Efros DefOps NAC: настройка источника
Данная инструкция описывает настройку сбора событий Efros DefOps NAC и их последующей отправки в R-Vision SIEM.
Предварительные требования
Сетевая доступность нод кластера SIEM по целевому порту и протоколу для источника.
Настройка Efros DefOps NAC
Настройка журналирования
Создание планировщика и отправка событий
Для осуществления сбора логов в SIEM необходимо в веб-интерфейсе Efros DefOps NAC создать планировщик задач и настроить отправку Syslog-сообщений.
Для создания планировщика задач выполните следующие действия:
-
Войдите в веб-интерфейс с правами администратора.
-
Перейдите в раздел Администрирование → Планировщик.
-
Убедитесь что открыта вкладка По событию и нажмите на кнопку Задача (
).
-
В открывшемся окне настройте параметры задачи:
-
Переведите переключатель Статус в активное положение.
-
Введите название планировщика.
-
Добавьте необходимые условия.
-
Добавьте действие Отправить Syslog сообщение со следующими настройками:
-
Адрес сервера: укажите IP-адрес коллектора SIEM.
-
Протокол: выберите протокол отправки событий TCP.
-
Порт сервера: укажите порт точки входа на конвейере SIEM.
-
Формат сообщения: выберите вариант RFC 3164.
-
-
-
Нажмите на кнопку Создать.
При срабатывании выбранных в планировщике условий события будут отправляться в R-Vision SIEM.
Настройка в R-Vision SIEM
Для настройки сбора и нормализации событий источника в R-Vision SIEM выполните следующие шаги:
-
В интерфейсе R-Vision SIEM создайте новый конвейер в коллекторе.
-
Добавьте на конвейер элемент Точка входа со следующими параметрами:
-
Название: введите название точки входа.
-
Тип точки входа: выберите вариант Syslog.
-
Порт точки входа: введите значение в соответствии с настройками на стороне Efros DefOps NAC.
-
Протокол: выберите из выпадающего списка вариант TCP.
-
-
Добавьте VRL-трансформацию со следующим кодом:
.device_vendor = "efros"
-
Соедините VRL-трансформацию с точкой входа.
-
Добавьте на конвейер элемент Нормализатор с правилом Efros NAC (идентификатор правила: RV-N-261).
-
Соедините нормализатор с VRL-трансформацией.
-
Добавьте на конвейер элемент Конечная точка типа Хранилище событий.
-
Соедините конечную точку с нормализатором.
-
Сохраните и установите конфигурацию конвейера.
Пример конфигурации конвейера:
После настройки передачи событий, если настройка выполнена корректно, в хранилище начнут поступать события Efros DefOps NAC.
|
Найти события Efros DefOps NAC в хранилище можно по следующему фильтру:
|
Была ли полезна эта страница?
