СберТех Platform V Pangolin DB: настройка источника

Данное руководство описывает процесс настройки сбора и отправки событий Platform V Pangolin DB в R-Vision SIEM.

Настройка СберТех Platform V Pangolin DB

В настоящем руководстве рассматривается передача событий с помощью службы rsyslog. Предполагается, что rsyslog на станции с ОС Linux уже установлен.

Настройка журналирования

Для настройки аудита выберите один из подходящих вариантов: Вариант А (встроенный аудит СберТех Platform V Pangolin DB) или Вариант Б (универсальный pgaudit).

Вариант А: Настройка встроенного аудита СберТех Platform V Pangolin DB
Вариант Б: Настройка модуля pgaudit

Чтобы настроить встроенный аудит СберТех Platform V Pangolin DB, в файле postgresql.conf настройте параметры безопасности и вывода:

log_destination = 'syslog'
logging_collector = on
log_min_messages = warning
log_min_error_statement = error
log_checkpoints = on
log_connections = on
log_disconnections = on
log_error_verbosity = verbose
log_line_prefix = '%m %p %u %r '
log_statement = 'all'

syslog_facility = 'LOCAL0'
syslog_ident = 'postgres'

syslog_split_messages = off

Этот вариант обеспечивает детальный аудит SQL-запросов в формате CSV.

В конфигурационном файле postgresql.conf отредактируйте параметры:

log_destination = 'syslog'
log_connections = on
log_disconnections = on
log_line_prefix = '%m %p %u %r '
log_min_messages = warning
log_statement = 'NONE'

syslog_facility = 'LOCAL0'
syslog_ident = 'pangolin'

syslog_split_messages = off

# Подключение модуля.
shared_preload_libraries = 'pgaudit'

pgaudit.log = 'all'
pgaudit.log_catalog = on
pgaudit.log_parameter = on
pgaudit.log_relation = on

Затем перезапустите сервис СберТех Platform V Pangolin DB для примененения настроек (путь может отличаться):

/opt/pangolin-dbms-server-7/bin/pg_ctl -D /var/lib/pangolin/data7 restart

Отправка событий

Чтобы настроить отправку событий СберТех Platform V Pangolin DB:

Создайте файл /etc/rsyslog.d/60-pangolin.conf со следующим содержимым:
```
if $programname == 'pangolin' or $syslogtag == 'pangolin' then {
  action(type="omfwd" Target="<target>" Port="<port>" Protocol="<protocol>")
  stop
}
```
Здесь:
- <target> — IP-адрес или полное доменное имя (FQDN) коллектора SIEM.
- <port> — порт точки входа Syslog в конвейере SIEM.
- <protocol> — сетевой протокол: tcp или udp.
Перезапустите службу rsyslog.service с помощью команды:
```
systemctl restart rsyslog.service
```

Настройка интеграции с R-Vision SIEM

Для настройки сбора и нормализации событий источника в R-Vision SIEM выполните следующие шаги:

В веб-интерфейсе R-Vision SIEM перейдите в раздел Ресурсы → Коллекторы и создайте новый конвейер в коллекторе.
Добавьте на конвейер элемент Точка входа со следующими параметрами:
- Название: введите произвольное, понятное название.
- Тип точки входа: выберите вариант Syslog.
- Порт точки входа: введите значение в соответствии с настройками на стороне СберТех Platform V Pangolin DB.
- Протокол: выберите вариант в соответствии с настройками на стороне СберТех Platform V Pangolin DB.
Добавьте на конвейер элемент Нормализатор с правилом SberTech Pangolin SE (идентификатор правила: RV-N-350).
Соедините нормализатор с точкой входа.
Добавьте на конвейер элемент Конечная точка типа Хранилище событий.
Соедините конечную точку с нормализатором.
Сохраните и установите конфигурацию конвейера.

Пример конфигурации конвейера:

pangolin pipeline

После настройки передачи событий, если настройка выполнена корректно, в хранилище начнут поступать события СберТех Platform V Pangolin DB.

Найти события СберТех Platform V Pangolin DB в хранилище можно по следующему фильтру:

device_product = "pangolin"

Была ли полезна эта страница?