Dallas Lock 8.0 сбор в формате CEF
Данное руководство описывает процесс настройки сбора и отправки событий Dallas Lock 8.0 Сервер безопасности в R-Vision SIEM.
Настройка Dallas Lock 8.0
| Настройка сбора событий с Dallas Lock 8.0 Сервер Безопасности производится аналогично. |
Для пересылки событий, зарегистрированных Dallas Lock 8.0, в R-Vision SIEM в формате CEF выполните следующие действия:
-
Перейдите на вкладку Параметры безопасности домена.
-
Перейдите в Аудит.
-
Найдите параметр Выгрузка журналов.
-
Укажите IP-адрес и порт коллектора, выберите формат CEF, отметьте все журналы и установите период выгрузки.
-
Нажмите ОК.
Источник настроен.
Настройка интеграции с R-Vision SIEM
Для интеграции источника с R-Vision SIEM выполните следующие действия:
-
В интерфейсе R-Vision SIEM создайте новый конвейер в коллекторе.
-
Добавьте на конвейер элемент Точка входа со следующими параметрами:
-
Тип точки входа: Syslog.
-
Порт точки входа и протокол: в соответствии с настройкой Dallas Lock 8.0.
-
-
Добавьте на конвейер элемент Нормализатор с правилом "`RV-N-135". Соедините нормализатор с точкой входа.
Правило "RV-N-135" также нормализует события, получаемые из Dallas Lock ЕЦУ в формате CEF. -
Добавьте на конвейер элемент Конечная точка типа Хранилище событий. Соедините конечную точку с нормализатором.
-
Сохраните и установите конфигурацию конвейера.
Пример конфигурации конвейера:
Если настройка выполнена корректно, в хранилище начнут поступать события от Dallas.
|
Найти события от Dallas в хранилище можно по следующему фильтру: |
Таблица маппинга
Таблица соответствия полей события для всех рассмотренных типов событий представлена по ссылке.
