SaltStack

Настройка получения событий событий от системы SaltStack (версия 3004.1), поступающих по протоколу Syslog в Kaspersky SIEM, состоит из следующих этапов:

Настройка передачи событий SaltStack в KUMA

1. Проверьте, что на сервере источника событий установлен сервис rsyslog. Для этого выполните следующую команду под учетной записью с правами администратора:

   sudo systemctl status rsyslog.service

   Если сервис rsyslog не установлен на сервере, установите его, выполнив следующие команды:

   yum install rsyslog

   sudo systemctl enable rsyslog.service

   sudo systemctl start rsyslog.service

2. Перейдите в директорию /etc/rsyslog.d/ и создайте файл saltstack-to-siem.conf.
3. Для отправки событий добавьте в конфигурационный файл /etc/rsyslog.d/saltstack-to-siem.conf следующие строки в зависимости от используемого протокола:
   • Для отправки событий по протоколу UDP:

     if $programname == 'salt-master' or $programname == 'salt-minion' then @<IP-адрес коллектора>:<порт коллектора>

     Пример

     if $programname == 'salt-master' or $programname == 'salt-minion' then @192.168.1.5:1514

   • Для отправки событий по протоколу TCP:

     if $programname == 'salt-master' or $programname == 'salt-minion' then @@<IP-адрес коллектора>:<порт коллектора>

     Пример

     if $programname == 'salt-master' or $programname == 'salt-minion' then @@192.168.1.5:1514

4. Сохраните изменения в конфигурационном файле saltstack-to-siem.conf.
5. В конфигурационный файл /etc/rsyslog.conf добавьте следующие строки:

   $IncludeConfig /etc/rsyslog.d/saltstack-to-siem.conf

   $RepeatedMsgReduction off

6. Сохраните изменения в конфигурационном файле /etc/rsyslog.conf.
7. Перезапустите сервис rsyslog:

   sudo systemctl restart rsyslog.service

Создание коллектора KUMA для получения событий SaltStack

При создании коллектора в Kaspersky SIEM на шаге Парсинг событий выберите нормализатор [OOTB] SaltStack syslog.

Установка коллектора KUMA в сетевой инфраструктуре

После завершения создания и настройки коллектора для сбора событий SaltStack требуется установить коллектор KUMA на сервере сетевой инфраструктуры, предназначенной для получения событий.

Проверка поступления событий SaltStack в коллектор KUMA

Вы можете проверить, что поступление событий из SaltStack настроено правильно, выполнив поиск связанных событий в веб-интерфейсе Kaspersky SIEM.