Vsftpd

Kaspersky SIEM позволяет осуществлять мониторинг событий Vsftpd на устройствах с операционной системой Linux. Сбор и аудит событий выполняются средствами Vsftpd, после чего события передаются в Kaspersky SIEM через syslog-сервер rsyslog.

Настройка получения событий Vsftpd состоит из следующих этапов:

Настройка аудита событий Vsftpd

1. Создайте резервную копию конфигурационного файла /etc/vsftpd/vsftpd.conf.
2. Откройте файл vsftpd.conf и добавьте или измените значения следующих параметров:

   xferlog_enable=YES

   xferlog_std_format=NO

   xferlog_file=/var/log/vsftpd.log

   log_ftp_protocol=YES

3. Сохраните изменения и перезапустите сервис, выполнив команду:

   sudo systemctl restart vsftpd

Аудит событий Vsftpd будет настроен.

Система Vsftpd не выполняет ротацию журналов. Чтобы снизить риск переполнения дискового пространства, рекомендуется использовать внешние инструменты ротации журналов, например Logrotate или Logadm.

Создание коллектора KUMA для событий Vsftpd

При создании коллектора в веб-интерфейсе KUMA на шаге Транспорт нужно указать порт и протокол, которые используются при настройке syslog-сервера для отправки событий. Для получения событий аудита из Vsftpd на шаге Парсинг событий нужно выбрать нормализатор [OOTB] Vsftpd syslog.

Установка коллектора KUMA в сетевой инфраструктуре

После завершения создания и настройки коллектора для сбора событий Vsftpd требуется установить коллектор KUMA на сервере сетевой инфраструктуры, предназначенной для получения событий.

Настройка syslog-сервера для отправки событий

Для передачи событий от сервера в коллектор KUMA используется сервис rsyslog.

1. Проверьте, что на сервере источника событий установлен сервис rsyslog. Для этого выполните следующую команду:

   systemctl status rsyslog.service

   Если сервис rsyslog не установлен на сервере, установите его, выполнив следующие команды:

   yum install rsyslog

   systemctl enable rsyslog.service

   systemctl start rsyslog.service

2. В директории /etc/rsyslog.d создайте файл vsftpd.conf со следующим содержанием в зависимости от используемого протокола:
   • Для отправки событий по протоколу TCP:

     $ModLoad imfile

     $InputFileName /var/log/vsftpd.log

     $InputFileTag tag_vsftpd_log:

     $InputFileStateFile vsftpd_log

     $InputRunFileMonitor

     *.* @@<IP-адрес коллектора KUMA>:<порт коллектора KUMA>

     Пример

     *.* @@192.1.3.4:5858

   • Для отправки событий по протоколу UDP:

     $ModLoad imfile

     $InputFileName /var/log/vsftpd.log

     $InputFileTag tag_vsftpd_log:

     $InputFileStateFile vsftpd_log

     $InputRunFileMonitor

     *.* @<IP-адрес коллектора KUMA>:<порт коллектора KUMA>

     Пример

     *.* @192.1.3.4:5858

3. Сохраните изменения в файле vsftpd.conf.
4. Перезапустите сервис rsyslog, выполнив следующую команду:

   systemctl restart rsyslog.service

Сервер источника событий будет настроен. Данные о событиях будут передаваться с сервера в коллектор KUMA.

Проверка поступления событий Vsftpd в коллектор KUMA

Вы можете проверить, что настройка поступления событий из Vsftpd выполнена правильно, выполнив поиск связанных событий в веб-интерфейсе Kaspersky SIEM.