McAfee Web Gateway

Настройка получения событий от системы McAfee Web Gateway (версия 7.8), поступающих по протоколу Syslog в формате CEF в Kaspersky SIEM, состоит из следующих этапов:

Создание учетной записи в McAfee Web Gateway

Настройку передачи событий необходимо выполнять под учетной записью с правами администратора:

1. В веб-интерфейсе McAfee Web Gateway откройте раздел Policy → Rule Sets.
2. Нажмите на Log Handler в нижней части левой панели веб-интерфейса.
3. Найдите нужный набор правил, разверните Default rule set и выберите в нем вложенный набор правил CEF Syslog.

   Содержимое вложенного набора правил отобразится в панели конфигурации.

4. Включите правило Send to Syslog.
5. Нажмите Save Changes.
6. Настройте отправку данных журнала аудите по syslog. Для этого перейдите в раздел Configuration → Appliances → Log File Manager → Settings.
7. Выберите Write audit log to syslog.
8. Для отправки данных по syslog измените параметры syslog-сервера rsyslog.conf, выполнив следующие действия:
   1. Перейдите в раздел Configuration → File Editor.
   2. В дереве файлов выберите файл rsyslog.conf.

      Содержимое файла отобразится на панели конфигурации.

   3. Измените файл rsyslog.conf, заменив содержимое строки *.info;mail.none;authpriv.none;cron.none /var/log/messages на *.info;daemon.!=info;mail.none;authpriv.none;cron.none -/var/log/messages.
9. Настройте отправку данных на сервер syslog в зависимости от выбранного протокола, добавив в конец файла строку:

   Для отправки данных по протоколу UDP

   daemon.info @<адрес сервера syslog в формате x.x.x.x>:<номер порта>

   Для отправки данных по протоколу TCP, добавьте в конец файла строку:

   daemon.info @@<адрес сервера syslog в формате x.x.x.x>:<номер порта>

10. Нажмите Save Changes.

Создание коллектора KUMA для получения событий McAfee Web Gateway

При создании коллектора в KUMA на шаге Парсинг событий выберите нормализатор [OOTB] McAfee Web Gateway, на шаге Транспорт выберите тип коннектора tcp или udp в соответствии с тем, что вы выбрали при настройке передачи событий McAfee Web Gateway.

Установка коллектора KUMA в сетевой инфраструктуре

После завершения создания и настройки коллектора для получения событий McAfee Web Gateway требуется установить коллектор KUMA на сервере сетевой инфраструктуры, предназначенной для получения событий.

Проверка поступления событий из McAfee Web Gateway в коллектор KUMA

Вы можете проверить, что настройка поступления событий из McAfee Web Gateway выполнена правильно, выполнив поиск связанных событий в веб-интерфейсе Kaspersky SIEM.