1. Разрешите на сетевом оборудовании прохождение сетевого трафика с IP-адреса Вычислительного кластера «Вебмониторэкс» 158.160.45.107.
2. Сформируйте SSL/TLS-сертификат, например с помощью команды:
   openssl req -x509 -nodes -newkey rsa:2048 -keyout /etc/server.key -out /etc/server.crt -days 365

1. Откройте консоль управления «Вебмониторэкс».
2. Перейдите в Настройки → Интеграции и откройте окно настройки интеграции с Logstash.
3. Выберите значение Logstash.
4. Укажите в параметре Logstash URL адрес сервера Logstash в инфраструктуре вашей организации в формате:
   https://<FQDN или IP-адрес сервера Logstash>:<порт>/
   Например: https://example.com:5044/
5. Выберите в параметре Тип запроса значение Post.
6. Укажите в параметре Корневой сертификат содержимое файла /etc/server.key, созданного в шаге 1.
7. Установите флажок Проверять TLS-сертификат.
8. Установите в параметре Уведомлять о событиях флажки:
   • Обнаружен хит;
   • Системные события;
   • Обнаружена уязвимость (Высокий риск, Средний риск, Низкий риск);
   • Изменения правил и триггеров;
   • Изменение набора публичных ресурсов.
9. Установите в параметре Количество запросов за 1 час флажок Регулярные уведомления.
10. Нажмите Сохранить.

Инструкция ниже применима к Logstash версии 8.9.0. Вы можете посмотреть документацию ПО Logstash для всех версий по ссылке.

1. Разверните в инфраструктуре организации сервер с ПО Logstash.
2. Скопируйте SSL/TLS-сертификат, созданный в шаге 1, и ключ на сервер Logstash в директорию /etc.
3. Создайте конфигурационный файл /etc/logstash/conf.d/siem.conf со следующим содержимым:
   1. Задайте в параметре input плагин http.
   2. Задайте в параметре port порт, который будет прослушивать Logstash.
   3. Задайте в параметре ssl_sertificate путь к SSL/TLS-сертификату.
   4. Задайте в параметре ssl_key путь к ключу SSL/TLS-сертификата.
   5. Задайте в параметре output протокол, который будет использоваться для отправки событий в коллектор KUMA. Например, UDP.
   6. Задайте в параметре host IP-адрес или FQDN-имя коллектора KUMA.
   7. Задайте в параметре port порт, который прослушивает коллектор KUMA.
   8. Задайте в параметре codec значения json.
   Шаблон конфигурационного файла:
   # Получение данных
   input {
     # Плагин для HTTP/HTTPS
     http {
       port => <порт приема входящих сообщений>
       host => "<IP-адрес, который будет слушать Logstash (0.0.0.0 для всех интерфейсов)>"
       # Обработка HTTPS‑соединения
       ssl => true
       # TLS-сертификат для Logstash
       ssl_certificate => "/etc/server.crt"
       # Приватный ключ сертификата
       ssl_key => "/etc/server.key"
     }
   }
   output {
     # Плагин вывода для перенаправления событий через UDP/TCP
     udp {
       host => "<IP-адрес коллектора KUMA для перенаправления событий>"
       port => <порт коллектора KUMA для перенаправления событий>
       # Формат перенаправляемых событий json
       codec => json
     }
     # Плагин вывода для печати событий Logstash в командной строке
     stdout {}
   }
   Пример заполненного конфигурационного файла:
   input {
     http {
       port => 5141
       host => "0.0.0.0"
       ssl => true
       ssl_certificate => "/etc/server.crt"
       ssl_key => "/etc/server.key"
     }
   }
   output {
     udp {
       host => "10.10.10.10"
       port => 5544
       codec => json
     }
     stdout {}
   }
4. Перезапустите сервис Logstash с помощью команды:
   sudo systemctl restart logstash.service

1. Откройте веб-интерфейс KUMA.
2. Создайте коллектор KUMA.
3. Выберите на шаге Транспорт тип UDP и задайте в параметре url <FQDN/IP-адрес коллектора KUMA>:<порт>.
4. Импортируйте из репозитория KUMA пакет [OOTB] Webmonitorx json.
5. Выберите на шаге Парсинг событий нормализатор [OOTB] Webmonitorx json.
6. Укажите на шаге Маршрутизация необходимые точки назначения.
7. Выберите на шаге Проверка опцию Сохранить и создать сервис.
8. Установите коллектор в сетевой инфраструктуре KUMA по инструкции.
9. Проверьте, что события «‎Вебмониторэкс» поступают в коллектор KUMA.
10. Выполните по инструкции поиск связанных событий, чтобы убедиться, что настройка сервера источника событий «‎Вебмониторэкс» выполнена правильно.