PT Application Firewall 4
Данное руководство описывает процесс настройки сбора и отправки событий Positive Technologies Application Firewall 4 (PTAF 4) в R-Vision SIEM.
Настройка PTAF 4
Для настройки отправки событий в панели управления сервера PTAF 4:
-
В верхнем меню перейдите во вкладку Схема конфигурации;
-
В разделе Действия нажмите +:
-
Создайте новое действие со следующими параметрами:
-
Название: Send to syslog.
-
Тип: Отправлять событие на syslog-сервер.
-
IP-адрес: IP-адрес syslog-сервера.
-
Протокол и порт: как указано в точке входа конвейера R-Vision SIEM.
-
Максимальный размер: 65507.
-
Шаблон: CEF.
Прочие параметры оставьте без изменений.
-
-
Нажмите Добавить действие
Настройка интеграции с R-Vision SIEM
Для интеграции источника с R-Vision SIEM выполните следующие действия:
-
В интерфейсе R-Vision SIEM создайте новый конвейер в коллекторе.
-
Добавьте на конвейер элемент Точка входа со следующими параметрами:
-
Тип точки входа: Syslog.
-
Порт точки входа и протокол: в соответствии с настройками на стороне PTAF 4.
-
-
Добавьте на конвейер элемент Нормализатор с правилом "Positive Technologies Application Firewall 4". Соедините нормализатор с точкой входа.
-
Добавьте на конвейер элемент Конечная точка типа Хранилище событий. Соедините конечную точку с нормализатором.
-
Сохраните и установите конфигурацию конвейера.
Пример конфигурации конвейера:
После настройки передачи событий, если настройка выполнена корректно, в хранилище начнут поступать события PTAF 4.
|
Найти события PTAF 4 в хранилище можно по следующему фильтру: |
Таблица маппинга
Таблица соответствия полей события для всех рассмотренных типов событий представлена по ссылке.
