DistKontrolUSB: настройка источника

Данное руководство описывает процесс настройки сбора и отправки событий DistKontrolUSB в R-Vision SIEM.

Предварительные требования

Обеспечено сетевое подключение конечного устройства к R-Vision SIEM.
Проведена первичная настройка оборудования согласно инструкции производителя.

Настройка DistKontrolUSB

При работе сервера на базе ОС Debian сбор логов осуществляется из файла /var/log/dku-64-logs/logs.log. В качестве инструмента для отправки данных в R-Vision SIEM используется служба rsyslog.

Для настройки передачи событий выполните следующие шаги:

Установите службу rsyslog (если она не установлена), выполнив команду:
```
sudo apt install rsyslog
```
Включите модуль работы с файлами в основном конфигурационном файле /etc/rsyslog.conf. Для этого добавьте в него следующую строку:
```
module(load="imfile")
```
Создайте новый конфигурационный файл (например, /etc/rsyslog.d/10-distKontrol.conf) и добавьте в него настройки чтения файла логов:
```
input(
    type="imfile"
    File="/var/log/dku-64-logs/logs.log"
    Tag="distKontrol"
    Severity="info"
    Facility="local7"
    PersistStateInterval="500"
    ReadMode="2"
)
```
В этот же файл /etc/rsyslog.d/10-distKontrol.conf добавьте настройки отправки событий на удаленный сервер:
```
*.* action(
    type="omfwd"
    Target="<IP-адрес_коллектора_SIEM>"
    Port="<порт_коллектора_SIEM>"
    Protocol="<tcp_или_udp>"
)
```
Где: * <IP-адрес_коллектора_SIEM>: IP-адрес узла кластера R-Vision SIEM, на котором развернут коллектор. * <порт_коллектора_SIEM>: порт, используемый точкой входа коллектора (рекомендуется использовать свободный порт в диапазоне 30000-32000). * <tcp_или_udp>: протокол передачи данных (соответствует настройкам точки входа).
Запустите службу rsyslog и добавьте ее в автозагрузку:
```
sudo systemctl enable --now rsyslog
```
Проверьте статус службы:
```
sudo systemctl status rsyslog
```
При успешной настройке статус службы будет активным.

Настройка в R-Vision SIEM

Для настройки сбора и нормализации событий источника в R-Vision SIEM выполните следующие шаги:

В интерфейсе R-Vision SIEM создайте новый конвейер в коллекторе.
Добавьте на конвейер элемент Точка входа со следующими параметрами:
- Название: введите название точки входа.
- Тип точки входа: выберите вариант Syslog.
- Порт точки входа: введите значение в соответствии с настройками на стороне DistKontrolUSB.
- Протокол: выберите вариант в соответствии с настройками на стороне DistKontrolUSB.

Добавьте VRL-трансформацию:

.dvendor = "DistKontrol"
.dproduct = "DistKontrolUSB"

Соедините добавленную точку входа и VRL-трансформацию.
Добавьте на конвейер элемент Нормализатор с правилом DistKontrolUSB (идентификатор правила: RV-N-32).
Соедините нормализатор с VRL-трансформацией.
Добавьте на конвейер элемент Конечная точка типа Хранилище событий.
Соедините конечную точку с нормализатором.
Сохраните и установите конфигурацию конвейера.

Пример конфигурации конвейера: dkusb pipeline

После настройки передачи событий, если настройка выполнена корректно, в хранилище начнут поступать события DistKontrolUSB.

Найти события DistKontrolUSB в хранилище можно по следующему фильтру:

dproduct = "DistKontrolUSB"

dkusb storage

Была ли полезна эта страница?