МойОфис Squadus: настройка источника

Данное руководство описывает процесс настройки сбора и отправки событий МойОфис Squadus в R-Vision SIEM.

Предварительные требования

Перед настройкой пересылки событий в R-Vision SIEM убедитесь, что сетевая доступность между сервером МойОфис Squadus и R-Vision SIEM (или промежуточным сервером Syslog) обеспечена, а необходимые порты открыты.

Настройка МойОфис Squadus

Для настройки отправки событий безопасности выполните следующие шаги:

Откройте на редактирование файл конфигурации Ansible-инвентаря /root/install_squadus/group_vars/squadus_setup/main.yml. Путь может отличаться в зависимости от вашей установки.

Приведите блок параметров журналирования к следующему виду:

# Включение отправки CEF-логов во внешний коллектор R-Vision SIEM.
syslog_ng_collector_send_remote_extra: true

# Сетевой адрес и порт коллектора R-Vision SIEM.
syslog_ng_external_collector_extra_ip: "<target>"
syslog_ng_external_collector_extra_port: <port>
syslog_ng_external_collector_extra_transport: <protocol>

# Фильтрация и состав отправляемых сервисов.
syslog_ng_cef_filter_pattern: "^CEF:"
syslog_ng_cef_filter_services:
  - "argon"
  - "aurum"
  - "bohrium"
  - "boron"
  - "calcium"
  - "chlorine"
  - "cobalt"
  - "copper"
  - "iridium"
  - "krypton"
  - "lithium"
  - "manganum"
  - "neon"
  - "praseodymium"
  - "radon"
  - "sodium"
  - "squadus"
  - "tennessine"
  - "zinc"
  - "zirconium"

Здесь:

<target> — IP-адрес или полное доменное имя (FQDN) коллектора R-Vision SIEM.
<port> — порт точки входа Syslog на конвейере R-Vision SIEM.
<protocol> — сетевой протокол (tcp или udp).

Подготовьте контейнер окружения с указанием пути к закрытому ключу SSH для авторизации на узлах кластера:

export SSH_PRIVATE_FILE=/root/.ssh/id_rsa
bash ~/install_squadus/contrib/scripts/squadus-operator-assistant

Так как среда выполнения Ansible в МойОфис Squadus изолирована, применение конфигурации выполняется через специализированный контейнер окружения оператора.

В псевдографическом меню помощника выберите пункт Переключиться в shell (пункт 5).
Перейдите в рабочий каталог с плейбуками и запустите обновление роли журналирования:
```
ansible-playbook playbooks/squadus.yml -i hosts.yml --tags syslog_ng --diff
```
Убедитесь, что в финальном отчете PLAY RECAP отсутствуют ошибки (failed=0, unreachable=0), а статус changed имеет ненулевое значение.

Настройка в R-Vision SIEM

Для настройки сбора и нормализации событий источника в R-Vision SIEM выполните следующие шаги:

В интерфейсе R-Vision SIEM создайте новый конвейер в коллекторе.
Добавьте на конвейер элемент Точка входа со следующими параметрами:
- Название: введите название точки входа.
- Тип точки входа: выберите вариант Syslog.
- Порт точки входа: введите значение в соответствии с настройками на стороне МойОфис Squadus.
- Протокол: выберите вариант в соответствии с настройками на стороне МойОфис Squadus.
Добавьте на конвейер элемент Нормализатор с правилами MyOffice Squadus (идентификатор правила: RV-N-397) и MyOffice Squadus Microservices (идентификатор правила: RV-N-398).
Соедините нормализатор с точкой входа.
Добавьте на конвейер элемент Конечная точка типа Хранилище событий.
Соедините конечную точку с нормализатором.
Сохраните и установите конфигурацию конвейера.