PT Sandbox

Данное руководство описывает процесс настройки сбора и отправки событий Positive Technologies Sandbox (PT Sandbox) в R-Vision SIEM.

Настройка PT Sandbox

Для настройки отправки событий PT Sandbox выполните следующие шаги:

  1. В главном меню интерфейса PT Sandbox перейдите в раздел Система → Основные параметры.

  2. В группе параметров Отправка сообщений по протоколу syslog установите верхний переключатель в активное положение, чтобы включить отправку сообщений.

  3. В поле Адрес syslog-сервера введите IP-адрес или полное доменное имя (FQDN) коллектора R-Vision SIEM.

  4. Укажите значение порта в диапазоне 30000—​32767 в соответствии с настройками на конвейере SIEM.

  5. В поле Протокол выберите транспортный протокол TCP.

  6. Установите переключатель Отправлять события аудита в активное положение.

  7. Нажмите на кнопку Сохранить. Изменения будут применены в течение нескольких минут.

    pt sandbox settings

Настройка в R-Vision SIEM

Для интеграции источника с R-Vision SIEM выполните следующие шаги:

  1. В интерфейсе R-Vision SIEM создайте новый конвейер в коллекторе.

  2. Добавьте на конвейер элемент Точка входа со следующими параметрами:

    • Название: введите название точки входа.

    • Тип точки входа: выберите вариант Syslog.

    • Порт точки входа: введите значение в соответствии с настройками на стороне PT Sandbox.

    • Протокол: выберите вариант в соответствии с настройками на стороне PT Sandbox.

  3. Добавьте на конвейер элемент Нормализатор с правилом Positive Technologies Sandbox (идентификатор правила: RV-N-98).

  4. Соедините нормализатор с точкой входа.

  5. Добавьте на конвейер элемент Конечная точка типа Хранилище событий.

  6. Соедините конечную точку с нормализатором.

  7. Сохраните и установите конфигурацию конвейера.

Пример конфигурации конвейера:

pt sandbox pipeline scheme

После настройки передачи событий, если настройка выполнена корректно, в хранилище начнут поступать события PT Sandbox.

Найти события PT Sandbox в хранилище можно по следующему фильтру:

dproduct = "Sandbox"

pt sandbox events

Таблица маппинга

Таблица соответствия полей события для всех рассмотренных типов событий представлена по ссылке.