BI.ZONE EDR: настройка источника

Данное руководство описывает процесс настройки сбора событий BI.ZONE EDR и их отправки в R-Vision SIEM.

Предварительные требования

Перед настройкой пересылки событий в R-Vision SIEM убедитесь в выполнении следующих условий:

Настроен сбор событий с конечных точек с помощью агента BI.ZONE EDR.
Сетевая связность между брокерами Kafka и SIEM обеспечена, а необходимые порты открыты.
Подготовлены следующие параметры для подключения:
- Адрес(а) брокеров Kafka.
- Порт подключения.
- Наименование топика (topic).
- Тип аутентификации (без аутентификации или SASL/SSL).
- Логин и пароль (если требуется).

Настройка BI.ZONE EDR

Настройка отправки событий в R-Vision SIEM

Настройка экспорта событий в Kafka на стороне BI.ZONE EDR выполняется исключительно средствами вендора. Для выполнения данной настройки обратитесь к официальной документации BI.ZONE EDR.

Настройка в R-Vision SIEM

Для настройки сбора и нормализации событий BI.ZONE EDR в R-Vision SIEM выполните следующие шаги:

В интерфейсе R-Vision SIEM создайте новый конвейер в коллекторе.
Добавьте на конвейер элемент Точка входа со следующими параметрами:
- Название: введите произвольное, понятное название.
- Тип точки входа: выберите вариант Kafka.
- Адреса подключения: введите список адресов серверов в кластере Kafka (формат: IP-адрес:порт, например, 10.14.22.123:9092, 10.14.23.332:9092).
- Название группы потребителей: укажите название Consumer group (например, event-consumer-group).
- Названия топиков: укажите названия топиков Kafka, из которых будут читаться события.
- Включить TLS (опционально): активируйте для использования шифрования. При включении:
  - Выберите секрет типа Контейнер PKCS или Контейнер PKCS#12, хранящий данные сертификата TLS.
Добавьте на конвейер элемент Нормализатор с правилами BI.ZONE EDR (идентификаторы правил: RV-N-213, RV-N-214, RV-N-215, RV-N-216).
Соедините нормализатор с точкой входа.
Добавьте на конвейер элемент Конечная точка типа Хранилище событий.
Соедините конечную точку с нормализатором.
Сохраните и установите конфигурацию конвейера.

Пример конфигурации конвейера:

bizone edr pipeline

После настройки передачи событий, если настройка выполнена корректно, в хранилище начнут поступать события BI.ZONE EDR.

Найти события BI.ZONE EDR в хранилище можно по следующему фильтру:

normalization_rule_name = "BI.ZONE EDR"

bizone edr storage

Была ли полезна эта страница?