Ansible

Настройка получения событий от системы Ansible (версия 2.10.8), поступающих по протоколу Syslog в Kaspersky SIEM, состоит из следующих этапов:

Настройка передачи событий Ansible в KUMA

1. Проверьте, что на сервере источника событий установлен сервис rsyslog. Для этого выполните следующую команду под учетной записью с правами администратора:

   sudo systemctl status rsyslog.service

   Если сервис rsyslog не установлен на сервере, установите его, выполнив следующие команды:

   yum install rsyslog

   sudo systemctl enable rsyslog.service

   sudo systemctl start rsyslog.service

2. В директории /var/log/ создайте директорию ansible.
3. В директории /var/log/ansible создайте файл ansible.log.
4. Перейдите в рабочую директорию Ansible.

   Пример

   cd ~/ansible-playbooks/

5. Создайте или измените конфигурационный файл Ansible:

   sudo nano ansible.cfg

   Файл ansible.cfg должен выглядеть следующим образом:

   [defaults]

   log_path = /var/log/ansible/ansible.log

   log_level = INFO

   inventory = <файл инвентаризации или путь к файлу инвентаризации>

6. Перейдите в директорию /etc/rsyslog.d/ и создайте файл ansible-to-siem.conf.
7. В конфигурационный файл /etc/rsyslog.d/ansible-to-siem.conf добавьте следующие строки:

   module(load="imfile")

   input(type="imfile"

   File="/var/log/ansible/ansible.log"

   Tag="tag_Ansible_log:"

   facility="local1"

   Startmsg.regex="^[0-9]{4}-[0-9]{2}-[0-9]{2} [0-9]{2}:[0-9]{2}:[0-9]{2},[0-9]{3}"

   )

   template(name="Ansible_log" type="string"

   string="<%pri%>%timegenerated% %HOSTNAME% %syslogtag% %msg%\n"

   )

   if $syslogtag startswith 'tag_Ansible_log:' then {

   action(type="omfwd"

   target="<IP-адрес коллектора KUMA>"

   port="<порт коллектора KUMA>"

   protocol="<udp или tcp>"

   template="Ansible_log")

   stop

   }

   Если значение параметра facility local1 уже используется другой программой на сервере, измените значение параметра facility для Ansible на другое значение.

8. Сохраните изменения в конфигурационном файле /etc/rsyslog.d/ansible-to-siem.conf.
9. В конфигурационный файл /etc/rsyslog.conf добавьте следующие строки:

   $IncludeConfig /etc/rsyslog.d/ansible-to-siem.conf

   $RepeatedMsgReduction off

10. Сохраните изменения в конфигурационном файле /etc/rsyslog.conf.
11. Перезапустите сервис rsyslog:

    sudo systemctl restart rsyslog.service

Система Ansible не выполняет ротацию журналов. Чтобы снизить риск переполнения дискового пространства, рекомендуется использовать внешние инструменты ротации журналов, например Logrotate или Logadm.

Создание коллектора KUMA для получения событий Ansible

При создании коллектора в KUMA на шаге Парсинг событий выберите нормализатор [OOTB] Ansible syslog.

Установка коллектора KUMA в сетевой инфраструктуре

После завершения создания и настройки коллектора для сбора событий Ansible требуется установить коллектор KUMA на сервере сетевой инфраструктуры, предназначенной для получения событий.

Проверка поступления событий Ansible в коллектор KUMA

Вы можете проверить, что поступление событий из Ansible настроено правильно, выполнив поиск связанных событий в веб-интерфейсе Kaspersky SIEM.