Red Hat Ansible Automation Platform (Automation Controller): настройка источника

Данное руководство описывает процесс настройки сбора и отправки событий Ansible Automation Platform (Automation Controller) в R-Vision SIEM. Ранее компонент Automation Controller был отдельным продуктом и назывался Ansible Tower, поэтому всё описанное в инструкции также применимо для Ansible Tower.

Предварительные требования

Сетевая доступность нод кластера SIEM по целевому порту и протоколу для источника.

Настройка Ansible Automation Platform (Automation Controller)

Чтобы настроить Ansible Automation Platform (Automation Controller), выполните следующие шаги:

Войдите в веб-интерфейс Ansible Automation Platform (Automation Controller).
Перейдите в раздел Settings → Automation Execution → Logging → Edit.
Задайте следующие параметры:
- Enable External Logging: переведите переключатель в активное положение.
- Logging Aggregator Type: выберите из выпадающего списка вариант Other.
- Logging Aggregator: введите IP-адрес коллектора R-Vision SIEM.
- Logging Aggregator Protocol: выберите из выпадающего списка вариант TCP или UDP.
- Logging Aggregator Port: введите порт точки входа типа Syslog.
Остальные параметры оставьте без изменений.
Сохраните настройки, нажав на кнопку Save.

Настройка в R-Vision SIEM

Для настройки сбора и нормализации событий источника в R-Vision SIEM выполните следующие шаги:

В интерфейсе R-Vision SIEM создайте новый конвейер в коллекторе.
Добавьте на конвейер элемент Точка входа со следующими параметрами:
- Название: введите название точки входа.
- Тип точки входа: выберите вариант Syslog.
- Порт точки входа: введите значение в соответствии с настройками на стороне Ansible Automation Platform (Automation Controller).
- Протокол: выберите вариант в соответствии с настройками на стороне Ansible Automation Platform (Automation Controller).
Добавьте на конвейер элемент VRL-трансформация со следующим кодом:
```
.device_product = "awx"
```
Соедините добавленную точку входа и VRL-трансформацию.
Добавьте на конвейер элемент Нормализатор с правилом Ansible AWX (идентификатор правила: RV-N-320).
Соедините нормализатор с VRL-трансформацией.
Добавьте на конвейер элемент Конечная точка типа Хранилище событий.
Соедините конечную точку с нормализатором.
Сохраните и установите конфигурацию конвейера.

Пример конфигурации конвейера:

ansible awx pipeline

После настройки передачи событий, если настройка выполнена корректно, в хранилище начнут поступать события Ansible Automation Platform (Automation Controller).

Найти события Ansible Automation Platform (Automation Controller) в хранилище можно по следующему фильтру:

device_product = "awx"

Была ли полезна эта страница?