TeamPass

Перед настройкой убедитесь, что таблицы базы данных TeamPass имеют префикс «teampass_». Если префикс другой, то необходимо изменить название таблиц в запросах коннектора [OOTB] TeamPass MySQL на название, используемое в вашем экземпляре.

Настройка получения событий системы TeamPass (версия 3.1) из БД MySQL в Kaspersky SIEM состоит из следующих этапов:

Создание учетной записи в MySQL

Настройку передачи событий требуется выполнять под учетной записью с минимально необходимым набором прав для подключения и чтения данных в таблицах.

1. Запустите командную строку на сервере, где установлен MySQL.
2. Авторизуйтесь в СУБД под учетной записью администратора:

   mysql --user=root --password=<password> --database=<database name>

3. Создайте учетную запись:

   CREATE USER <login> IDENTIFIED BY '<password>';

4. Предоставьте учетной записи права на чтение БД:

   GRANT SELECT ON <database>.* TO <login>;

5. Примените изменения:

   FLUSH PRIVILEGES;

   EXIT

   Учетная запись создана.

6. Проверьте доступ к базе данных, выполнив следующие действия:
   1. Запустите командную строку на сервере, где установлен MySQL.
   2. Определите порт подключения к СУБД:

      mysql --user=root --password=<password> -e "SHOW VARIABLES LIKE 'port';"

      Порт по умолчанию 3306.

   3. Выполните запрос к базе данных под новой учетной записью:

      mysql -h <server> --user=<login> --password=<password> -P <port> <database name> -e "SELECT ls.id AS id, ls.type AS category, ls.date AS date, ls.label AS action, ls.qui AS suser_id, ls.field_1 AS duser_id, tu1.login AS suser, tu2.login AS duser FROM teampass_log_system AS ls LEFT JOIN teampass_users tu1 ON ls.qui = tu1.id LEFT JOIN teampass_users tu2 ON ls.field_1 = tu2.id ORDER BY ls.id"

   При наличии доступа к базе данных на экране отобразится результат запроса.

Создание секрета

После создания и настройки учетной записи в MySQL требуется добавить секрет в веб-интерфейсе Kaspersky SIEM. Этот ресурс используется для хранения учетных данных для подключения к MySQL.

1. В веб-интерфейсе откройте раздел Ресурсы → Секреты.

   Отобразится список доступных секретов.

2. Выберите секрет [OOTB] TeamPass MySQL.

   Откроется окно секрета

3. В поле URL укажите строку вида:

   mysql://<user>:<password>@tcp(<server>:<port>)/<database>

   где:

   • user – имя созданной учетной записи MySQL с правами для подключения и работы с базой данных.
   • password – пароль созданной учетной записи MySQL.
   • server – имя или IP-адрес сервера с базой данных MySQL.
   • database_name – имя базы данных TeamPass.

   Пример

   mysql://user:password@tcp(teampass.example.com:3306)/teampass_db

   Если в пароле учетной записи MS SQL используются специальные символы (@ # $ % & * ! + = [ ] : ' , ? / \ ` ( ) ;), переведите их в формат URL.

4. Нажмите Сохранить.

   Для безопасности после сохранения секрета строка, указанная в поле URL, скрывается.

Создание коллектора KUMA для получения событий TeamPass

При создании коллектора в Kaspersky SIEM на шаге Транспорт выберите коннектор [OOTB] TeamPass MySQL, на шаге Парсинг событий выберите нормализатор [OOTB] TeamPass SQL.

Установка коллектора KUMA в сетевой инфраструктуре

После завершения создания и настройки коллектора для получения событий TeamPass требуется установить коллектор KUMA на сервере сетевой инфраструктуры, предназначенной для получения событий.

Проверка поступления событий из TeamPass в коллектор KUMA

Вы можете проверить, что настройка поступления событий из TeamPass выполнена правильно, выполнив поиск связанных событий в веб-интерфейсе Kaspersky SIEM.