Orion Soft zVirt: настройка источника

Данное руководство описывает процесс настройки сбора и отправки событий Orion Soft zVirt в R-Vision SIEM.

Настройка Orion Soft zVirt

Журналирование событий аудита информационной безопасности сервиса Hosted Engine виртуализации zVirt по умолчанию ведется в СУБД PostgreSQL, которая запущена на том же хосте Hosted Engine. Записи из таблицы audit_log отображаются на портале администрирования в разделе События:

os zvirt event

Для настройки сбора событий выполните следующие подготовительные действия:

Разрешите подключение к СУБД извне по паролю. Для этого отредактируйте файл pg_hba.conf, добавив в него следующую строку:
```
host all all 0.0.0.0/0 md5
```
Перезапустите сервис PostgreSQL:
```
systemctl restart postgresql.service
```
Создайте учетную запись, из-под которой будет производиться подключение к СУБД. Для этого подключитесь к СУБД локально от имени учетной записи postgres:
```
sudo -u postgres psql
```
Создайте пользователя для чтения записей из таблицы аудита и наделите его правами на подключение к базе данных engine:
```
create user zvirt_logger;
alter role zvirt_logger with password 'password';
grant connect on engine to zvirt_logger;
```

Настройка в R-Vision SIEM

Для настройки сбора и нормализации событий источника в R-Vision SIEM выполните следующие шаги:

В интерфейсе R-Vision SIEM создайте секрет со строкой подключения. Для этого:
1. Перейдите в раздел Ресурсы → Секреты.
2. Нажмите на кнопку Создать ().
3. В раскрывшемся окне создания секрета заполните поля:
  - Название: введите название секрета.
  - Описание (опционально): опишите, для чего будет использоваться секрет.
  - Тип секрета: выберите вариант Строка подключения.
  - Строка подключения: введите строку вида:
    
    <jdbc:postgresql://<IP>:5432/engine?user=zvirt_logger&password=password - заменить на свою строку>
    
    Где:
    
    /engine: база данных, созданная сервисом zVirt;
    
    user=zvirt_logger: имя пользователя для подключения к СУБД;
    
    password=password: пароль пользователя СУБД.
4. Нажмите на кнопку Создать.
В интерфейсе R-Vision SIEM создайте новый конвейер в коллекторе.
Добавьте на конвейер элемент Точка входа со следующими параметрами:
- Название: введите название точки входа.
- Тип точки входа: выберите вариант Database.
- Драйвер базы данных: выберите вариант PostgreSQL.
- Адрес подключения: выберите секрет, созданный ранее.
- SQL-запрос: введите запрос вида:
  SELECT *, 'zVirt' AS appname FROM audit_log WHERE audit_log_id > ?::integer;
- Поле идентификатора: введите ключ audit_log_id со значением 1.
- Интервал запроса, секунд: введите значение 15.
Добавьте на конвейер элемент Нормализатор с правилом Orion Soft zVirt (идентификатор правила: RV-N-158).
Соедините нормализатор с точкой входа.
Добавьте на конвейер элемент Конечная точка типа Хранилище событий.
Соедините конечную точку с нормализатором.
Сохраните и установите конфигурацию конвейера.