Настройка получения событий Linux с помощью Kaspersky Endpoint Security для Linux
В Kaspersky Endpoint Security for Linux, начиная с версии 12.2, есть возможность отправлять события из журналов Linux в коллектор LogAnalyzer. Это позволяет получить в LogAnalyzer события из журналов Linux со всех хостов, на которых установлен Kaspersky Endpoint Security for Linux версии 12.2. Чтобы активировать функционал, необходимо:
- иметь действующую лицензию LogAnalyzer.
- использовать Kaspersky Security Center 14.2 и выше.
- использовать Kaspersky Endpoint Security for Linux 12.2 или выше.
Настройка получения событий состоит из следующих этапов:
- Импорт нормализатора в LogAnalyzer.
В LogAnalyzer должно быть настроено получение обновлений через серверы обновлений "Лаборатории Касперского".
Нажмите Импорт ресурсов и выберите [OOTB] KESL syslog cef в списке доступных к установке нормализаторов.
- Создание коллектора LogAnalyzer для получения событий Linux.
Для получения событий Linux на шаге Транспорт выберите TCP или UDP и укажите номер порта, который будет прослушивать коллектор. На шаге Парсинг событий выберите нормализатор [OOTB] KESL syslog cef.
- Запрос ключа в Службе технической поддержки.
Если в вашей лицензии не было ключа активации функционала отправки журналов Linux в коллектор LogAnalyzer, направьте в Службу технической поддержки письмо следующего содержания: "У нас приобретена лицензия LogAnalyzer и используется Kaspersky Endpoint Security for Linux версии 12.2. Мы планируем активировать функционал отправки журналов Linux в коллектор LogAnalyzer. Просим предоставить файл ключа для активации соответствующего функционала". Новым пользователям LogAnalyzer не требуется писать запрос в Службу технической поддержки, поскольку новым пользователям будет предоставлено 2 ключа с лицензиями для LogAnalyzer и для активирования функционала Kaspersky Endpoint Security for Linux.
В ответ на письмо вам будет предоставлен файл ключа.
- Настройка на стороне Kaspersky Security Center и Kaspersky Endpoint Security for Linux.
Файл ключа, активирующий функционал отправки событий Linux в коллекторы LogAnalyzer, необходимо импортировать в Kaspersky Security Center и распространить по конечным устройствам Kaspersky Security Center в соответствии с инструкцией. Также необходимо в политике Kaspersky Security Center добавить адреса серверов LogAnalyzer и настроить сетевые параметры подключения.
- Проверка поступления событий Linux в коллектор LogAnalyzer.
Вы можете проверить, что настройка сервера источника событий Linux выполнена правильно, в разделе веб-интерфейса LogAnalyzer Поиск связанных событий.
Kaspersky Endpoint Security for Linux передает следующие события:
- ProcessCreate
- ProcessTerminate
- FileChange
- New user account created
- User account deleted
- Group created
- Group deleted
- New member added to a group
- Member removed from the group
- User password changed
- Linux authentication performed
- Linux session started
- Linux session finished
- Service started
- Service stopped
- Promiscuous mode modified
- Audit configuration changed
- Account expiration date changed
