OpenVPN Access Server: настройка источника

Данное руководство описывает процесс настройки сбора и отправки событий OpenVPN Access Server в R-Vision SIEM.

Предварительные требования

Сетевая доступность нод кластера SIEM по целевому порту и протоколу для источника.

Настройка OpenVPN Access Server

Запись событий сервиса OpenVPN в syslog по умолчанию выключена. Для настройки отправки событий выполните следующие шаги:

Откройте файл /usr/local/openvpn_as/etc/as.conf и добавьте в конец следующую строку:
```
SYSLOG=1
```
Перезапустите службу, выполнив команду:
```
systemctl restart openvpnas
```
Для настройки пересылки событий в R-Vision SIEM добавьте конфигурацию rsyslog в файл /etc/rsyslog.d/openvpnas.conf со следующим содержимым:
```
if $programname == 'openvpnas' then {
        action(type="omfwd" Target="<target>" Port="<port>" Protocol="tcp")
        stop
}
```
Здесь:
- <target> — IP-адрес или полное доменное имя (FQDN) коллектора SIEM.
- <port> — порт точки входа Syslog в конвейере SIEM.

Настройка в R-Vision SIEM

Для настройки сбора и нормализации событий источника в R-Vision SIEM выполните следующие шаги:

В интерфейсе R-Vision SIEM создайте новый конвейер в коллекторе.
Добавьте на конвейер элемент Точка входа со следующими параметрами:
- Название: введите название точки входа.
- Тип точки входа: выберите вариант Syslog.
- Порт точки входа: введите значение в соответствии с настройками на стороне OpenVPN Access Server.
- Протокол: выберите вариант TCP.
Добавьте на конвейер элемент Нормализатор с правилом OpenVPN Access Server (идентификатор правила: RV-N-165).
Соедините нормализатор с точкой входа.
Добавьте на конвейер элемент Конечная точка типа Хранилище событий.
Соедините конечную точку с нормализатором.
Сохраните и установите конфигурацию конвейера.

Пример конфигурации конвейера:

openvpn access server pipeline

После настройки передачи событий, если настройка выполнена корректно, в хранилище начнут поступать события OpenVPN Access Server.

Настройка обогащения IP-адресов (опционально)

Для работы некоторых правил корреляции может потребоваться обогащение IP-адресов источников подключения названиями стран. Данную настройку можно выполнить с помощью бесплатной версии базы данных MaxMind GeoIP Country Lite. База адресов общедоступна для загрузки из Интернета и периодически обновляется.

Для настройки обогащения выполните следующие шаги:

Загрузите базу данных GeoLite2-Country.mmdb в хранилище MinIO R-Vision SIEM в бакет object-storage.
Перейдите в коллектор на вкладку Обогащение.
Добавьте таблицу обогащения geoip.
Перейдите на вкладку Конвейеры и откройте созданный ранее конвейер.
Добавьте на конвейер элемент VRL-трансформация между элементами Нормализатор и Конечная точка.

В настройках элемента VRL-трансформация укажите следующий код:

geoip = get_enrichment_table_record!("geoip", {"ip": .src})
.cs1 = geoip.country.names.ru
.cs1Label = "Country"

Сохраните и установите конфигурацию конвейера.

Найти события OpenVPN Access Server в хранилище можно по следующему фильтру:

dproduct = "OpenVPN Access Server"

openvpn access server filter

Таблица маппинга

Таблица соответствия полей события для всех рассмотренных типов событий представлена по ссылке.

Была ли полезна эта страница?