Аудит событий безопасности

На оркестраторе Kaspersky SD-WAN и устройствах CPE могут происходить события, имеющие важность с точки зрения информационной безопасности: авторизация пользователей, изменение конфигурации шаблонов или устройств, взаимодействие с внешними системами и т.п. Такие события называются событиями безопасности и требуют повышенного внимания со стороны администраторов сети. Для централизованной фиксации событий безопасности в Kaspersky SD-WAN предусмотрен аудит событий безопасности. События безопасности, возникающие на оркестраторе, регистрируются в журналах Docker контейнера, в котором запущен оркестратор. События безопасности, возникающие на устройствах CPE, регистрируются в системных журналах устройств. После регистрации события безопасности отправляются на сервер syslog, указанный в файле конфигурации при развертывании решения. Для более удобной обработки событий вы можете настроить в качестве syslog-сервера внешний коллектор SIEM (например, Kaspersky Unified Monitoring and Analysis Platform, далее также KUMA). Для некоторых событий безопасности вы также можете настроить, какие именно из них записывать в журнал аудита, а также степень подробности записи (регистрировать ли только сам факт события или также его детали).

Этот раздел содержит инструкции по настройке аудита событий безопасности оркестратора и устройств CPE и настройке внешнего коллектора KUMA.