HP ProCurve: настройка источника

Данное руководство описывает процесс настройки сбора событий HP ProCurve и их отправки в R-Vision SIEM.

Предварительные требования

Перед настройкой пересылки событий в R-Vision SIEM убедитесь, что сетевая связность между устройствами HP ProCurve и промежуточным узлом обеспечена, а необходимые порты открыты.

Настройка HP ProCurve

Настройка отправки событий на промежуточный rsyslog-сервер

HP ProCurve поддерживает отправку только на порт 514 по протоколу UDP. Поэтому необходимо использовать промежуточный сервер rsyslog для приема и пересылки событий. Отправка сообщений осуществляется посредством протокола syslog.

Для настройки передачи событий выполните следующие команды в режиме глобальной конфигурации (configure terminal):

enable
configure
logging <target>
logging facility user
write memory

Здесь:

<target>: IP-адрес промежуточного сервера rsyslog.

Настройка на промежуточном rsyslog-сервере

Настройка отправки событий в R-Vision SIEM

На сервере rsyslog создайте конфигурационный файл ProCurve.conf:

if $fromhost-ip == '<host>' then {
  action(type="omfwd" Target="<target>" Port="<port>" Protocol="<protocol>")
  stop
}

Здесь:

<host>: IP-адрес HP ProCurve.
<target>: IP-адрес коллектора R-Vision SIEM.
<port>: порт точки входа Syslog на конвейере R-Vision SIEM.
<protocol>: транспортный протокол (tcp или udp).

Настройка в R-Vision SIEM

Для настройки сбора и нормализации событий источника в R-Vision SIEM выполните следующие шаги:

В интерфейсе R-Vision SIEM создайте новый конвейер в коллекторе.
Добавьте на конвейер элемент Точка входа со следующими параметрами:
- Название: введите название точки входа.
- Тип точки входа: выберите вариант Syslog.
- Порт точки входа: введите значение в соответствии с настройками на стороне промежуточного сервера.
- Протокол: выберите вариант в соответствии с настройками на стороне промежуточного сервера.
Добавьте элемент VRL-трансформация со следующим кодом:
```
.device_product = "procurve"
```
Соедините добавленную точку входа и VRL-трансформацию.
Добавьте на конвейер элемент Нормализатор с правилом Hewlett Packard Enterprise ProCurve (идентификатор правила: RV-N-321).
Соедините нормализатор с VRL-трансформацией.
Добавьте на конвейер элемент Конечная точка типа Хранилище событий.
Соедините конечную точку с нормализатором.
Сохраните и установите конфигурацию конвейера.

Пример конфигурации конвейера:

hp procurve pipeline

После настройки передачи событий, если настройка выполнена корректно, в хранилище начнут поступать события HP ProCurve.

Найти события HP ProCurve в хранилище можно по следующему фильтру:

device_product = "procurve"

Была ли полезна эта страница?