Secret Net LSP: настройка источника

Данное руководство описывает процесс настройки сбора и отправки событий Secret Net LSP в R-Vision SIEM.

Предварительные требования

Перед настройкой пересылки событий в R-Vision SIEM убедитесь, что сетевая доступность между рабочей станцией с Secret Net LSP и R-Vision SIEM (или промежуточным узлом) обеспечена, а необходимые порты открыты.

События Secret Net LSP

Подробная информация о записываемых событиях приведена в документации Secret Net LSP.

Secret Net LSP записывает события в две базы данных: Системная и БД аудита.

Утилита syslog считывает события только из системной базы данных, так как журналы в базе данных аудита зашифрованы. Правило, указанное в данной инструкции, нормализует только события из системной базы данных, относящиеся к следующим типам:

Аутентификация через графический интерфейс или SSH.
Повышение привилегий.
Изменение политик.
Настройка аудита.
Резервное копирование.
Взаимодействие с журналами.
Взаимодействие с правилами межсетевого экрана.
Блокировка или разблокировка автоматизированного рабочего места (АРМ).

Сбор событий из базы данных аудита осуществляется посредством сервера безопасности Secret Net Studio, под управлением которого может находиться Secret Net LSP.

Настройка Secret Net LSP

Для отправки событий Secret Net LSP в R-Vision SIEM выполните следующие шаги:

Откройте файл /opt/secretnet/etc/syslog-ng/syslog-ng.conf с помощью команды:
```
sudo nano /opt/secretnet/etc/syslog-ng/syslog-ng.conf
```
Добавьте в файл строку для описания получателя (destination).
- Для передачи событий по протоколу UDP:
  destination rcollector { udp("<ip-адрес коллектора>" port(<слушаемый порт>));};
- Для передачи событий по протоколу TCP:
  destination rcollector { tcp("<ip-адрес коллектора>" port(<слушаемый порт>) log-fifo-size(1000));};
  Где <ip-адрес коллектора> — IP-адрес коллектора R-Vision SIEM, а <слушаемый порт> — порт точки входа на конвейере R-Vision SIEM.
Добавьте в этот же файл строку для маршрутизации логов (log):
```
log { source(src_main); destination(rcollector);};
```
Перезагрузите рабочую станцию.

Настройка в R-Vision SIEM

Для настройки сбора и нормализации событий источника в R-Vision SIEM выполните следующие шаги:

В интерфейсе R-Vision SIEM создайте новый конвейер в коллекторе.
Добавьте на конвейер элемент Точка входа со следующими параметрами:
- Название: введите название точки входа.
- Тип точки входа: выберите вариант Syslog.
- Порт точки входа: введите значение в соответствии с настройками на стороне Secret Net LSP.
- Протокол: выберите вариант в соответствии с настройками на стороне Secret Net LSP.
Добавьте на конвейер элемент VRL-трансформация со следующим кодом:
```
.device_product = "secretnet_studio_lsp"
```
Соедините точку входа с VRL-трансформацией.
Добавьте на конвейер элемент Нормализатор с правилом Security Code Secret Net LSP (идентификатор правила: RV-N-373).
Соедините нормализатор с VRL-трансформацией.
Добавьте на конвейер элемент Конечная точка типа Хранилище событий.
Соедините конечную точку с нормализатором.
Сохраните и установите конфигурацию конвейера.