Squid: настройка источника

Данное руководство описывает процесс настройки сбора и отправки событий Squid в R-Vision SIEM.

Настройка Squid

В настоящем руководстве рассматривается передача событий с помощью службы rsyslog. Предполагается, что rsyslog на станции с ОС Linux уже установлен.

Журналирование событий службы Squid по умолчанию ведется в директории /var/log/squid.

Для корректного отображения в R-Vision SIEM событий журнала access настройте на сервере Squid формат сообщений согласно следующим рекомендациям:

В файле /etc/squid/squid.conf найдите строку, задающую формат логов, и замените ее на следующий вариант:
```
logformat custom %>a - %un [%tl] "%rm %ru %Sh/%<A %mt %Ss" %03>Hs %<st
access_log daemon:/var/log/squid/access.log custom
```
Настройте передачу событий из файла. Для этого создайте файл /etc/rsyslog.d/10-Squid.conf со следующим содержимым:
```
module(load="imfile")

input(
    type="imfile"
    File="/var/log/squid/access.log"
    Tag="Squid"
    Severity="info"
    Facility="local4"
)

if $syslogtag == 'Squid' then {
  action(type="omfwd" target="<target>" port="<port>" protocol="<protocol>")
  stop
}
```
Здесь:
- <target> — IP-адрес или полное доменное имя (FQDN) коллектора SIEM.
- <port> — порт точки входа Syslog на конвейере SIEM.
- <protocol> — сетевой протокол: tcp или udp.
Перезапустите службу rsyslog с помощью команды:
```
systemctl restart rsyslog
```

Для настройки сбора и нормализации событий источника в R-Vision SIEM выполните следующие шаги:

В интерфейсе R-Vision SIEM создайте новый конвейер в коллекторе.
Добавьте на конвейер элемент Точка входа со следующими параметрами:
- Название: введите название точки входа.
- Тип точки входа: выберите вариант Syslog.
- Порт точки входа: введите значение в соответствии с настройками на стороне Squid.
- Протокол: выберите вариант в соответствии с настройками на стороне Squid.
Добавьте на конвейер элемент Нормализатор с правилом Squid (идентификатор правила: RV-N-309).
Соедините нормализатор с точкой входа.
Добавьте на конвейер элемент Конечная точка типа Хранилище событий.
Соедините конечную точку с нормализатором.
Сохраните и установите конфигурацию конвейера.

Пример конфигурации конвейера:

squid pipeline scheme

После настройки передачи событий, если настройка выполнена корректно, в хранилище начнут поступать события Squid.

Найти события Squid в хранилище можно по следующему фильтру:

device_product = "squid"

Была ли полезна эта страница?