Настройка публикации событий приложения в SIEM-систему

Выполните инструкцию ниже на каждом узле кластера, события с которого вы хотите публиковать в SIEM-систему. Только после настройки публикации событий следует включать экспорт событий в формате CEF.

Чтобы настроить публикацию событий приложения в SIEM-систему:

1. Подключитесь к консоли управления виртуальной машиной KWTS под учетной записью root, используя закрытый ключ SSH.

   Вы войдете в режим Technical Support Mode.

2. Создайте файл /etc/rsyslog.d/kwts-cef-messages.conf и добавьте в него следующие строки:

   $ActionQueueFileName ForwardToSIEM5

   $ActionQueueMaxDiskSpace 1g

   $ActionQueueSaveOnShutdown on

   $ActionQueueType LinkedList

   $ActionResumeRetryCount -1

3. В зависимости от протокола передачи данных добавьте в файл одну из следующих строк:
   • Если вы хотите передавать события в SIEM-систему по протоколу UDP, добавьте строку:

     local5.* @<IP-адрес SIEM-системы>:<порт, на котором SIEM-система принимает сообщения от Syslog по протоколу UDP>

   • Если вы хотите передавать события в SIEM-систему по протоколу TCP, добавьте строку:

     local5.* @@<IP-адрес SIEM-системы>:<порт, на котором SIEM-система принимает сообщения от Syslog по протоколу TCP>

4. В конец файла добавьте строку:

   local5.* stop

   Пример конфигурационного файла для экспорта по протоколу UDP: $ActionQueueFileName ForwardToSIEM5 $ActionQueueMaxDiskSpace 1g $ActionQueueSaveOnShutdown on $ActionQueueType LinkedList $ActionResumeRetryCount -1 local5.* @10.16.32.64:514 local5.* stop

   Пример конфигурационного файла для экспорта по протоколу TCP: $ActionQueueFileName ForwardToSIEM5 $ActionQueueMaxDiskSpace 1g $ActionQueueSaveOnShutdown on $ActionQueueType LinkedList $ActionResumeRetryCount -1 local5.* @@10.16.32.64:514 local5.* stop

5. Перезапустите службу rsyslog. Для этого выполните команду:

   systemctl restart rsyslog

6. Проверьте статус службы rsyslog с помощью команды:

   systemctl status rsyslog

   Статус службы должен быть running.

7. Отправьте тестовое сообщение в SIEM-систему с помощью команды:

   logger -p local5.info Test message

Публикация событий приложения в SIEM-систему будет настроена.