HP ProCurve: настройка источника

Данное руководство описывает процесс настройки сбора и отправки событий HP ProCurve в R-Vision SIEM.

Предварительные требования

Сетевая доступность нод кластера R-Vision SIEM (или промежуточного сервера rsyslog) по целевому порту и протоколу для источника.

Настройка HP ProCurve

HP ProCurve поддерживает отправку событий только на порт 514 по протоколу UDP. Поэтому необходимо использовать промежуточный сервер rsyslog для приема и пересылки событий.

Настройте отправку логов по syslog на оборудовании HP ProCurve. Для этого выполните следующие команды:
```
enable
conf t
logging <rsyslog_ip>
logging facility user
write memory
```
Здесь <rsyslog_ip> — IP-адрес промежуточного сервера rsyslog.
На сервере rsyslog настройте конфигурационный файл (например, /etc/rsyslog.d/38-ProCurve.conf) со следующим содержимым:
```
if $fromhost-ip == '<host>' then {
  action(type="omfwd" target="<target>" port="<port>" protocol="<protocol>")
  stop
}
```
Здесь:
- <host>: IP-адрес HP ProCurve.
- <target>: IP-адрес коллектора R-Vision SIEM.
- <port>: порт точки входа Syslog на конвейере R-Vision SIEM.
- <protocol>: транспортный протокол (tcp или udp).
Сохраните изменения и перезапустите службу rsyslog:
```
service rsyslog restart
```

Настройка на стороне источника завершена.

Настройка в R-Vision SIEM

Для настройки сбора и нормализации событий источника в R-Vision SIEM выполните следующие шаги:

В интерфейсе R-Vision SIEM создайте новый конвейер в коллекторе.
Добавьте на конвейер элемент Точка входа со следующими параметрами:
- Название: введите название точки входа.
- Тип точки входа: выберите вариант Syslog.
- Порт точки входа: введите значение в соответствии с настройками на стороне промежуточного сервера.
- Протокол: выберите вариант в соответствии с настройками на стороне промежуточного сервера.
Добавьте элемент VRL-трансформация со следующим кодом:
```
.dproduct = "ProCurve"
```
Соедините добавленную точку входа и VRL-трансформацию.
Добавьте на конвейер элемент Нормализатор с правилом (идентификатор правила: ).
Соедините нормализатор с VRL-трансформацией.
Добавьте на конвейер элемент Конечная точка типа Хранилище событий.
Соедините конечную точку с нормализатором.
Сохраните и установите конфигурацию конвейера.

Пример конфигурации конвейера:

hp procurve pipeline

После настройки передачи событий, если настройка выполнена корректно, в хранилище начнут поступать события HP ProCurve.

Найти события HP ProCurve в хранилище можно по следующему фильтру:

dproduct = "ProCurve"

hp procurve storage

Была ли полезна эта страница?