JetBrains TeamCity: настройка источника

Данное руководство описывает процесс настройки сбора и отправки событий JetBrains TeamCity в R-Vision SIEM.

Предварительные требования

Перед настройкой пересылки событий в R-Vision SIEM убедитесь в выполнении следующих условий:

Обеспечена сетевая доступность между сервером JetBrains TeamCity и R-Vision SIEM (или промежуточным сервером Syslog), а необходимые порты открыты.
Создана учетная запись с правами на изменение конфигурации rsyslog.

Настройка JetBrains TeamCity

Настройка журналирования отдельных событий

Для включения журналирования событий аутентификации выполните следующие шаги:

Войдите в веб-интерфейс JetBrains TeamCity под учетной записью администратора.
В левом меню перейдите в раздел Administration → Server Administration → Diagnostics.
Откройте вкладку Internal Properties.

В открывшемся окне редактирования добавьте следующие строки:

teamcity.log.info.successfulUserLogin.authModuleRegexp=.*
teamcity.log.info.successfulUserLogin.silentUsernamesList=""

Сохраните изменения.

Отключение дублирования логов TeamCity

Для настройки корректного разделения журналов выполните следующие шаги:

Перейдите в корневую директорию TeamCity.
Откройте конфигурационный файл conf/teamcity-server-log4j.xml в текстовом редакторе:
```
nano conf/teamcity-server-log4j.xml
```
Найдите и измените параметры логгера ACTIVITIES:
1. Нажмите комбинацию клавиш CTRL+W для вызова строки поиска в редакторе nano.
2. Введите jetbrains.buildServer.ACTIVITIES и нажмите клавишу ENTER.
3. Добавьте атрибут additivity="false" в открывающий тег <Logger>.

Приведите целевой блок конфигурации к следующему виду:

    <Logger name="jetbrains.buildServer.ACTIVITIES" level="INFO" additivity="false">
      <AppenderRef ref="ACTIVITIES.LOG"/>
    </Logger>

Сохраните изменения в файле.
Подождите 1—2 минуты. Изменения вступят в силу автоматически, перезагрузка службы TeamCity не требуется.
Убедитесь, что новые записи аудита перестали поступать в основной журнал, выполнив команду мониторинга:
```
tail -f logs/teamcity-server.log
```

Настройка службы rsyslog

Чтобы настроить службу rsyslog, выполните следующие шаги:

Создайте файл конфигурации rsyslog:
```
sudo nano /etc/rsyslog.d/10-siem.conf
```

Добавьте в созданный файл одно из следующих правил:

module(load="imfile" PollingInterval="10")
input(type="imfile"
      File="/home/sea-admin/TeamCity/logs/teamcity-auth.log"
      Tag="teamcity-auth")
input(type="imfile"
      File="/home/sea-admin/TeamCity/logs/teamcity-activities.log"
      Tag="teamcity-act")
input(type="imfile"
      File="/home/sea-admin/TeamCity/logs/teamcity-server.log"
      Tag="teamcity-server")
if $syslogtag startswith 'teamcity' then {
   action(type="omfwd" target="<target>" port="<port>" protocol="<protocol>")
   stop
}

Здесь:

<target> — IP-адрес или полное доменное имя (FQDN) коллектора R-Vision SIEM.
<port> — порт точки входа Syslog на конвейере R-Vision SIEM.
<protocol> — сетевой протокол (tcp или udp).

Перезапустите службу rsyslog для применения изменений, выполнив команду:
```
sudo systemctl restart rsyslog
```

Настройка в R-Vision SIEM

Для настройки сбора и нормализации событий источника в R-Vision SIEM выполните следующие шаги:

В интерфейсе R-Vision SIEM создайте новый конвейер в коллекторе.
Добавьте на конвейер элемент Точка входа со следующими параметрами:
- Название: введите название точки входа.
- Тип точки входа: выберите вариант Syslog.
- Порт точки входа: введите значение в соответствии с настройками на стороне JetBrains TeamCity.
- Протокол: выберите вариант в соответствии с настройками на стороне JetBrains TeamCity.
Добавьте на конвейер элемент Нормализатор с правилами JetBrains TeamCity (идентификаторы правил: RV-N-254, RV-N-256, RV-N-403).
Соедините нормализатор с точкой входа.
Добавьте на конвейер элемент Конечная точка типа Хранилище событий.
Соедините конечную точку с нормализатором.
Сохраните и установите конфигурацию конвейера.