TeamCity

Данное руководство описывает процесс настройки сбора и отправки событий TeamCity в R-Vision SIEM.

Настройка TeamCity

В настоящем руководстве рассматривается передача событий с помощью службы rsyslog. Предполагается, что rsyslog на станции с ОС Linux уже установлен.

TeamCity можно развернуть как в операционной системе, так и в Docker-контейнере. Сбор событий осуществляется из одного и того же журнала, но, если вы выбираете Docker, нужно дополнительно пробрасывать файл журнала в корневую систему.

По умолчанию журналы хранятся в директории /opt/teamcity/logs. Дополнительных действий по настройке журналирования на источнике совершать не требуется.

Для настройки источника выполните следующие действия:

Настройте передачу событий из файла. Для этого создайте файл /etc/rsyslog.d/02-teamcity.conf со следующим содержимым:

module(load="imfile" PollingInterval="10")
input(type="imfile"
      File="/opt/teamcity/logs/teamcity-activities.log"
      Tag="teamcity-act")
input(type="imfile"
      File="/var/log/openvpn/teamcity-server.log"
      Tag="teamcity-server")
input(type="imfile"
      File="/var/log/openvpn/teamcity-java*"
      Tag="teamcity-java")
if $syslogtag == 'teamcity-act' or $syslogtag == 'teamcity-server' or $syslogtag == 'teamcity-java' then {
   action(type="omfwd" target="<target>" port="<port>" protocol="<protocol>")
   stop
}

Здесь:

<target> — IP-адрес или полное доменное имя (FQDN) коллектора SIEM.
<port> — порт точки входа Syslog на конвейере SIEM.
<protocol> — сетевой протокол: tcp или udp.

Перезапустите службу rsyslog.service с помощью команды:
```
systemctl restart rsyslog.service
```

Настройка в R-Vision SIEM

Для настройки сбора и нормализации событий источника в R-Vision SIEM выполните следующие шаги:

В интерфейсе R-Vision SIEM перейдите в раздел Ресурсы → Коллекторы и создайте новый конвейер в коллекторе.
Добавьте на конвейер элемент Точка входа со следующими параметрами:
- Тип точки входа: Syslog.
- Порт точки входа и протокол: в соответствии с настройками на стороне TeamCity.
Добавьте на конвейер элемент VRL-трансформация:
```
.dproduct = "TeamCity Server"
```
Соедините VRL-трансформацию с точкой входа.
Добавьте на конвейер элемент Нормализатор с правилом JetBrains TeamCity (идентификатор правила: RV-N-48).
Соедините нормализатор с VRL-трансформацией.
Добавьте на конвейер элемент Конечная точка типа Хранилище событий.
Соедините конечную точку с нормализатором.
Установите конфигурацию конвейера.

Пример конфигурации конвейера:

jetbrains teamcity configuration pipeline

После настройки передачи событий, если настройка выполнена корректно, в хранилище начнут поступать события TeamCity.

Найти события TeamCity в хранилище можно по следующему фильтру:

dproduct = "TeamCity Server"

jetbrains teamcity event storage filter

Unresolved include directive in modules/JetBrains/pages/teamcity.adoc - include::ROOT:partial$MappingTable.adoc[]