Dr.Web Enterprise Security Suite: настройка источника

Данное руководство описывает процесс настройки сбора событий Dr.Web Enterprise Security Suite (ESS) в формате CEF и их отправки в R-Vision SIEM.

Предварительные требования

Перед настройкой пересылки событий в R-Vision SIEM убедитесь, что сетевая связность между сервером Dr.Web и SIEM обеспечена, а необходимые порты открыты.

Настройка Dr.Web ESS

Настройка отправки событий в R-Vision SIEM

Чтобы настроить отправку событий Dr.Web ESS в R-Vision SIEM, выполните следующие шаги:

Войдите в веб-интерфейс Dr.Web под учетной записью с правами администратора.
Перейдите в раздел Администрирование.
В разделе Оповещения выберите вариант Конфигурация оповещений.
Выберите из выпадающего списка Метод отправки оповещений вариант Syslog.
В поле Получатель укажите адрес коллектора SIEM или промежуточный сервер Syslog в формате:
```
<protocol>://<ip>:<port>
```
Здесь:
- <protocol> — сетевой протокол: tcp или udp.
- <ip> — IP-адрес или полное доменное имя (FQDN) коллектора SIEM.
- <port> — порт точки входа Socket на конвейере SIEM.
Выберите из выпадающего списка формат событий CEF (Common Event Format).
В поле Отправитель укажите FQDN сервера Dr.Web.
Убедитесь, что установлены все флажки.
Нажмите на кнопку Сохранить в правом верхнем углу.

Настройка в R-Vision SIEM

Для настройки сбора и нормализации событий источника в R-Vision SIEM выполните следующие шаги:

В интерфейсе R-Vision SIEM создайте новый конвейер в коллекторе.
Добавьте на конвейер элемент Точка входа со следующими параметрами:
- Название: введите название точки входа.
- Тип точки входа: выберите вариант Socket.
- Порт точки входа: введите значение в соответствии с настройками на стороне Dr.Web ESS.
- Протокол: выберите вариант в соответствии с настройками на стороне Dr.Web ESS.
Добавьте на конвейер элемент Нормализатор с правилом Dr Wed ESS (идентификатор правила: RV-N-297).
Соедините нормализатор с точкой входа.
Добавьте на конвейер элемент Конечная точка типа Хранилище событий.
Соедините конечную точку с нормализатором.
Сохраните и установите конфигурацию конвейера.

Пример конфигурации конвейера:

drweb ess cef pipeline

После настройки передачи событий, если настройка выполнена корректно, в хранилище начнут поступать события Dr.Web ESS.

Найти события Dr.Web ESS в хранилище можно по следующему фильтру:

normalization_rule_name = "Dr Wed ESS"

drweb ess cef filter

Была ли полезна эта страница?