Настройка передачи системных событий

Системные события хранятся в той же области, что и системные журналы, поэтому ограничения и параметры хранения, действующие для системных журналов, распространяются также и на системные события.

Чтобы настроить передачу системных событий в SIEM-систему:

1. В главном меню Консоли Open Single Management Platform перейдите в раздел Приложения и сервисы → NGFW.
2. Перейдите к настройке передачи системных событий в SIEM-систему одним из следующих способов:
   • Если вы хотите настроить параметры соединения с SIEM-системой в сетевом шаблоне, в меню откройте вкладку Сетевые шаблоны, нажмите на сетевой шаблон и перейдите в раздел Система → События.
   • Если вы хотите настроить параметры соединения с SIEM-системой на устройстве, в меню откройте вкладку Устройства, нажмите на устройство и перейдите в раздел Система → События.

   Откроется страница События на вкладке Системные события.

3. При настройке подключения к SIEM-системе на устройстве включите переключатель Переопределить, чтобы разблокировать для изменения параметры, унаследованные от сетевого шаблона.
4. В блоке параметров Параметры SIEM-системы включите переключатель Статус.
5. В поле IPv4-адрес введите IPv4-адрес или доменное имя коллектора SIEM-системы.
6. В поле Протокол выберите тип протокола для подключения к SIEM-системе (UDP, TCP или TCP с TLS-шифрованием).

   Протокол TCP с TLS-шифрованием отправляет события в зашифрованном виде, используя TLS-шифрование. Kaspersky NGFW поддерживает TLS-шифрование версии 1.2 и выше.

   Если события передаются в SIEM-систему в открытом виде (например, если вы используете UDP-соединение или не используете TLS-шифрование при TCP-соединении), то не рекомендуется использовать открытые каналы связи через сети общего пользования.

7. В поле Порт введите номер порта, с помощью которого будет произведено подключение к SIEM-системе. Указанный порт должен совпадать с портом, настроенным на SIEM-системе для приема событий. Порт по умолчанию – 5150.
8. В поле VRF выберите ранее созданный VRF, через который будет осуществляться отправка событий в SIEM-систему. По умолчанию выбран VRF Main.
9. Если вы выбрали протокол TCP с TLS-шифрованием, загрузите SSL-сертификат для аутентификации SIEM-сервера и отправки шифрованных событий. Для этого в поле Публичный сертификат CA нажмите на кнопку Загрузить и в открывшемся окне выберите нужный файл сертификата. Если сертификат не может быть загружен, отобразится сообщение об ошибке с описанием причины.

   Сертификат должен соответствовать следующим требованиям:

   • Файл должен быть текстового формата (PEM) или бинарного формата (ASN.1).
   • Рекомендуется использовать файл с расширениями .crt, .cer, .cert, .pem, .der. При этом допускается использовать другие форматы.
   • Максимальный размер файла – 64 КБ.
   • Поддерживаются следующие алгоритмы шифрования:
     • ED25519;
     • RSA.
   • Максимальная поддерживаемая длина ключа:
     • для ключей ED25519 – 256 бит;
     • для ключей RSA – 2048 бит.
   • Сертификат должен быть действующим. Вы не сможете загрузить просроченный сертификат или сертификат, срок действия которого еще не начался.
   • Значение поля Общее имя не должно быть пустым.

   Вы можете просмотреть сертификат, нажав Просмотреть. Невозможно скачать сертификат или удалить его. Вы можете только загрузить другой сертификат вместо уже загруженного.

   Администратор, который загружает сертификат SIEM-сервера, гарантирует доверие этому сертификату.

10. Нажмите Сохранить или Сохранить и закрыть, чтобы сохранить изменения.

Подключение к SIEM-системе для передачи системных событий настроено.

Далее вам необходимо выбрать, какие системные события отправлять в SIEM-систему. Для этого на этой же странице на вкладке Системные события в блоке параметров Запись в журнал системных событий включите переключатели рядом с необходимыми типами событий.