Apache Tomcat

Kaspersky SIEM позволяет осуществлять мониторинг событий аудита веб-сервера Apache Tomcat версий 9.0 и выше, 10.1 и выше и 11.0 и выше, развернутого на устройствах с операционной системой Linux. Сбор и аудит событий выполняются средствами Apache Tomcat, после чего события передаются в Kaspersky SIEM через syslog-сервер rsyslog.

Настройка получения событий Apache Tomcat состоит из следующих этапов:

Настройка аудита событий Apache Tomcat

1. Подключитесь по протоколу SSH к серверу Apache Tomcat под учетной записью с правами администратора.

   Дальнейшие шаги инструкции предполагают, что на сервере настроены стандартные переменные среды $CATALINA_HOME и $JAVA_HOME.

   Подробнее о переменных см. в руководстве по установке Apache Tomcat.

2. Выполните резервное копирование исходного конфигурационного файла с помощью команды:

   sudo cp $CATALINA_HOME/conf/server.xml $CATALINA_HOME/conf/server_backup.xml

3. Откройте конфигурационный файл Apache Tomcat с помощью команды:

   sudo vi $CATALINA_HOME/conf/server.xml

4. Найдите элемент <Valve className="org.apache.catalina.valves.AccessLogValve" ... /> и замените его на следующий вариант с использованием JsonAccessLogValve:

   <Valve className="org.apache.catalina.valves.JsonAccessLogValve" directory="logs"

   prefix="access_log" suffix=".txt"

   maxDays="7"

   pattern="%h %a %t %m %U %q %r %H %A %v %p %s %b %X %I %{User-Agent}i %{Cookie}c"/>

   Если невозможно использовать JsonAccessLogValve, оставьте AccessLogValve, но задайте расширенный шаблон, чтобы увеличить объем собираемых полей:

   pattern="host=%h|remoteAddr=%a|time=%t|method=%m|path=%U|query=%q|request=%r|protocol=%H|localAddr=%A|localServerName=%v|port=%p|code=%s|size=%b|connectionStatus=%X|threadName=%I|User-Agent=%{User-Agent}i|Cookie=%{Cookie}c"

   Пример конфигурации с AccessLogValve:

   <Valve className="org.apache.catalina.valves.AccessLogValve" directory="logs"

   prefix="access_log" suffix=".txt"

   maxDays="7"

   pattern="host=%h|remoteAddr=%a|time=%t|method=%m|path=%U|query=%q|request=%r|protocol=%H|localAddr=%A|localServerName=%v|port=%p|code=%s|size=%b|connectionStatus=%X|threadName=%I|User-Agent=%{User-Agent}i|Cookie=%{Cookie}c"/>

   Нормализатор также поддерживает шаблоны Common и Combined для AccessLogValve и JsonAccessLogValve.

5. Перезапустите веб-сервер Apache Tomcat с помощью следующих команд:

   sudo $CATALINA_HOME/bin/shutdown.sh

   sudo $CATALINA_HOME/bin/startup.sh

   sudo systemctl restart tomcat.service

Аудит событий Apache Tomcat будет настроен.

Создание коллектора KUMA для событий Apache Tomcat

При создании коллектора в веб-интерфейсе Kaspersky SIEM на шаге Парсинг событий нужно выбрать нормализатор [OOTB] Apache Tomcat.

Установка коллектора KUMA в сетевой инфраструктуре

После завершения создания и настройки коллектора для сбора событий Apache Tomcat требуется установить коллектор KUMA на сервере сетевой инфраструктуры, предназначенной для получения событий.

Настройка syslog-сервера для отправки событий

Для передачи событий от сервера в коллектор KUMA используется сервис rsyslog.

1. Проверьте, что на сервере, являющимся источником событий, установлен сервис rsyslog. Для этого выполните следующую команду:

   systemctl status rsyslog.service

   Если сервис запущен, то отобразится уведомление следующего вида:

   Active: active (running) since Tue 2025-09-23 15:31:30 MSK; 1 week 0 days ago

   Если сервис rsyslog не установлен на сервере, установите его, выполнив следующие команды:

   sudo apt install rsyslog

   sudo systemctl enable rsyslog.service

   sudo systemctl start rsyslog.service

2. Проверьте синтаксис в конфигурационном файле с помощью следующей команды:

   rsyslogd -N1

   Возможные сообщения при проверке конфигурационного файла

   Если в конфигурационном файле синтаксические ошибки отсутствуют, сервис rsyslog отобразит следующие уведомления:

   rsyslogd: version 8.2112.0, config validation run (level 1), master config /etc/rsyslog.conf

   rsyslogd: End of config validation run. Bye.

   Если в конфигурационном файле найдены синтаксические ошибки, сервис rsyslog сообщит, в чем заключается ошибка, например:

   rsyslogd: version 8.2112.0, config validation run (level 1), master config /etc/rsyslog.conf

   rsyslogd: module 'imfile' already in this config, cannot be added [v8.2112.0 try https://www.rsyslog.com/e/2221 ]

   rsyslogd: module 'imfile' already in this config, cannot be added [v8.2112.0 try https://www.rsyslog.com/e/2221 ]

   rsyslogd: parameter "maxLinesAtOnce" not permited in inotify mode - ignored [v8.2112.0 try https://www.rsyslog.com/e/2222 ]

   rsyslogd: $WorkDirectory: /var/lib/rsyslog not a directory - directive ignored [v8.2112.0 try https://www.rsyslog.com/e/2181 ]

   rsyslogd: imfile: no working or state file directory set, imfile will create state files in the current working directory (probably the root dir). Use global(workDirectory="/some/path") to set the working directory [v8.2112.0 try https://www.rsyslog.com/e/2450]

3. Откройте конфигурационный файл rsyslog.conf, выполнив следующую команду:

   sudo vi /etc/rsyslog.conf

4. Проверьте, что в файле указана строка, разрешающая загрузку конфигураций из директории /etc/rsyslog.d, выполнив следующие команды

   # Include all config files in /etc/rsyslog.d/

   include(file="/etc/rsyslog.d/*.conf" mode="optional")

5. Создайте конфигурационный файл apache_tomcat_to_siem.conf в директории /etc/rsyslog.d/ с помощью следующей команды:

   sudo touch /etc/rsyslog.d/apache_tomcat_to_siem.conf

6. Откройте созданный конфигурационный файл apache_tomcat_to_siem.conf с помощью следующей команды:

   sudo vi /etc/rsyslog.d/apache_tomcat_to_siem.conf

7. Выполните следующую команду, чтобы узнать абсолютный путь к директории Apache Tomcat:

   printenv CATALINA_HOME

   Абсолютный путь нужен для того, чтобы указать его в конфигурационном файле, так как сервис rsyslog не поддерживает использование переменных окружения.

8. Добавьте в конфигурационный файл правила для чтения Access Log и пересылки данных на коллектор KUMA:

   input(

   type="imfile"

   File="<абсолютный_путь_из_пункта 7>/logs/access_log*.txt"

   Tag="apachetomcat"

   )

   if $programname == "apachetomcat" then {

   action(

   type="omfwd"

   target="<FQDN_или_IP-адрес_коллектора_KUMA>"

   port="<порт_коллектора_KUMA>"

   protocol="<udp_или_tcp>"

   )

   }

9. Проверьте синтаксис в конфигурационном файле на наличие ошибок с помощью следующей команды (см. пункт 2 инструкции):

   rsyslogd -N1

10. Перезагрузите сервис rsyslog с помощью команды:

    sudo systemctl restart rsyslog

11. Проверьте, что сервис rsyslog запущен и работает правильно, выполнив следующую команду:

    sudo systemctl status rsyslog

Передача событий от сервера, на котором установлена система Apache Tomcat, в коллектор будет настроена.

Проверка поступления событий Apache Tomcat в коллектор KUMA

Вы можете проверить, что настройка поступления событий из Apache Tomcat выполнена правильно, выполнив поиск связанных событий в веб-интерфейсе Kaspersky SIEM.