MongoDB: настройка источника

Данное руководство описывает процесс настройки сбора и отправки событий MongoDB в R-Vision SIEM.

Предварительные требования

Сервер под управлением ОС Linux с установленным демоном rsyslog.
Сетевая доступность нод кластера SIEM по целевому порту и протоколу для источника.

Настройка MongoDB

Для пересылки логов MongoDB по протоколу Syslog выполните следующие шаги:

Откройте конфигурационный файл /etc/mongod.conf и отредактируйте параметры в блоке systemLog следующим образом:

systemLog:
  verbosity: 5 # default 0
  #traceAllExceptions: true
  destination: syslog
  timeStampFormat: iso8601-local
  # Default values were
  #destination: file
  #logAppend: true
  #path: /var/log/mongodb/mongod.log

Создайте правило в файле /etc/rsyslog.d/70-mongo.conf со следующим содержимым:
```
if $programname == 'mongod' or $programname == 'mongos' or $syslogtag == 'mongod' then {
  action(type="omfwd" Target="<target>" Port="<port>" Protocol="<protocol>")
  stop
}
```
Здесь:
- <target> — полное доменное имя (FQDN) или IP-адрес узла кластера Kubernetes, на котором запущен коллектор. Также поток логов может быть направлен на централизованный сервер rsyslog.
- <port> — порт точки входа типа Syslog в конвейере (указывается любой свободный порт больше 30000, точка входа должна быть создана заранее) либо порт сервера rsyslog.
- <protocol> — протокол передачи данных: tcp или udp.
Перезапустите службы, выполнив команды:
```
systemctl restart mongod
systemctl restart rsyslog
```

Настройка в R-Vision SIEM

Для настройки сбора и нормализации событий источника в R-Vision SIEM выполните следующие шаги:

В интерфейсе R-Vision SIEM создайте новый конвейер в коллекторе.
Добавьте на конвейер элемент Точка входа со следующими параметрами:
- Название: введите название точки входа.
- Тип точки входа: выберите вариант Syslog.
- Порт точки входа: введите значение в соответствии с настройками на стороне MongoDB.
- Протокол: выберите вариант в соответствии с настройками на стороне MongoDB.
Добавьте на конвейер элемент Нормализатор с правилом MongoDB (Community Edition) (идентификатор правила: RV-N-81).
Соедините нормализатор с точкой входа.
Добавьте на конвейер элемент Конечная точка типа Хранилище событий.
Соедините конечную точку с нормализатором.
Сохраните и установите конфигурацию конвейера.

Пример конфигурации конвейера:

mongodb pipeline

После настройки передачи событий, если настройка выполнена корректно, в хранилище начнут поступать события MongoDB.

Найти события MongoDB в хранилище можно по следующему фильтру:

dproduct = "MongoDB"

mongodb events storage filter

Таблица маппинга

Таблица соответствия полей события для всех рассмотренных типов событий представлена по ссылке.

Была ли полезна эта страница?