Proxmox Virtual Environment: настройка источника

Данное руководство описывает процесс отправки событий источника Proxmox Virtual Environment (PVE) в R-Vision SIEM.

Настройка Proxmox Virtual Environment

Описание подсистемы журналирования

Журналирование событий Proxmox Virtual Environment осуществляется стандартными средствами ОС Linux, в которой установлена виртуализация в файл /var/log/syslog. В журнал пишутся события от следующих демонов:

pvedaemon;
pveupdate;
pvestatd;
pvefw-logger.

Наиболее информативные события поступают в файл /var/log/syslog от демона pvedaemon.

Настройка журналирования

Дополнительных действий по настройке журналирования на источнике не требуется.

Среда виртуализации не регистрирует события создания пользователя или группы в веб-интерфейсе Proxmox Virtual Environment.

Настройка отправки событий

Для пересылки событий, регистрируемых средой виртуализации, выполните следующие действия:

На хосте виртуализации PVE установите демон rsyslog:
```
apt update && apt upgrade -y
apt install rsyslog -y
```
В файле /etc/rsyslog.conf измените логирование:
```
*.*;auth,authpriv.none          @@10.150.30.89:30124
```
Укажите свой адрес коллектора, протокол tcp и порт точки входа SIEM.

Настройка в R-Vision SIEM

Для настройки сбора и нормализации событий источника в R-Vision SIEM выполните следующие шаги:

В интерфейсе R-Vision SIEM создайте новый конвейер в коллекторе.
Добавьте на конвейер элемент Точка входа со следующими параметрами:
- Название: введите название точки входа.
- Тип точки входа: выберите вариант Syslog.
- Порт точки входа: введите значение в соответствии с настройками на стороне Proxmox Virtual Environment.
- Протокол: выберите вариант TCP.

Добавьте VRL-трансформацию:

.dvendor = "Proxmox"
.dproduct = "Virtual Environment"

Соедините добавленную точку входа и VRL-трансформацию.
Добавьте на конвейер элемент Нормализатор с правилом Нормализация событий Proxmox Virtual Environment (идентификатор правила: RV-N-101).
Соедините нормализатор с VRL-трансформацией.
Добавьте на конвейер элемент Конечная точка типа Хранилище событий.
Соедините конечную точку с нормализатором.
Сохраните и установите конфигурацию конвейера.

Пример конфигурации конвейера:

proxmox virtual environmet pipeline

После настройки передачи событий, если настройка выполнена корректно, в хранилище начнут поступать события Proxmox Virtual Environment.

Найти события Proxmox Virtual Environment в хранилище можно по следующему фильтру:

dvendor = "Proxmox"

proxmox virtual environmet storage

Таблица маппинга

Таблица соответствия полей события для всех рассмотренных типов событий представлена по ссылке.

Была ли полезна эта страница?