Redis Enterprise Software: настройка источника

Данное руководство описывает процесс настройки сбора и отправки событий СУБД Redis Enterprise Software в R-Vision SIEM.

Предварительные требования

Перед настройкой пересылки событий в R-Vision SIEM убедитесь, что обеспечена сетевая доступность между сервером Redis Enterprise Software и R-Vision SIEM, а необходимые порты открыты.

Настройка Redis Enterprise Software

Настройка журналирования

Для настройки аудита базы данных Redis Enterprise Software выполните следующие шаги:

Войдите в инструмент rladmin, выполнив команду:
```
/opt/redislabs/bin/rladmin
```
Для настройки аудита кластера выполните команду:
```
rladmin>cluster config auditing db_conns audit_protocol TCP audit_address <connector_ip> audit_port <connector_port>

Database Connections Auditing configured successfully
```
Здесь:
- <connector_ip> — IP-адрес коннектора;
- <connector_port> — принимающий порт коннектора.
Для настройки аудита по умолчанию для новых экземпляров баз данных выполните команду:
```
rladmin>tune cluster db_conns_auditing enabled

Reconfiguring cluster: db_conns_auditing
Finished successfully
```
Для настройки аудита уже существующих экземпляров выполните команду:
```
rladmin>tune db db:1 db_conns_auditing enabled

Tuning database: BDB:1 db_conns_auditing set to true.

Finished successfully
```

Отправка событий Redis Enterprise Software

Для настройки отправки событий через rsyslog выполните следующие шаги:

Создайте файл конфигурации rsyslog:
```
sudo nano /etc/rsyslog.d/10-redis.conf
```
Добавьте в созданный файл следующее правило:
```
module(load="imfile" PollingInterval="10" mode="inotify")

input(type="imfile"
      File="/var/opt/redislabs/log/event_log.log"
      Tag="RedisEnterpriceSoftware"
      Severity="info"
      Facility="local7"
)

if $syslogtag == 'RedisEnterpriceSoftware' then {
    action(type="omfwd" target="<target>" port="<port>" protocol="<protocol>")
    stop
}
```
Здесь:
- <target> — IP-адрес или полное доменное имя (FQDN) централизованного сервера Syslog, с которого будет осуществляться отправка сообщений в R-Vision SIEM;
- <port> — порт точки входа Syslog на конвейере R-Vision SIEM: значение в диапазоне 30000—32767;
- <protocol> — сетевой протокол: tcp или udp.
Перезапустите службу rsyslog для применения изменений, выполнив команду:
```
sudo systemctl restart rsyslog
```

Настройка в R-Vision SIEM

Для настройки сбора и нормализации событий источника в R-Vision SIEM выполните следующие шаги:

В интерфейсе R-Vision SIEM создайте новый конвейер в коллекторе.
Добавьте на конвейер элемент Точка входа со следующими параметрами:
- Название: введите название точки входа.
- Тип точки входа: выберите вариант Syslog.
- Порт точки входа: введите значение в соответствии с настройками на стороне Redis Enterprise Software.
- Протокол: выберите вариант в соответствии с настройками на стороне Redis Enterprise Software.
Добавьте на конвейер элемент VRL-трансформация со следующим кодом:
```
.device_product = "redis_db"
```
Соедините точку входа с VRL-трансформацией.
Добавьте на конвейер элемент Нормализатор с правилом Redis Enterprise Software (идентификатор правила: RV-N-196).
Соедините нормализатор с VRL-трансформацией.
Добавьте на конвейер элемент Конечная точка типа Хранилище событий.
Соедините конечную точку с нормализатором.
Сохраните и установите конфигурацию конвейера.

Пример конфигурации конвейера:

redis enterprise pipeline

После настройки передачи событий, если настройка выполнена корректно, в хранилище начнут поступать события Redis Enterprise Software.

Найти события Redis Enterprise Software в хранилище можно по следующему фильтру:

device_product = "redis_db"

redis enterprise storage

Была ли полезна эта страница?

Обратная связь