Маршрутизация событий с агентов по типу ОС
Данное руководство описывает настройку маршрутизации событий от агентов в зависимости от типа ОС на хостах, где они установлены.
О сборе событий с агентов
Агенты позволяют собирать следующие события на устройствах, на которых они установлены:
-
входы и выходы пользователей;
-
создание процессов;
-
добавление или изменение сервисов;
-
управление пользователями;
-
действия с объектами;
-
чтение логов из локальных файлов.
| Настройки сбора событий задаются в конфигурации группы агентов. |
| Подробности о сборе событий на агентах и их структуре приведены в разделе Сбор событий ИБ на агентах. |
Для организации сбора событий необходимо подключить агенты к системе через шлюз и настроить их прием на конвейере с помощью точки входа R-Vision Endpoint.
Механизм автоматического переключения агента между доступными доменными именами (FQDN) шлюзов не позволяет разделить поток событий в рамках одного пространства путем создания отдельных шлюзов под разные ОС. В таком случае агенты будут распределять нагрузку между всеми шлюзами пространства, что приведет к смешиванию потоков данных.
Если события от агентов под управлением различных ОС поступают в систему через общую точку входа, целесообразно разделять их на независимые потоки на уровне конвейера с помощью элемента Маршрутизатор.
Настройка конфигурации для сбора событий с агентов и их дальнейшей маршрутизации по типу ОС включает следующие этапы:
Подключение агента к системе
Чтобы подключить агент к системе, обратитесь разделу Подключение агента к системе.
После подключения агента откройте карточку шлюза, через который агент был подключен к системе, и скопируйте значение поля ID шлюза в буфер обмена.
Настройка сбора и обработки событий с агентов
Создание конвейера для маршрутизации событий
Создайте конвейер для сбора и маршрутизации событий с разных агентов:
-
Перейдите в раздел Ресурсы → Коллекторы.
-
Создайте коллектор для обработки событий с агентов, если он еще не создан.
-
Откройте карточку коллектора.
-
Перейдите на вкладку Конвейеры.
-
Добавьте конвейер для сбора и маршрутизации событий с разных агентов.
-
Откройте конфигурацию конвейера.
-
Удостоверьтесь, что в переключателе Версия на панели инструментов выбран вариант Черновик.
-
Добавьте на конвейер элемент Точка входа со следующими параметрами:
-
Тип точки входа: R-Vision Endpoint.
-
Домен для подключения к шлюзу:
gw-<gateway_id>. Здесь<gateway_id>— идентификатор шлюза, скопированный на шаге Подключение агента к системе.Например, для шлюза с идентификатором 0f1c5440-5e56-4d0e-bd8b-ea9eb43f28d2 необходимо указать следующий домен:
gw-0f1c5440-5e56-4d0e-bd8b-ea9eb43f28d2
-
-
Добавьте на конвейер элемент Маршрутизатор для распределения потоков событий со следующими маршрутами:
-
Для событий Windows:
-
Название маршрута:
Windows. -
Условие маршрута на языке VRL:
contains(downcase(to_string(.raw.agent.os_name) ?? ""), "windows")
-
-
Для событий Linux:
-
Название маршрута:
Linux. -
Условие маршрута на языке VRL:
rv_contains_any(downcase(to_string(.raw.agent.os_name) ?? ""), ["linux", "ubuntu", "centos", "debian", "red os"])
-
Если события, которые не удовлетворяют условиям маршрутов Windows и Linux, должны обрабатываться отдельно, установите флажок Добавить маршрут по умолчанию.
-
-
Соедините выход элемента Точка входа со входом элемента Маршрутизатор.
-
Откройте карточку коллектора.
-
Перейдите на вкладку Шины и последовательно добавьте в коллектор две шины:
-
для приема и отправки событий Windows;
-
для приема и отправки событий Linux.
-
-
Откройте конфигурацию конвейера.
-
Добавьте на конвейер два элемента Шина со следующими параметрами:
-
Шина: шина для событий Windows или Linux, добавленная в коллектор ранее.
-
Тип соединения: Получение.
Тип соединения Получение означает, что шина принимает события из текущего конвейера для их последующей передачи на другие конвейеры и дальнейшей обработки.
-
-
Если в маршрутизаторе был добавлен маршрут по умолчанию и события этого маршрута необходимо сохранить, добавьте на конвейер элемент Конечная точка.
-
Соедините выходы маршрутов с соответствующими входами элементов Шина и Конечная точка.
Создание конвейера для обработки событий Windows
Для настройки сбора и нормализации событий Windows выполните следующие шаги:
-
Добавьте новый конвейер в коллекторе.
-
Откройте конфигурацию конвейера.
-
Удостоверьтесь, что в переключателе Версия на панели инструментов выбран вариант Черновик.
-
Добавьте на конвейер элемент Шина со следующими параметрами:
-
Шина: шина для событий Windows.
-
Тип соединения: Отправка.
Тип соединения Отправка означает, что шина передает на текущий конвейер события, полученные ранее, для их дальнейшей обработки. В данном случае на этот конвейер будут отправляться события Windows, поступающие из первого конвейера.
-
-
Добавьте на конвейер прочие элементы для обработки и нормализации событий Windows в соответствии с руководством по настройке источников.
-
Добавьте на конвейер элемент для сохранения обработанных событий, например, конечную точку.
-
Соедините добавленные элементы конвейера в определенной последовательности согласно желаемой логике получения, обработки и передачи данных.
Создание конвейера для обработки событий Linux
Для настройки сбора и нормализации событий Linux выполните следующие шаги:
-
Добавьте новый конвейер в коллекторе.
-
Откройте конфигурацию конвейера.
-
Удостоверьтесь, что в переключателе Версия на панели инструментов выбран вариант Черновик.
-
Добавьте на конвейер элемент Шина со следующими параметрами:
-
Шина: шина для событий Linux.
-
Тип соединения: Отправка.
Тип соединения Отправка означает, что шина передает на текущий конвейер события, полученные ранее, для их дальнейшей обработки. В данном случае на этот конвейер будут отправляться события Linux, поступающие из первого конвейера.
-
-
Добавьте на конвейер прочие элементы для обработки и нормализации событий Linux в соответствии с руководством по настройке источников.
-
Добавьте на конвейер элемент для сохранения обработанных событий, например, конечную точку.
-
Соедините добавленные элементы конвейера в определенной последовательности согласно желаемой логике получения, обработки и передачи данных.
Включение коллектора и установка конфигурации конвейеров
Чтобы события начали собираться на агентах и поступать в коллектор, выполните следующие действия:
-
Перейдите в карточку коллектора и включите его.
-
Установите текущую конфигурацию на конвейере для маршрутизации событий.
-
Установите текущую конфигурацию на конвейерах для обработки событий Windows и Linux.
Была ли полезна эта страница?
