CommuniGate Pro

Вы можете настроить получение событий системы CommuniGate Pro версий 6.1 и 6.5.1 в Kaspersky SIEM. Интеграция возможна только при отправке событий по syslog с использованием протокола TCP. Поддерживается обработка части событий модуля SIP (события содержат последовательность символов "SIPDATA").

Система CommuniGate Pro формирует событие аудита в виде нескольких отдельных записей, которые выглядят следующим образом:

<код события> временная отметка идентификатор направление: информация из базового события 1

<код события> временная отметка идентификатор направление: информация из базового события 2

<код события> временная отметка идентификатор направление: основная информация n

Для обработки событий системы CommuniGate Pro используется набор ресурсов KUMA, который необходимо применить при создании коллектора:

• Нормализатор.
• Правило агрегации.
• Фильтры для точек назначения.

В процессе работы коллектора многострочные базовые события будут агрегированы на основе идентификатора событий, нормализованы, и одно событие будет направлено в хранилище и коррелятор.

Агрегированное событие примет следующий вид:

Служебная информация из правила агрегации: идентификатор: информация из базового события 1, информация из базового события 2, информация из базового события n

После агрегации полученное событие будет направлено в этот же коллектор, где будет выполняться нормализация агрегированного события.

Алгоритм обработки события системы CommuniGate Pro

Настройка получения событий состоит из следующих этапов:

Настройка CommuniGate Pro для отправки событий

События аудита системы CommuniGate Pro по умолчанию направляются в директорию /var/CommuniGate/SystemLogs/ в файлы журналов с расширением LOG.

Для отправки событий в Kaspersky SIEM необходимо установить на сервер CommuniGate Pro агент KUMA и настроить чтение файлов с расширением LOG из директории /var/CommuniGate/SystemLogs/ и отправку по протоколу TCP в коллектор KUMA.

1. В веб-интерфейсе откройте раздел Ресурсы и сервисы → Агенты и нажмите Добавить.
2. В открывшемся окне Создание агента на вкладке Основные параметры в поле Название укажите название агента.
3. Перейдите на вкладку Подключение №1.
4. В блоке параметров Коннектор на вкладке Основные параметры задайте следующие значения для коннектора:
   1. В поле Название укажите название, например CommuniGate file.
   2. В раскрывающемся списке Тип выберите значение file.
   3. В поле Путь к файлу укажите значение:

      /var/CommuniGate/SystemLogs/.*.log

5. В блоке параметров Точки назначения на вкладке Основные параметры задайте следующие значения для точки назначения:
   1. В поле Название укажите название, например CommuniGate TCP collector.
   2. В раскрывающемся списке Тип выберите значение tcp.
   3. В поле URL укажите FQDN или IP-адрес и порт коллектора KUMA.
6. Нажмите на кнопку Создать.

После того как сервис агента буедт создан в Kaspersky SIEM, нужно установить агент на устройствах сетевой инфраструктуры, с которых вы хотите передавать данные в коллектор.

Создание коллектора KUMA для получения событий CommuniGate Pro

1. Импортируйте пакет [OOTB] CommuniGate Pro из репозитория KUMA. Пакет доступен для KUMA 3.0 и более новых версий.
2. Создайте новый коллектор и в мастере установки коллектора настройте следующие параметры:
   1. На шаге Транспорт в поле Тип выберите тип tcp, в поле URL укажите FQDN или IP-адрес и порт коллектора.
   2. На шаге Парсинг событий нажмите Добавить парсинг событий и в открывшемся окне Основной парсинг событий в раскрывающемся списке Нормализатор выберите нормализатор [OOTB] CommuniGate Pro.
   3. На шаге Агрегация событий нажмите Добавить правило агрегации и в открывшемся окне Агрегация событий в раскрывающемся списке Правило агрегации выберите правило агрегации [OOTB] CommuniGate Pro. Aggregation rule.
   4. На шаге Маршрутизация нажмите Добавить и в открывшемся окне Создание точки назначения последовательно создайте три точки назначения: этот же коллектор с именем Loop, хранилище и коррелятор:
      1. Создайте точку назначения с именем Loop со следующими параметрами:
         • На вкладке Основные параметры в раскрывающемся списке Тип выберите тип транспорта tcp, в поле URL укажите FQDN или IP-адрес и порт коллектора, указанные ранее на шаге 2.1 этой инструкции.
         • На вкладке Дополнительные параметры в раскрывающемся списке Фильтр выберите фильтр [OOTB] CommuniGate Pro. Filter for event aggregation.

         Настройка этих параметров необходима для отправки агрегированного события в тот же самый коллектор для дальнейшей нормализации.

      2. Создайте точку назначения коррелятора:
         • На вкладке Основные параметры в раскрывающемся списке Тип выберите correlator и заполните поле URL.
         • На вкладке Дополнительные параметры в раскрывающемся списке Фильтр выберите фильтр [OOTB] CommuniGate Pro. Aggregated events to storage and correlator.
      3. Создайте точку назначения хранилища:
         • На вкладке Основные параметры в раскрывающемся списке Тип выберите storage и заполните поле URL.
         • На вкладке Дополнительные параметры в раскрывающемся списке Фильтр выберите фильтр [OOTB] CommuniGate Pro. Aggregated events to storage and correlator.

         Настройка этих параметров необходима для отправки агрегированного нормализованного события в хранилище и коррелятор.

3. Нажмите на кнопку Создать.

   Сервис коллектора с заданными параметрами будет создан. На экране отобразится команда для установки сервиса на сервере.

4. Скопируйте команду для установки коллектора KUMA.

Установка коллектора KUMA в сетевой инфраструктуре

После завершения создания и настройки коллектора для сбора событий CommuniGate Pro требуется установить коллектор KUMA на сервере сетевой инфраструктуры, предназначенной для получения событий.

Проверка поступления событий CommuniGate Pro в коллектор KUMA

Вы можете проверить, что настройка сервера источника событий CommuniGate Pro выполнена правильно, выполнив поиск связанных событий в веб-интерфейсе Kaspersky SIEM.