Битрикс24: сбор из СУБД MySQL (MariaDB)

Данное руководство описывает процесс настройки сбора и отправки событий Битрикс24 в R-Vision SIEM.

Предварительные требования

Сетевая доступность сервера СУБД Битрикс24 по целевому порту и протоколу для каждой ноды кластера SIEM.
Учетная запись в СУБД с правами на чтение таблицы b_event_log (сбор событий из БД).

Настройка СУБД MySQL (MariaDB)

Создание учетной записи в СУБД MySQL (MariaDB)

Для создания сервисной УЗ подключитесь к СУБД с правами администратора. Для этого на сервере с установленной СУБД выполните следующие действия:

Выполните следующую команду от имени пользователя root:
```
mysql -u root -p
```
Создайте сервисную учетную запись, выполнив следующую команду:
```
CREATE USER 'reader'@'localhost' IDENTIFIED BY 'passw0rd';
```
Предоставьте сервисной учетной записи права на подключение к базе и чтение таблицы:
```
GRANT CONNECT ON DATABASE sitemanager to reader;
GRANT SELECT ON reader TO 'kasper'@'localhost';
```

Настройка в R-Vision SIEM

Для настройки сбора и нормализации событий источника в R-Vision SIEM выполните следующие шаги:

В интерфейсе R-Vision SIEM создайте секрет со строкой подключения. Для этого:
1. Перейдите в раздел Ресурсы → Секреты.
2. Нажмите на кнопку Создать ().
3. В раскрывшемся окне создания секрета заполните поля:
  - Название: введите название секрета.
  - Описание (опционально): опишите, для чего будет использоваться секрет.
  - Тип секрета: выберите вариант Строка подключения.
  - Строка подключения — введите строку вида:
    
    jdbc:mysql://DBSERVER:3306/sitemanager?user=reader&password=passw0rd
    
    Здесь:
    
    DBSERVER — FQDN или IP-адрес сервера СУБД.
    
    3306 — порт подключения.
4. Нажмите на кнопку Создать.
В интерфейсе R-Vision SIEM создайте новый конвейер в коллекторе.
Добавьте на конвейер элемент Точка входа со следующими параметрами:
- Название: введите название точки входа.
- Тип точки входа: выберите вариант Database.
- Драйвер базы данных: выберите вариант MySQL.
- Адрес подключения: выберите секрет, созданный ранее.
- SQL-запрос: введите запрос вида:
  SELECT ID as ident ,TIMESTAMP_X ,SEVERITY ,AUDIT_TYPE_ID ,MODULE_ID ,ITEM_ID ,REMOTE_ADDR ,USER_AGENT ,REQUEST_URI ,USER_ID ,DESCRIPTION ,"Bitrix24" as appname ,@@hostname as hostname FROM b_event_log WHERE ID > ? ORDER BY ID ASC;
- Поле идентификатора: введите ключ ident со значением 1.
- Интервал запроса, секунд: введите значение 15.
Добавьте на конвейер элемент Нормализатор с правилом 1C:Bitrix24 (идентификатор правила: RV-N-307).
Соедините нормализатор с точкой входа.
Добавьте на конвейер элемент Конечная точка типа Хранилище событий.
Соедините конечную точку с нормализатором.
Сохраните и установите конфигурацию конвейера.