Атом Безопасность Staffcop: настройка источника

Данное руководство описывает процесс настройки сбора и отправки событий комплекса Staffcop в R-Vision SIEM.

Предварительные требования

Перед настройкой сбора событий в R-Vision SIEM убедитесь, что обеспечена сетевая доступность между сервером Staffcop или промежуточным сервером Syslog и узлами кластера R-Vision SIEM, а необходимые порты открыты.

Настройка Staffcop

Для настройки передачи событий выполните следующие шаги:

Войдите в консоль администратора Staffcop.
Перейдите на вкладку Политики и откройте политику Syslog коннектор.
В карточке политики Syslog коннектор на вкладке Свойства активируйте политику и установите флажок Формат логов: CEF.
В карточке политики Syslog коннектор на вкладке Фильтр укажите, какие источники и какие политики требуется регистрировать в R-Vision SIEM.
Нажмите на кнопку Сохранить.
Подключитесь по протоколу SSH к серверу Staffcop.
В директории /etc/rsyslog.d/ создайте конфигурационный файл, например, 50-siem.conf, со следующим содержимым:
```
$RepeatedMsgReduction off
if $programname=='staffcop' then {
  action(type="omfwd" Target="<target>" Port="<port>" Protocol="tcp")
  stop
}
```
Здесь:
- <target> — IP-адрес или полное доменное имя (FQDN) коллектора R-Vision SIEM.
- <port> — порт точки входа в конвейере R-Vision SIEM, настроенной для приема событий Staffcop.
Перезапустите службу rsyslog для применения изменений, выполнив команду:
```
sudo systemctl restart rsyslog
```

Настройка Staffcop завершена.

Настройка в R-Vision SIEM

Для настройки сбора и нормализации событий источника в R-Vision SIEM выполните следующие шаги:

В интерфейсе R-Vision SIEM создайте новый конвейер в коллекторе.
Добавьте на конвейер элемент Точка входа со следующими параметрами:
- Название: введите название точки входа.
- Тип точки входа: выберите вариант Syslog.
- Порт точки входа: введите значение в соответствии с настройками на стороне Staffcop.
- Протокол: выберите вариант в соответствии с настройками на стороне Staffcop.
Добавьте на конвейер элемент Нормализатор с правилом Атом Безопасность StaffCop (идентификатор правила: RV-N-372).
Соедините нормализатор с точкой входа.
Добавьте на конвейер элемент Конечная точка типа Хранилище событий.
Соедините конечную точку с нормализатором.
Сохраните и установите конфигурацию конвейера.