Настройка передачи событий в SIEM-систему
06 октября 2026
ID 269371
Kaspersky NGFW позволяет настроить передачу событий в SIEM-систему в формате CEF или syslog.
Перед настройкой отправки событий вам нужно выполнить следующие действия:
- Настроить коннектор SIEM-системы.
- Настроить SIEM-систему.
- Убедиться, что в правилах фильтрации и в профилях механизмов безопасности, для которых вы хотите отправлять события безопасности, включено ведения журнала.
- Для передачи системных событий выбрать типы событий, которые вы хотите отправлять в SIEM-систему.
- Убедиться, что включены соответствующие события аудита.
По умолчанию передача событий в SIEM-систему выключена.
Статус подключения к SIEM-системе (если возможно отследить для выбранного протокола) и действия с сертификатом SIEM-сервера записываются в файл системных событий.
При невозможности отправки сообщений безопасности в SIEM-систему на SNMP-сервер отправляются SNMP-ловушки.
Вы можете уменьшить периоды возможных разрывов соединения устройств Kaspersky NGFW с коллектором SIEM-системы следующими способами:
- Располагая коллекторы рядом с каждым устройством Kaspersky NGFW в Центре обработки данных или в филиале.
- Обеспечивая резервные каналы связи для подключения филиала к коллектору.
- Размещая резервные коллекторы на независимых друг от друга серверах, подключенных в сеть разными каналами связи.
После перезагрузки устройства Kaspersky NGFW настроенные параметры подключения к SIEM-системе сохраняются.
На стороне устройства Kaspersky NGFW не проверяется доступность коллекторов SIEM-системы. Для контроля доступности коллекторов используйте механизмы на стороне коллекторов с отправкой уведомлений при недоступности источника событий.
Чтобы просматривать каждый журнал событий как отдельный журнал (из всего потока событий в KUMA), используется скрипт с набором сохраненных SQL-запросов, которые формируют префильтры, использующиеся при отображении событий в каждом журнале событий безопасности.
