FreeIPA

Данное руководство описывает процесс настройки сбора и отправки событий FreeIPA в R-Vision SIEM.

Настройка FreeIPA

Описание подсистемы журналирования FreeIPA

FreeIPA — это открытое программное обеспечение, предоставляющее специализированную службу каталогов для операционных систем на базе Linux. Оно предназначено для создания централизованной среды управления аутентификацией, авторизацией и учетными записями пользователей.

Продукт FreeIPA регистрирует события следующих служб:

389 DS;
KRB5KDC;
HTTPD.

Отправка событий FreeIPA

В настоящем руководстве рассматривается передача событий с помощью службы rsyslog. Предполагается, что rsyslog на станции с ОС Linux уже установлен.

Для настройки источника выполните следующие действия:

Настройте передачу событий из файлов. Для этого создайте файл конфигурации /etc/rsyslog.d/01-freeipa.conf со следующим содержимым:

module(load="imfile" mode="inotify")
input(
    type="imfile"
    File="/var/log/dirsrv/slapd-<DOMAIN>/access"
    Tag="FreeIPA-389DS-access"
    Severity="info"
    Facility="local4"
)
input(
    type="imfile"
    File="/var/log/dirsrv/slapd-<DOMAIN>/audit"
    Tag="FreeIPA-389DS-audit"
    Severity="info"
    Facility="local4"
)
input(
    type="imfile"
    File="/var/log/dirsrv/slapd-<DOMAIN>/errors"
    Tag="FreeIPA-389DS-errors"
    Severity="info"
    Facility="local4"
)

input(
    type="imfile"
    File="/var/log/httpd/error_log"
    Tag="FreeIPA-HTTPD-error_log"
    Severity="info"
    Facility="local4"
)

input(
    type="imfile"
    File="var/log/krb5kdc.log"
    Tag="FreeIPA-KDC-krb5kdc_log"
    Severity="info"
    Facility="local4"
)

if $syslogtag contains 'FreeIPA' then {
    action(type="omfwd" Target="<target>" Port="<port>" Protocol="<protocol>")
    stop
}

Здесь:

<target> — IP-адрес или полное доменное имя (FQDN) коллектора SIEM.
<port> — порт точки входа Syslog в конвейере SIEM.
<protocol> — сетевой протокол: tcp или udp.
<DOMAIN> — доменное имя.

Перезапустите службу rsyslog.service с помощью команды:
```
systemctl restart rsyslog.service
```

Для дистрибутивов на основе Debian журнал ошибок Apache по умолчанию располагается по пути /var/log/apache2/error.log.

Чтобы корректно разбирать даты в журнале krb5kdc.log на системах с дистрибутивами на основе Debian, установите значение системной локали в файле /etc/default/locale на en_US.

Настройка в R-Vision SIEM

Для настройки сбора и нормализации событий источника в R-Vision SIEM выполните следующие шаги:

В интерфейсе R-Vision SIEM создайте новый конвейер в коллекторе.
Добавьте на конвейер элемент Точка входа со следующими параметрами:
- Тип точки входа: Syslog.
- Порт точки входа и протокол: в соответствии с настройками на стороне FreeIPA.
Добавьте на конвейер элемент Нормализатор с правилами FreeIPA и ALDPro (идентификаторы правил: RV-N-38, RV-N-39, RV-N-40, RV-N-41). Соедините нормализатор с точкой входа.
Добавьте на конвейер элемент Конечная точка типа Хранилище событий. Соедините конечную точку с нормализатором.
Сохраните и установите конфигурацию конвейера.

Пример конфигурации конвейера:

После настройки передачи событий, если настройка выполнена корректно, в хранилище начнут поступать события FreeIPA.

Найти события FreeIPA в хранилище можно по следующему фильтру:

.dproduct = "FreeIPA"

Таблица маппинга

Таблица соответствия полей события для всех рассмотренных типов событий представлена по ссылке.