Ideco NGFW: настройка источника

Данное руководство описывает процесс настройки сбора и отправки событий Ideco NGFW в R-Vision SIEM.

Предварительные требования

Необходима сетевая доступность между Ideco NGFW и коллектором R-Vision SIEM.

Для пересылки событий, зарегистрированных Ideco NGFW, в R-Vision SIEM по протоколу Syslog:

Авторизуйтесь в веб-интерфейсе панели администрирования Ideco NGFW.
Перейдите в раздел Отчёты и журналы → Syslog
В открывшемся разделе введите данные коллектора R-Vision SIEM:
- IP-адрес: введите IP-адрес коллектора.
- Порт: введите порт коллектора, на который планируется отправлять события.
- Формат: выберите из выпадающего списка значение Syslog.
- Протокол передачи: выберите вариант TCP или UDP.
В верхнем левом углу переведите переключатель Syslog в активное положение.
Нажмите на кнопку Сохранить.

Настройка Ideco NGFW завершена.

Для настройки сбора и нормализации событий источника в R-Vision SIEM выполните следующие шаги:

В интерфейсе R-Vision SIEM создайте новый конвейер в коллекторе.
Добавьте на конвейер элемент Точка входа со следующими параметрами:
- Название: введите название точки входа.
- Тип точки входа: выберите вариант Syslog.
- Порт точки входа: введите значение в диапазоне 30000—32767.
- Протокол: выберите вариант в соответствии с настройками на стороне промежуточного syslog-сервера.
Добавьте на конвейер элемент VRL-трансформация со следующим содержимым:
```
.device_vendor = "ideco"
.device_product = "ngfw"
```
Соедините VRL-трансформацию с точкой входа.
Добавьте на конвейер элемент Нормализатор с правилом Ideco NGFW (идентификатор правила: RV-N-296).
Соедините нормализатор с VRL-трансформацией.
Добавьте на конвейер элемент Конечная точка типа Хранилище событий.
Соедините конечную точку с нормализатором.
Сохраните и установите конфигурацию конвейера.

Пример конфигурации конвейера:

ideco ngfw syslog pipeline

После настройки передачи событий, если настройка выполнена корректно, в хранилище начнут поступать события Ideco NGFW.

Найти события Ideco NGFW в хранилище можно по следующему фильтру:

normalization_rule_id = "RV-N-296"

ideco ngfw syslog storage

Была ли полезна эта страница?