Код Безопасности Континент 4: настройка источника Syslog

Данное руководство описывает процесс настройки сбора и отправки событий аппаратно-программного комплекса шифрования (АПКШ) Континент 4 в R-Vision SIEM посредством Syslog.

Настройка Континент 4

Система позволяет отправлять события аудита во внешние системы посредством Syslog. Для передачи функциональных событий АПКШ Континент 4 во внешние системы можно воспользоваться вынесенной СУБД Postgres.

Для настройки Syslog на АПКШ Континент 4 выполните следующие шаги:

Подключитесь к центру управления сетью (далее — ЦУС) с помощью ПО "Континент. Менеджер конфигурации".
Откройте вкладку Структура.
Выберите узел безопасности (далее — УБ), с которого необходимо отправлять события в SIEM.
Вызовите контекстное меню для УБ и выберите пункт Свойства. Откроется меню настроек УБ.
Откройте вкладку Настройки журналирования.
Для параметра Детализация задайте значение Высокий.
Нажмите на кнопку добавления внешнего системного журнала.
Заполните следующие параметры:
- Адрес: введите IP-адрес коллектора SIEM или syslog-сервера, через который будут передаваться данные в SIEM.
- Порт: введите значение порта, который планируется прослушивать.
- Протокол: введите требуемый протокол.
- Временной интервал: выберите вариант Всегда.
  
  Настройки журналирования должны выглядеть следующим образом:
Нажмите на кнопку Применить.
Нажмите на кнопку ОК.
Отправьте конфигурацию на УБ. Для этого:
1. В главном меню нажмите на кнопку .
2. Отметьте УБ, для которого настраивалось внешнее журналирование.
3. Нажмите на кнопку ОК.

Настройка на стороне АПКШ Континент 4 завершена.

Настройка в R-Vision SIEM

Для настройки сбора и нормализации событий источника в R-Vision SIEM выполните следующие шаги:

В интерфейсе R-Vision SIEM создайте новый конвейер в коллекторе.
Добавьте на конвейер элемент Точка входа со следующими параметрами:
- Название: введите название точки входа.
- Тип точки входа: выберите вариант Syslog.
- Порт точки входа: введите значение в диапазоне 30000—32767.
- Протокол: выберите вариант в соответствии с настройками на стороне Континент 4.
Добавьте на конвейер элемент VRL-трансформация со следующим кодом:
```
.device_product = "kontinent"
.device_version = "4"
```
Соедините трансформацию с точкой входа.
Добавьте на конвейер элемент Нормализатор с правилами Код Безопасности Континент 4 NXLOG (идентификатор правила: RV-N-273) и Код Безопасности Континент 4 (идентификатор правила: RV-N-274).
Соедините нормализатор с трансформацией.
Добавьте на конвейер элемент Конечная точка типа Хранилище событий.
Соедините конечную точку с нормализатором.
Сохраните и установите конфигурацию конвейера.

Пример конфигурации конвейера:

kodbezopasnosti kontinent4 pipeline syslog

После настройки передачи событий, если настройка выполнена корректно, в хранилище начнут поступать события Континент 4.

Найти события Континент 4 в хранилище можно по следующему фильтру:

device_product = "kontinent" and device_version = "4"

kodbezopasnosti kontinent4 storage syslog

Была ли полезна эта страница?