ИТ-Экспертиза САКУРА: настройка источника

Данное руководство описывает процесс настройки сбора и отправки событий ИТ-Экспертиза САКУРА в R-Vision SIEM.

Предварительные требования

Перед настройкой пересылки событий в R-Vision SIEM убедитесь, что обеспечена сетевая связность между сервером ИТ-Экспертиза САКУРА и R-Vision SIEM, а необходимые порты открыты.

Настройка ИТ-Экспертиза САКУРА

Настройка выполняется в консоли администратора в разделе Настройки → Обмены → Подписки.

Нажмите на кнопку создания подписки.
Заполните необходимые поля.
Выберите тип подписки SIEM.
Нажмите на поле Настройки, чтобы открыть окно Редактирование настроек: SIEM.
В поле Адреса получателей введите данные в формате <ip-address>:<port>, где <ip-address> — IP-адрес коллектора R-Vision SIEM, а <port> — порт точки входа на конвейере.

Если адресов несколько, укажите их через точку с запятой (;) без пробелов.
Нажмите на кнопку Редактировать шаблон.
Настройте текст сообщения согласно рекомендациям.
Нажмите на кнопку Сохранить. После этого ниже появятся дополнительные параметры.
Заполните вкладки Подписки на нарушения правил и Подписки на сервисные события.

Вкладка Сообщения подписчика заполняется автоматически по мере отправки сообщений.

Рекомендации по настройке подписок

Для разделения потоков данных создайте две отдельные подписки.

it expertise sakura subscription

Для создания подписки на нарушения правил (RULES) задайте следующие параметры:

В поле Название введите значение RULES.

В поле Шаблон сообщения введите следующий текст:

Тип подписки=[{{subscription.message_type}}] Дата создания события=[{{log_rule.created_at}}] Имя рабочего места=[{{ws.name}}] Организация рабочего места=[{{ws.company.name}}] Имя правила контроля=[{{log_rule.rule.name}}] ID сообщения по нарушениям=[{{log_rule.id}}] Сообщение в JSON=[{{log_rule.log}}]

На вкладке Подписки на нарушения правил установите все флажки.

Для создания подписки на сервисные события (SERVICES) задайте следующие параметры:

В поле Название введите значение SERVICES.

В поле Шаблон сообщения введите следующий текст:

Тип подписки=[{{subscription.message_type}}] Дата создания события=[{{log_ws.created_at}}] Имя рабочего места=[{{ws.name}}] Организация рабочего места=[{{ws.company.name}}] Тип сервисного события=[{{log_ws.type}}] ID сообщения по сервисным событиям=[{{log_ws.id}}] Сообщение в JSON=[{{log_ws.log}}]

На вкладке Подписки на сервисные события установите все флажки.

Настройка в R-Vision SIEM

Для настройки сбора и нормализации событий источника в R-Vision SIEM выполните следующие шаги:

В интерфейсе R-Vision SIEM создайте новый конвейер в коллекторе.
Добавьте на конвейер элемент Точка входа со следующими параметрами:
- Название: введите название точки входа.
- Тип точки входа: выберите вариант Socket.
- Порт точки входа: введите значение в соответствии с настройками на стороне ИТ-Экспертиза САКУРА.
- Протокол: выберите вариант в соответствии с настройками на стороне ИТ-Экспертиза САКУРА.
Добавьте на конвейер элемент VRL-трансформация со следующим кодом:
```
.device_product = "sakura"
```
Соедините точку входа с VRL-трансформацией.
Добавьте на конвейер элемент Нормализатор с правилом IT Expertise Sakura (идентификатор правила: RV-N-393).
Соедините нормализатор с VRL-трансформацией.
Добавьте на конвейер элемент Конечная точка типа Хранилище событий.
Соедините конечную точку с нормализатором.
Сохраните и установите конфигурацию конвейера.