Настройка передачи событий безопасности

Чтобы настроить передачу событий безопасности в SIEM-систему:

1. В главном меню Консоли Open Single Management Platform перейдите в раздел Приложения и сервисы → NGFW.
2. Перейдите к настройке передачи событий безопасности в SIEM-систему одним из следующих способов:
   • Если вы хотите настроить параметры соединения с SIEM-системой в сетевом шаблоне, в меню откройте вкладку Сетевые шаблоны, нажмите на сетевой шаблон и перейдите в раздел Система → События.
   • Если вы хотите настроить параметры соединения с SIEM-системой на устройстве, в меню откройте вкладку Устройства, нажмите на устройство и перейдите в раздел Система → События.

   Откроется страница События на вкладке Системные события.

3. Перейдите на вкладку События безопасности.
4. При настройке подключения к SIEM-системе на устройстве включите переключатель Переопределить, чтобы разблокировать для изменения параметры, унаследованные от сетевого шаблона.
5. В блоке параметров Параметры SIEM-системы включите переключатель Статус.
6. В поле IPv4-адрес введите IPv4-адрес или доменное имя коллектора SIEM-системы.
7. В поле Протокол выберите тип протокола для подключения к SIEM-системе (UDP, TCP или TCP с TLS-шифрованием).

   Протокол TCP с TLS-шифрованием отправляет события в зашифрованном виде, используя TLS-шифрование. Kaspersky NGFW поддерживает TLS-шифрование версии 1.2 и выше.

   Если события передаются в SIEM-систему в открытом виде (например, если вы используете UDP-соединение или не используете TLS-шифрование при TCP-соединении), то не рекомендуется использовать открытые каналы связи через сети общего пользования.

8. В поле Порт введите номер порта, с помощью которого будет произведено подключение к SIEM-системе. Указанный порт должен совпадать с портом, настроенным на SIEM-системе для приема событий. Порт по умолчанию – 5150.
9. В поле VRF выберите ранее созданный VRF, через который будет осуществляться отправка событий в SIEM-систему. По умолчанию выбран VRF Main.
10. Если вы выбрали протокол TCP с TLS-шифрованием, загрузите SSL-сертификат для аутентификации SIEM-сервера и отправки шифрованных событий. Для этого в поле Публичный сертификат CA нажмите на кнопку Загрузить и в открывшемся окне выберите нужный файл сертификата. Если сертификат не может быть загружен, отобразится сообщение об ошибке с описанием причины.

    Сертификат должен соответствовать следующим требованиям:

    • Файл должен быть текстового формата (PEM) или бинарного формата (ASN.1).
    • Рекомендуется использовать файл с расширениями .crt, .cer, .cert, .pem, .der. При этом допускается использовать другие форматы.
    • Максимальный размер файла – 64 КБ.
    • Поддерживаются следующие алгоритмы шифрования:
      • ED25519;
      • RSA.
    • Максимальная поддерживаемая длина ключа:
      • для ключей ED25519 – 256 бит;
      • для ключей RSA – 2048 бит.
    • Сертификат должен быть действующим. Вы не сможете загрузить просроченный сертификат или сертификат, срок действия которого еще не начался.
    • Значение поля Общее имя не должно быть пустым.

    Вы можете просмотреть сертификат, нажав Просмотреть. Невозможно скачать сертификат или удалить его. Вы можете только загрузить другой сертификат вместо уже загруженного.

    Администратор, который загружает сертификат SIEM-сервера, гарантирует доверие этому сертификату.

11. Нажмите Сохранить или Сохранить и закрыть, чтобы сохранить изменения.

В SIEM-систему будут отправляться события механизмов безопасности, в профилях которых вы настроили ведение журнала и которые добавлены в правила фильтрации.

В журнале сессий для событий с типом Firewall записи создаются только после удаления сессии. Пока сессия активна, вся информация о ней отображается в Менеджере сессий. В журналах событий механизмов безопасности записи создаются сразу после срабатывания действия, указанного в профиле, или исключения.

Если событие невозможно отправить в коллектор SIEM-системы, оно сохраняется в буфере. В случае переполнения буфера новые события сохраняются в буфер поверх самых старых событий. При этом вытесненные из буфера старые события сохраняются локально во временный файл на устройстве. Вы также можете настроить постоянное локальное хранение событий.

После восстановления соединения события из буфера и временных файлов отправляются в SIEM-систему.