ProFTPD

Kaspersky SIEM позволяет осуществлять мониторинг событий ProFTPD на устройствах с операционной системой Linux. Сбор и аудит событий выполняются средствами ProFTPD, после чего события передаются в Kaspersky SIEM через syslog-сервер rsyslog.

Настройка получения событий ProFTPD состоит из следующих этапов:

Настройка аудита событий ProFTPD

1. Создайте резервную копию конфигурационного файла /etc/proftpd/proftpd.conf.
2. Откройте файл proftpd.conf и добавьте или измените значения следующих параметров:

   LogFormat default "%t %a %A %b %F %H %h %l %u \"%r\" %s %{file-modified} %{gid} %{transfer-status}"

   LogFormat auth "%t %a %A %b %F %H %h %l %u \"%r\" %s %{file-modified} %{gid} %{transfer-status}"

   ExtendedLog /var/log/proftpd/access.log ALL default

   ExtendedLog /var/log/proftpd/auth.log AUTH auth

3. Сохраните изменения и перезапустите сервис, выполнив команду:

   sudo systemctl restart proftpd

Аудит событий ProFTPD будет настроен.

Система ProFTPD не выполняет ротацию журналов. Чтобы снизить риск переполнения дискового пространства, рекомендуется использовать внешние инструменты ротации журналов, например Logrotate или Logadm

Создание коллектора KUMA для событий ProFTPD

При создании коллектора в веб-интерфейсе Kaspersky SIEM на шаге Транспорт нужно указать порт и протокол, которые используются при настройке syslog-сервера для отправки событий. Для получения событий аудита из ProFTPD на шаге Парсинг событий нужно выбрать нормализатор [OOTB] Proftpd syslog.

Установка коллектора KUMA в сетевой инфраструктуре

После завершения создания и настройки коллектора для сбора событий ProFTPD требуется установить коллектор KUMA на сервере сетевой инфраструктуры, предназначенной для получения событий.

Настройка syslog-сервера для отправки событий

Для передачи событий от сервера в коллектор KUMA используется сервис rsyslog.

1. Проверьте, что на сервере источника событий установлен сервис rsyslog. Для этого выполните следующую команду:

   systemctl status rsyslog.service

   Если сервис rsyslog не установлен на сервере, установите его, выполнив следующие команды:

   yum install rsyslog

   systemctl enable rsyslog.service

   systemctl start rsyslog.service

2. В директории /etc/rsyslog.d создайте файл proftpd.conf со следующим содержанием в зависимости от используемого протокола:
   • Для отправки событий по протоколу TCP:

     $ModLoad imfile

     $InputFileName /var/log/proftpd/*.log

     $InputFileTag tag_proftpd_log:

     $InputFileStateFile proftpd_log

     $InputRunFileMonitor

     if $syslogtag contains 'tag_proftpd_log' then {

     *.* action(type="omfwd" target="@<IP-адрес коллектора KUMA>" port="<порт коллектора KUMA>" protocol="tcp")

     stop

     }

   • Для отправки событий по протоколу UDP:

     $ModLoad imfile

     $InputFileName /var/log/proftpd/*.log

     $InputFileTag tag_proftpd_log:

     $InputFileStateFile proftpd_log

     $InputRunFileMonitor

     if $syslogtag contains 'tag_proftpd_log' then {

     *.* action(type="omfwd" target="@<IP-адрес коллектора KUMA>" port="<порт коллектора KUMA>" protocol="udp")

     stop

     }

3. Сохраните изменения в файле proftpd.conf.
4. Перезапустите сервис rsyslog, выполнив следующую команду:

   systemctl restart rsyslog.service

   Сервер источника событий настроен. Данные о событиях будут передаваться с сервера в коллектор KUMA.

Проверка поступления событий ProFTPD в коллектор KUMA

Вы можете проверить, что настройка поступления событий из ProFTPD выполнена правильно, выполнив поиск связанных событий в веб-интерфейсе Kaspersky SIEM.