Redis Enterprise

Данное руководство описывает процесс настройки сбора и отправки событий Redis в R-Vision SIEM.

Настройка Redis

Настройка Redis состоит из следующих этапов:

Настройка подсистемы журналирования Redis
Настройка отправки событий Redis

Настройка подсистемы журналирования Redis

Чтобы настроить аудит БД Redis Enterpise:

Откройте инструмент rladmin командой:
```
/opt/redislabs/bin/rladmin
```
Настройте аудит кластера с помощью команды:
```
cluster config auditing db_conns audit_protocol TCP audit_address <connector_ip> audit_port <connector_port>
```
Здесь:
- <connector_ip> — IP-адрес коннектора.
- <connector_port> — порт коннектора.
Настройте аудит для экземпляров баз данных:
1. Для новых экземпляров выполните команду:
  tune cluster db_conns_auditing enabled
2. Для уже имеющихся экземпляров выполните команду:
  tune db db:1 db_conns_auditing enabled

Настройка отправки событий Redis

Чтобы отправлять события Redis, настройте аудит управления кластером.

Для этого создайте файл /etc/rsyslog.d/10-redis.conf со следующим содержимым:

module(load="imfile" mode="inotify")
input(
    type="imfile"
    File="event_log"
    Tag="RedisEnterpriseSoftware"
    Severity="info"
    Facility="local7"
)

if $syslogtag == 'RedisEnterpriseSoftware' then {
  action(type="omfwd" Target="" Port="" Protocol="")
  stop
}

Здесь:

<target> — IP-адрес или полное доменное имя (FQDN) коллектора SIEM.
<port> — порт точки входа Syslog в конвейере SIEM.
<protocol> — сетевой протокол: tcp или udp.

Настройка интеграции с R-Vision SIEM

Для настройки сбора и нормализации событий источника в R-Vision SIEM выполните следующие шаги:

В веб-интерфейсе R-Vision SIEM перейдите в раздел Ресурсы → Коллекторы и создайте новый конвейер в коллекторе.
Добавьте на конвейер элемент Точка входа со следующими параметрами:
- Тип точки входа: Syslog.
- Порт точки входа и протокол: в соответствии с настройками на стороне Redis.
Добавьте на конвейер элемент Нормализатор с правилом Redis Enterprise Software (идентификатор правила: RV-N-105). Соедините нормализатор с точкой входа.
Добавьте на конвейер элемент Конечная точка типа Хранилище событий. Соедините конечную точку с нормализатором.
Сохраните и установите конфигурацию конвейера.

Пример конфигурации конвейера:

После настройки передачи событий, если настройка выполнена корректно, в хранилище начнут поступать события Redis.

Найти события Redis в хранилище можно по следующему фильтру:

dproduct = "Redis Enterprise Software"

redis events storage filter

Таблица маппинга

Таблица соответствия полей события для всех рассмотренных типов событий представлена по ссылке.