Eltex MES

Данное руководство описывает, как настроить отправку логов с коммутаторов Eltex MES в систему R-Vision SIEM.

Настройка Eltex MES

  1. Подключитесь к устройству через консольный порт.

  2. Войдите в систему.

    Данные для входа по умолчанию:

    • логин — admin;

    • пароль — admin.

  3. Перейдите в меню конфигурации с помощью команды:

    configure
  4. Включите типы сообщений, которые будут регистрироваться, командой logging.

    Доступно включение следующих типов:

    • logging on — все доступные типы логирования.

    • aaa logging login — события аутентификации, авторизации и учета (ААА).

    • logging events link-status — изменения состояний интерфейсов.

    • logging events spanning-tree port-state-change — изменения статуса интерфейсов в STP.

    • logging events spanning-tree topology-change — изменения топологии в STP.

    • logging events spanning-tree root-bridge-change —  смена root bridge.

    • logging events ddm threshold — изменения параметров SFP с DDM.

    • logging cli-commands — команды, введенные в командной строке.

    • file-system logging <copy | delete-rename> — события файловой системы, где:

      • copy — копирование файлов;

      • delete-rename — удаление и переименование файлов.

    • management logging deny — события запрета доступа к управлению коммутатором.

    • logging service cpu-rate limits <traffic> — ограничения скорости входящих кадров для определенного типа трафика.

      Здесь:

      • <traffic> — один из типов: http, telnet, ssh, snmp, ip, link-local, arp, switch-mode, arp inspection, stp-bpdu, other-bpdu, dhcp snooping, dhcpv6 snooping, igmp-snooping, mld-snooping, sflow, log deny-aces, vrrp.

    • Чтобы отключить какой-либо тип логирования, используйте ключевое слово no, например:

      no logging cli-commands
  5. Настройте параметры логирования командой logging:

    • logging aggregation on — группировка сообщений.

    • logging origin-id <id> — использование указанного идентификатора хоста в сообщениях syslog.

      Здесь:

      • <id> — строка, имя хоста, IPv4 или IPv6-адрес.

    • logging source-interface <interface> — использование IP-адреса указанного интерфейса в качестве источника в IP-пакетах протокола syslog.

    • logging source-interface-ipv6 <interface> — использование IPv6-адреса указанного интерфейса в качестве источника в IP-пакетах протокола syslog;

      Чтобы посмотреть данные логирования, запустите в основном интерфейсе Eltex MES следующую команду:

      show logging

      Пример результатов команды show logging:

      ShowLogging
  6. Включите отправку логов на удаленный сервер syslog с помощью команды logging host:

    logging host <target> port <port> transport <protocol> severity
    <level> facility <facility>

    Здесь:

    • <target> — IP-адрес или сетевое имя сервера.

    • <port> — номер порта для передачи сообщений по протоколу syslog.

    • <protocol> — udp или tcp.

    • <level> — уровень важности, начиная с которого сообщения будут передаваться на сервер syslog.

      Существуют следующие уровни, перечисленные в порядке возрастания важности:

      • debugging — отладочные;

      • informational — информационные;

      • notifications — уведомления;

      • warnings — предупреждения;

      • errors — ошибки;

      • critical — критические ошибки;

      • alerts — сигналы тревоги;

      • emergencies — чрезвычайные сообщения.

    • <facility> — категория сообщений вида localN, где N — цифра от 0 до 7.

      Пример использования команды
      logging host 203.0.113.30 port 30150 facility local7 severity informational

      При использовании данной команды все сообщения, кроме отладочных, будут направляться по протоколу udp на порт 30150.

      • Чтобы отменить логирование на указанный адрес, используйте ключевое слово no, например:

        no logging host 203.0.113.30
      • Чтобы посмотреть текущее логирование, запустите в основном интерфейсе Eltex MES следующую команду:

        show syslog-servers

        Результат выполнения команды:

        MSR#show syslog-servers
        Source IPv4 interface:
        Source IPv6 interface:
        
        Device Configuration
        -----------------------------
        
        IP address        Port     Facility   Severity       Description
        ----------------  ------   ---------- ------------   ----------------------
        203.0.113.30      30150    local7     info
  7. Сохраните конфигурацию с помощью команды:

    write

Настройка в R-Vision SIEM

  1. В интерфейсе R-Vision SIEM создайте новый конвейер в коллекторе.

  2. Добавьте на конвейер элемент Точка входа со следующими параметрами:

    • Название: введите название точки входа.

    • Тип точки входа: выберите вариант Syslog.

    • Порт точки входа: введите значение в соответствии с настройками на стороне Eltex MES.

    • Протокол: выберите вариант в соответствии с настройками на стороне Eltex MES.

  3. Добавьте VRL-трансформацию:

    .dproduct = "EltexMES"
  4. Соедините VRL-трансформацию с точкой входа.

  5. Добавьте на конвейер Нормализатор с правилом Нормализация событий источника Eltex MSR (идентификатор RV-N-34).

  6. Соедините нормализатор с VRL-трансформацией.

  7. Чтобы сохранять нормализованные события в хранилище, добавьте элемент Конечная точка типа Хранилище событий.

  8. Соедините конечную точку с нормализатором.

  9. Чтобы отправлять события на другой конвейер для дальнейшей обработки, добавьте в коллектор шину.

  10. Добавьте на конвейер соединение с этой шиной в режиме Получение.

  11. На другом конвейере добавьте соединение с этой шиной в режиме Отправка.

  12. Сохраните и установите конфигурацию конвейера.

Пример конфигурации конвейера

EltexMESPipelineScheme

Если настройка передачи событий выполнена корректно, в хранилище начнут поступать события Eltex MES.

Найти события Eltex MES в хранилище можно по следующему фильтру:

dproduct = "MES"

eltex mes storage