Dallas Lock ЕЦУ сбор в формате CEF
Данное руководство описывает процесс настройки сбора и отправки событий Dallas Lock 8.0 Сервер безопасности в R-Vision SIEM.
Настройка Dallas Lock ЕЦУ
Для пересылки событий, зарегистрированных Dallas Lock ЕЦУ, в R-Vision SIEM в формате CEF выполните следующие действия:
-
Откройте консоль управления ЕЦУ.
-
Раскройте меню в левом верхнем углу и нажмите Экспорт ИБ.
-
В открывшемся меню установите флажок Экспорт инцидентов безопасности в SIEM-систему. Заполните поля:
-
Формат: CEF.
-
Сервер: IP-адрес коллектора.
-
Протокол: протокол точки входа.
-
Порт: порт точки входа.
-
-
Нажмите на кнопку Применить
Настройка интеграции с R-Vision SIEM
Для интеграции источника с R-Vision SIEM выполните следующие действия:
-
В интерфейсе R-Vision SIEM создайте новый конвейер в коллекторе.
-
Добавьте на конвейер элемент Точка входа со следующими параметрами:
-
Тип точки входа: Syslog.
-
Порт точки входа и протокол: в соответствии с настройкой Dallas Lock ЕЦУ.
-
-
Добавьте на конвейер элемент Нормализатор с правилом "RV-N-135". Соедините нормализатор с точкой входа.
Правило "RV-N-135" также нормализует события, получаемые из Dallas Lock ЕЦУ в формате CEF. -
Добавьте на конвейер элемент Конечная точка типа Хранилище событий. Соедините конечную точку с нормализатором.
-
Сохраните и установите конфигурацию конвейера.
Пример конфигурации конвейера:
Если настройка выполнена корректно, в хранилище начнут поступать события от Dallas.
|
Найти события от Dallas в хранилище можно по следующему фильтру: |
Таблица маппинга
Таблица соответствия полей события для всех рассмотренных типов событий представлена по ссылке.
