Xello Deception: настройка источника

Данное руководство описывает процесс настройки сбора и отправки событий Xello Deception в R-Vision SIEM.

Предварительные требования

Необходима сетевая доступность между Xello Deception и коллектором R-Vision SIEM.

Для настройки отправки событий выполните следующие действия:

Перейдите по следующему пути: Настройки → Интеграция → Syslog-серверы.
Добавьте syslog-сервер со следующими данными:
- Имя хоста: укажите FQDN или IP-адрес коллектора.
- Порт: укажите порт, который слушает коллектор для приема событий.
- Протоколы: укажите протокол, настроенный на коллекторе (TCP или UDP).
- Формат: CEF.
Нажмите кнопку Создать.

Настройка Xello Deception завершена.

Для настройки сбора и нормализации событий источника в R-Vision SIEM выполните следующие шаги:

В интерфейсе R-Vision SIEM создайте новый конвейер в коллекторе.
Добавьте на конвейер элемент Точка входа со следующими параметрами:
- Название: введите название точки входа.
- Тип точки входа: выберите вариант Syslog.
- Порт точки входа: введите значение в соответствии с настройками на стороне Xello Deception.
- Протокол: выберите вариант в соответствии с настройками на стороне Xello Deception.
Добавьте на конвейер элемент Нормализатор с правилом Xello Deception (идентификатор правила: RV-N-316).
Соедините нормализатор с точкой входа.
Добавьте на конвейер элемент Конечная точка типа Хранилище событий.
Соедините конечную точку с нормализатором.
Сохраните и установите конфигурацию конвейера.

Пример конфигурации конвейера:

xello deception pipeline

После настройки передачи событий, если настройка выполнена корректно, в хранилище начнут поступать события Xello Deception.

Найти события Xello Deception в хранилище можно по следующему фильтру:

device_product = "deception"

xello deception storage

Была ли полезна эта страница?