PT Application Firewall 4
Данное руководство описывает процесс настройки сбора и отправки событий Positive Technologies Application Firewall 4 (PT AF 4) в R-Vision SIEM.
Настройка PT AF 4
Для настройки отправки событий на панели управления сервера PT AF 4:
-
В главном меню перейдите на вкладку Схема конфигурации.
-
В разделе Действия нажмите на кнопку
:
-
Создайте новое действие со следующими параметрами:
-
Название: введите значение
Send to syslog. -
Тип: выберите вариант Отправлять событие на syslog-сервер.
-
IP-адрес или имя узла: введите IP-адрес syslog-сервера.
-
Протокол: выберите вариант в соответствии с настройками точки входа конвейера R-Vision SIEM.
-
Порт: введите значение в соответствии с настройками точки входа конвейера R-Vision SIEM.
-
Максимальный размер: введите значение
65507. -
Шаблон: выберите вариант CEF.
Остальные параметры оставьте без изменений.
-
-
Нажмите на кнопку Добавить действие
Настройка в R-Vision SIEM
Для интеграции источника с R-Vision SIEM выполните следующие действия:
-
В интерфейсе R-Vision SIEM создайте новый конвейер в коллекторе.
-
Добавьте на конвейер элемент Точка входа со следующими параметрами:
-
Добавьте на конвейер элемент Нормализатор с правилом Positive Technologies Application Firewall 4 (идентификатор правила: RV-N-97).
-
Соедините нормализатор с точкой входа.
-
Добавьте на конвейер элемент Конечная точка типа Хранилище событий.
-
Соедините конечную точку с нормализатором.
-
Сохраните и установите конфигурацию конвейера.
Пример конфигурации конвейера:
После настройки передачи событий, если настройка выполнена корректно, в хранилище начнут поступать события PT AF 4.
|
Найти события PT AF 4 в хранилище можно по следующему фильтру:
|
Таблица маппинга
Таблица соответствия полей события для всех рассмотренных типов событий представлена по ссылке.
