Passbolt

Данное руководство описывает процесс настройки сбора и отправки событий Passbolt в R-Vision SIEM.

Настройка Passbolt

В настоящем руководстве рассматривается передача событий с помощью службы rsyslog. Предполагается, что rsyslog на станции с ОС Linux уже установлен.

Passbolt можно развернуть как в операционной системе, так и в Docker-контейнере. Сбор событий осуществляется из одного и того же журнала, но, если вы выбираете Docker, нужно дополнительно пробрасывать файл журнала в корневую систему.

Для настройки источника выполните следующие шаги:

Если Passbolt развернут в Docker, то необходимо отредактировать файл docker-compose-ce.yaml, добавив монтирование файлов логов Passbolt из контейнера Docker в папку на основной машине.

Для этого добавьте в раздел Passbolt → volumes строки:
```
  volumes:
    - /var/log/passbolt:/var/log/nginx
    - /var/log/passbolt:/var/log/passbolt
```
Если вы работаете без Docker, файлы логов будут лежать в тех же папках (/var/log/passbolt и /var/log/nginx).
Настройте передачу событий из файла, создав файл /etc/rsyslog.d/02-Passbolt.conf со следующим содержимым:
```
module(load="imfile" mode="inotify")
input(
    type="imfile"
    File="/var/log/passbolt/*.log"
    Tag="Passbolt"
    Severity="info"
    Facility="local7"
)

if $syslogtag == 'Passbolt' then {
  action(type="omfwd" target="<target>" port="<port>" protocol="<protocol>")
  stop
}
```
Здесь:
- <target> — IP-адрес или полное доменное имя (FQDN) коллектора SIEM.
- <port> — порт точки входа Syslog на конвейере SIEM.
- <protocol> — сетевой протокол: tcp или udp.
Перезапустите службу rsyslog.service с помощью команды:
```
systemctl restart rsyslog.service
```

Настройка в R-Vision SIEM

Для настройки сбора и нормализации событий источника в R-Vision SIEM выполните следующие шаги:

В интерфейсе R-Vision SIEM перейдите в раздел Ресурсы → Коллекторы и создайте новый конвейер в коллекторе.
Добавьте на конвейер элемент Точка входа со следующими параметрами:
- Тип точки входа: Syslog.
- Порт точки входа и протокол: в соответствии с настройками на стороне Passbolt.
Добавьте на конвейер элемент VRL-трансформация:
```
.dproduct = "Passbolt"
```
Соедините VRL-трансформацию с точкой входа.
Добавьте на конвейер элемент Нормализатор с правилом Passbolt (идентификатор правила: RV-N-93).
Соедините нормализатор с VRL-трансформацией.
Добавьте на конвейер элемент Конечная точка типа Хранилище событий.
Соедините конечную точку с нормализатором.
Установите конфигурацию конвейера.

Пример конфигурации конвейера:

passbolt pipeline

После настройки передачи событий, если настройка выполнена корректно, в хранилище начнут поступать события Passbolt.

Найти события Passbolt в хранилище можно по следующему фильтру:

dproduct = "Passbolt"

passbolt event storage filter

Unresolved include directive in modules/Passbolt/pages/passbolt.adoc - include::ROOT:partial$MappingTable.adoc[]