Настройка экспорта событий в формате CEF

Для включения экспорта событий требуется предварительно настроить публикацию событий приложения в SIEM-систему.

Выполните инструкцию ниже на каждом узле кластера, события с которого вы хотите экспортировать в формате CEF.

Чтобы настроить экспорт событий в формате CEF:

1. Запустите командную оболочку операционной системы для выполнения команд с полномочиями суперпользователя (администратора системы).
2. Перейдите в каталог /opt/kaspersky/kwts/share/templates/core_settings и создайте резервную копию файла event_logger.json.template с помощью команды:

   cp -p event_logger.json.template event_logger.json.template.backup

3. Откройте файл event_logger.json.template на редактирование и, соблюдая синтаксис и структуру JSON-файла, в секции siemSettings укажите следующие значения параметров:

   "enabled": true,

   "facility": "Local5",

   "logLevel": "Info",

4. В веб-интерфейсе приложения в разделе Параметры → Журналы и события внесите изменение в значение любого параметра и нажмите на кнопку Сохранить.

   Это необходимо для синхронизации параметров между узлами кластера и применения изменений, внесенных в конфигурационный файл. После этого вы можете вернуть исходное значение измененного параметра.

5. Убедитесь, что изменения применены, с помощью команды:

   /opt/kaspersky/kwts/bin/kwts-control --get-settings 20 --format json | grep -A 4 siemSettings

   Ответ должен содержать параметры со значениями, указанными в п. 3.

Экспорт событий в формате CEF будет настроен.

Если вы хотите отключить экспорт событий в формате CEF, выполните шаги инструкции выше и в п. 3 установите значение параметра "enabled": false.