Loop со следующими параметрами:
         • На вкладке Основные параметры в раскрывающемся списке Тип выберите тип транспорта tcp, в поле URL укажите FQDN или IP-адрес и порт коллектора, указанные ранее на шаге 2.1 этой инструкции.
         • На вкладке Дополнительные параметры в раскрывающемся списке Фильтр выберите фильтр Postfix. Filter for event aggregation.

         Настройка этих параметров необходима для отправки агрегированного события в тот же самый коллектор для дальнейшей нормализации.

      2. Создайте точку назначения коррелятора:
         • На вкладке Основные параметры в раскрывающемся списке Тип выберите correlator и заполните поле URL.
         • На вкладке Дополнительные параметры в раскрывающемся списке Фильтр выберите фильтр Postfix. Aggregated events to storage and correlator.
      3. Создайте точку назначения хранилища:
         • На вкладке Основные параметры в раскрывающемся списке Тип выберите storage и заполните поле URL.
         • На вкладке Дополнительные параметры в раскрывающемся списке Фильтр выберите фильтр Postfix. Aggregated events to storage and correlator.

      Настройка этих параметров необходима для отправки агрегированного нормализованного события в хранилище и коррелятор.

3. Нажмите на кнопку Создать.

   Сервис коллектора создан с заданными параметрами в веб-интерфейсе KUMA. На экране отобразится команда для установки сервиса на сервере.

4. Скопируйте команду для установки коллектора KUMA.

Установка коллектора KUMA в сетевой инфраструктуре

После завершения создания и настройки коллектора для сбора событий Postfix требуется установить коллектор KUMA на сервере сетевой инфраструктуры, предназначенной для получения событий.

Проверка поступления событий Postfix в коллектор KUMA

Вы можете проверить, что настройка сервера источника событий Postfix выполнена правильно, выполнив поиск связанных событий в веб-интерфейсе Kaspersky SIEM.