Passwork: настройка источника

Данное руководство описывает процесс настройки сбора событий Passwork и их отправки в R-Vision SIEM.

Предварительные требования

Перед настройкой пересылки событий в R-Vision SIEM убедитесь в выполнении следующих условий:

Логирование событий настроено в соответствии с официальной документацией вендора.
Сетевая связность между сервером Passwork и SIEM (или промежуточным syslog-сервером) обеспечена, а необходимые порты открыты.

Настройка Passwork

Настройка журналирования Passwork

Чтобы включить журналирование Passwork, выполните следующие шаги:

В адресной строке браузера введите IP-адрес или доменное имя источника.
Войдите в источник под именем учетной записи, входящей в группу администраторов источника.
Перейдите в раздел Настройки и пользователи.
Нажмите на кнопку Системные настройки.
На вкладке Глобальные установите флажок Записывать историю действий в syslog или журнал событий Windows.
Нажмите на кнопку Сохранить.

Настройка отправки событий в R-Vision SIEM

Настройте отправку событий на syslog-сервер на стороне источника. Для этого необходимо настроить передачу событий из файла, создав файл /etc/rsyslog.d/02-passwork.conf со следующим содержимым:

if $msg contains "CEF:0|Passwork" then {
    action(type="omfwd"
           target="<target>"
           port="<port>"
           protocol="<protocol>"
    )
    stop
}

Здесь:

<target> — IP-адрес или полное доменное имя (FQDN) коллектора SIEM.
<port> — порт точки входа Syslog на конвейере SIEM.
<protocol> — сетевой протокол: tcp или udp.

Перезапустите службу rsyslog.service с помощью команды:

systemctl restart rsyslog.service

Настройка в R-Vision SIEM

Для настройки сбора и нормализации событий Passwork в R-Vision SIEM выполните следующие шаги:

В интерфейсе R-Vision SIEM создайте новый конвейер в коллекторе.
Добавьте на конвейер элемент Точка входа со следующими параметрами:
- Название: введите произвольное, понятное название.
- Тип точки входа: выберите вариант Syslog.
- Порт точки входа: введите значение в соответствии с настройками на стороне источника.
- Протокол: выберите вариант в соответствии с настройками на стороне источника.
Добавьте на конвейер элемент Нормализатор с правилом Passwork (идентификатор правила: RV-N-94).
Соедините нормализатор с точкой входа.
Добавьте на конвейер элемент Конечная точка типа Хранилище событий.
Соедините конечную точку с нормализатором.
Сохраните и установите конфигурацию конвейера.

Пример конфигурации конвейера:

passwork pipeline

После настройки передачи событий, если настройка выполнена корректно, в хранилище начнут поступать события Passwork.

Найти события Passwork в хранилище можно по следующему фильтру:

dproduct = "Passwork"

passwork storage

Таблица маппинга

Таблица соответствия полей события для всех рассмотренных типов событий представлена по ссылке.

Была ли полезна эта страница?