Настройка регистрации событий безопасности для аудита

События безопасности регистрируются и хранятся в журналах на оркестраторе и на устройствах CPE. Для полноценной работы с журналами аудита вам необходимо настроить отправку событий на внешний syslog-сервер. Мы рекомендуем использовать в качестве syslog-сервера решение Kaspersky Unified Monitoring and Analysis Platform (далее KUMA).

Параметры syslog для отправки записей журналов оркестратора необходимо указать в конфигурационном файле перед развертыванием решения. Если вы захотите изменить параметры, например, указать другой адрес syslog-сервера или CA-сертификат, вам потребуется изменить конфигурационный файл и переустановить решение. Если вы хотите использовать защищенное соединение для syslog-сервера, вам необходимо заранее получить CA-сертификат

Чтобы настроить регистрацию событий безопасности для аудита:

1. Если вы хотите использовать в качестве syslog-сервера коллектор KUMA:
   1. Разверните и настройте коллектор KUMA, как описано в инструкции Настройка коллектора KUMA для обработки событий безопасности.
   2. Сохраните CA-сертификат сервера KUMA, чтобы использовать его для шифрования syslog-сообщений с помощью TLS:
      1. Откройте веб-интерфейс KUMA.
      2. В левом нижнем углу окна нажмите на имя учетной записи пользователя и в открывшемся меню нажмите на кнопку CA-сертификат Microservice.
2. Настройте отправку записей журналов оркестратора на syslog-сервер в конфигурационном файле для развертывания решения:
   1. Подготовьте конфиграционный файл и заполните в нем основные параметры для развертывания решения.
   2. В блоке external.orc заполните следующие параметры syslog-сервера:
   • syslog_server_address

     Укажите веб-адрес syslog-сервера, на который Docker-контейнеры оркестратора будут отправлять записи журналов. Значение указывается в формате <протокол>://<адрес хоста>:<номер порта>. В качестве адреса хоста можно указать IP-адрес или FQDN хоста.

     Если вы хотите, чтобы передача syslog-сообщений шифровалась с помощью TLS, в качестве протокола укажите tcp+tls.

     Пример:

     tcp+tls://my-syslog-server:1514

     Если вы указываете внешний syslog-сервер, например, коллектор KUMA, отключите опцию развертывания отдельного контейнера для встроенного syslog-сервера. Для этого укажите в параметре external.syslog.state значение disabled.

   • secure_syslog

     Укажите true, если необходимо шифровать передачу записей журналов на сервер, или false, если шифрование не требуется.

     Если вы указали true, сообщения syslog будут оправляться по TCP и шифроваться с помощью TLS. Для работы TLS необходимо дополнительно указать путь к CA-сертификату, которым подписан сертификат syslog-сервера, в переменной syslog_server_ca_cert_file_path.

   • syslog_server_ca_cert_file_path

     Укажите абсолютный путь к файлу CA-сертификата, которым подписан сертификат syslog-сервера. Параметр обязателен, если для переменной secure_syslog вы указали true.

     Если CA-сертификат syslog-сервера был выписан на доменное имя, то для использования TLS-шифрования необходимо указать адрес сервера в параметре syslog_server_address в формате FQDN. Это доменное имя должно разрешаться через DNS-сервер, указанный при настройке DNS на устройстве CPE.

   • syslog_format

     Укажите формат журналов, который необходимо использовать для отправки syslog-сообщений. Возможные значения:

     • rfc3164 – формат, совместимый с RFC 3164.
     • rfc5424 – формат, совместимый с RFC 5424.
     • rfc5424micro – формат, совместимый с RFC 5424 с увеличенной точностью меток времени до микросекунд.

     Если в качестве syslog-сервера вы хотите использовать коллектор KUMA, укажите значение rfc3164.

3. Выполните развертывание решения.

   Контейнеры оркестратора будут развернуты с параметрами syslog-сервера, указанными в конфигурационном файле.

4. Войдите в веб-интерфейсе оркестратора для дальнейшей настройки параметров аудита.
5. Выберите, какие события безопасности оркестратора должны регистрироваться в журнале аудита:
   1. Перейдите в раздел Система → Аудит.

      Откроется список областей аудита, для которых можно включить регистрацию событий безопасности на оркестраторе. Событие безопасности возникает, если изменяется состояние области аудита, например, изменяются параметры на устройстве или в шаблоне CPE или происходит вызов API внешней системой защиты информации.

   

   Настройка журнала аудита для событий безопасности оркестратора

   1. Включите ведение журнала аудита с помощью переключателя Журнал аудита.

      При каждом включении или выключении этого параметра в журнале аудита регистрируется событие с кодом SYS-AUD.

   2. Для каждой категории событий безопасности, которое необходимо регистрировать, выберите в выпадающем списке режим регистрации:
      • Стандартный (регистрировать возникновение события в выбранной области аудита)
      • Расширенный (регистрировать подробную информацию о событии в выбранной области аудита, например, старое и новое значение при изменении параметра и т.п. Доступно не для всех областей аудита).
   3. Сохраните изменения с помощью кнопки Применить.

      События безопасности, возникающие в выбранных областях аудита, будут регистрироваться в журнале аудита и передаваться на syslog-сервер, который вы указали в конфигурационном файле при развертывании решения.

      Подробный событий безопасности, регистрируемых на оркестраторе, можно найти в статье Перечень событий безопасности, регистрируемых на оркестраторе и устройствах CPE.

6. Настройте syslog-сервер для журналов на устройствах CPE:
   1. В веб-интерфейсе оркестратора перейдите к устройствам или шаблонам CPE, на которых вы хотите настроить syslog-сервер для отправки записей журналов.
   2. С помощью инструкции Настройка журналов на устройствах CPE настройте параметры syslog-сервера. Если вы хотите использовать в качестве syslog-сервера коллектор KUMA, загрузите на устройства сохраненный ранее CA-сертификат сервера.

      События безопасности, возникающие на устройствах CPE, будут передаваться на указанный syslog-сервер.

      Подробный событий безопасности, регистрируемых на устройствах CPE, можно найти в статье Перечень событий безопасности, регистрируемых на оркестраторе и устройствах CPE.