Настройка передачи событий FreeIPA в KUMA

Чтобы настроить передачу событий FreeIPA в KUMA по протоколу Syslog в формате JSON:

1. Подключитесь к серверу FreeIPA по протоколу SSH под учетной записью с правами администратора.
2. В директории /etc/rsyslog.d/ создайте файл freeipa-to-siem.conf.
3. В конфигурационный файл /etc/rsyslog.d/freeipa-to-siem.conf добавьте следующие строки:

   $ModLoad imfile

   $InputFileName /var/log/httpd/error_log

   $InputFileTag tag_FreeIPA_log:

   $InputFileStateFile FreeIPA_log

   $InputRunFileMonitor

   $InputFileName /var/log/dirsrv/slapd-*/audit

   $InputFileTag tag_FreeIPA_log:

   $InputFileStateFile FreeIPA_log_audit

   $InputRunFileMonitor

   $InputFileName /var/log/dirsrv/slapd-*/errors

   $InputFileTag tag_FreeIPA_log:

   $InputFileStateFile FreeIPA_log_errors

   $InputRunFileMonitor

   $InputFileName /var/log/dirsrv/slapd-*/access

   $InputFileTag tag_FreeIPA_log:

   $InputFileStateFile FreeIPA_log_access

   $InputRunFileMonitor

   $InputFileName /var/log/krb5kdc.log

   $InputFileTag tag_FreeIPA_log:

   $InputFileStateFile FreeIPA_log_krb5kdc

   $InputRunFileMonitor

   template(name="ls_json" type="list" option.json="on") {

   constant(value="{")

   constant(value="\"@timestamp\":\"") property(name="timegenerated" dateFormat="rfc3339")

   constant(value="\",\"@version\":\"1")

   constant(value="\",\"message\":\"") property(name="msg")

   constant(value="\",\"host\":\"") property(name="fromhost")

   constant(value="\",\"host_ip\":\"") property(name="fromhost-ip")

   constant(value="\",\"logsource\":\"") property(name="fromhost")

   constant(value="\",\"severity_label\":\"") property(name="syslogseverity-text")

   constant(value="\",\"severity\":\"") property(name="syslogseverity")

   constant(value="\",\"facility_label\":\"") property(name="syslogfacility-text")

   constant(value="\",\"facility\":\"") property(name="syslogfacility")

   constant(value="\",\"program\":\"") property(name="programname")

   constant(value="\",\"pid\":\"") property(name="procid")

   constant(value="\",\"syslogtag\":\"") property(name="syslogtag")

   constant(value="\"}\n")

   }

   if $syslogtag contains 'tag_FreeIPA_log' then {

   *.* action(type="omfwd" target="<IP-адрес коллектора KUMA>" port="<порт коллектора KUMA>" protocol="<udp или tcp>" template="ls_json")

   stop

   }

4. В конфигурационный файл /etc/rsyslog.conf добавьте следующие строки:

   $IncludeConfig /etc/freeipa-to-siem.conf

   $RepeatedMsgReduction off

5. Сохраните изменения в конфигурационном файле.
6. Перезапустите службу rsyslog, выполнив следующую команду:

   sudo systemctl restart rsyslog.service