Настройка публикации событий приложения в SIEM-систему

Вы можете настроить публикацию событий в формате CEF во внешнюю SIEM-систему. Порядок настройки публикации событий KWTS под управлением Astra Linux Special Edition отличается от порядка настройки KWTS под управлением других операционных систем.

Выполните инструкцию ниже на каждом узле кластера, события с которого вы хотите публиковать в SIEM-систему. Только после настройки публикации событий следует включать экспорт событий в формате CEF.

Настройка публикации событий приложения под управлением Red Hat Enterprise Linux, Rocky Linux, РЕД ОС, Ubuntu, Debian и Альт Сервер

События передаются во внешнюю SIEM-систему с помощью системной службы ведения журналов rsyslog.

Чтобы настроить публикацию событий приложения в SIEM-систему:

1. Запустите командную оболочку операционной системы на узле кластера для выполнения команд с полномочиями суперпользователя (администратора системы).
2. Убедитесь, что служба rsyslog установлена и запущена, с помощью команды:

   systemctl status rsyslog

   Статус службы должен быть running.

   Если служба rsyslog не запущена или отсутствует, установите и активируйте службу rsyslog согласно документации вашей операционной системы.

3. Создайте файл /etc/rsyslog.d/kwts-cef-messages.conf и добавьте в него следующие строки:

   $ActionQueueFileName ForwardToSIEM5

   $ActionQueueMaxDiskSpace 1g

   $ActionQueueSaveOnShutdown on

   $ActionQueueType LinkedList

   $ActionResumeRetryCount -1

4. В зависимости от протокола передачи данных добавьте в файл одну из следующих строк:
   • Если вы хотите передавать события в SIEM-систему по протоколу UDP, добавьте строку:

     local5.* @<IP-адрес SIEM-системы>:<порт, на котором SIEM-система принимает сообщения от Syslog по протоколу UDP>

   • Если вы хотите передавать события в SIEM-систему по протоколу TCP, добавьте строку:

     local5.* @@<IP-адрес SIEM-системы>:<порт, на котором SIEM-система принимает сообщения от Syslog по протоколу TCP>

5. В конец файла добавьте строку:

   local5.* stop

   Пример конфигурационного файла для экспорта по протоколу UDP: $ActionQueueFileName ForwardToSIEM5 $ActionQueueMaxDiskSpace 1g $ActionQueueSaveOnShutdown on $ActionQueueType LinkedList $ActionResumeRetryCount -1 local5.* @10.16.32.64:514 local5.* stop

   Пример конфигурационного файла для экспорта по протоколу TCP: $ActionQueueFileName ForwardToSIEM5 $ActionQueueMaxDiskSpace 1g $ActionQueueSaveOnShutdown on $ActionQueueType LinkedList $ActionResumeRetryCount -1 local5.* @@10.16.32.64:514 local5.* stop

6. Перезапустите службу rsyslog. Для этого выполните команду:

   systemctl restart rsyslog

7. Проверьте статус службы rsyslog с помощью команды:

   systemctl status rsyslog

   Статус службы должен быть running.

8. Отправьте тестовое сообщение в SIEM-систему с помощью команды:

   logger -p local5.info Test message

Публикация событий приложения в SIEM-систему будет настроена.

Настройка публикации событий приложения под управлением Astra Linux Special Edition

В операционной системе Astra Linux Special Edition события передаются во внешнюю SIEM-систему с помощью системной службы ведения журналов syslog-ng.

Чтобы настроить публикацию событий приложения в SIEM-систему:

1. Запустите командную оболочку операционной системы для выполнения команд с полномочиями суперпользователя (администратора системы).
2. Убедитесь, что служба syslog-ng установлена и запущена, с помощью команды:

   systemctl status syslog-ng

   Статус службы должен быть running.

   Если служба syslog-ng не запущена или отсутствует, установите и активируйте службу syslog-ng согласно документации операционной системы.

3. Создайте файл /etc/syslog-ng/conf.d/kwts-cef-messages.conf и добавьте в него следующую строку:

   filter f_kwtscef { facility(local5); };

4. В зависимости от протокола передачи данных добавьте в файл одну из следующих строк:
   • Если вы хотите передавать события в SIEM-систему по протоколу UDP:

     destination d_kwtscef_forward { network("<IP-адрес SIEM-системы>" transport("udp") port(<порт, на котором SIEM-система принимает сообщения от Syslog по протоколу UDP>)); };

   • Если вы хотите передавать события в SIEM-систему по протоколу TCP:

     destination d_kwtscef_forward { network("<IP-адрес SIEM-системы>" transport("tcp") port(<порт, на котором SIEM-система принимает сообщения от Syslog по протоколу TCP>)); };

5. Добавьте в конец файла строку:

   log { source(s_src); filter(f_kwtscef); destination(d_kwtscef_forward); };

   Пример конфигурационного файла для экспорта по протоколу UDP: filter f_kwtscef { facility(local5); }; destination d_kwtscef_forward { network("10.16.32.64" transport("udp") port(514)); }; log { source(s_src); filter(f_kwtscef); destination(d_kwtscef_forward); };

   Пример конфигурационного файла для экспорта по протоколу TCP: filter f_kwtscef { facility(local5); }; destination d_kwtscef_forward { network("10.16.32.64" transport("tcp") port(514)); }; log { source(s_src); filter(f_kwtscef); destination(d_kwtscef_forward); };

6. Перезапустите службу syslog-ng. Для этого выполните команду:

   systemctl restart syslog-ng

7. Проверьте статус службы syslog-ng c помощью команды:

   systemctl status syslog-ng

   Статус службы должен быть running.

8. Отправьте тестовое сообщение в SIEM-систему при помощи команды:

   logger -p local5.info Test message

Публикация событий приложения в SIEM-систему будет настроена.