Nextcloud: настройка источника

Данное руководство описывает процесс настройки сбора и отправки событий Nextcloud в R-Vision SIEM.

Настройка Nextcloud

В настоящем руководстве рассматривается передача событий с помощью службы rsyslog. Предполагается, что rsyslog на станции с ОС Linux уже установлен.

Nextcloud может быть развернут как в операционной системе, так и в Docker-контейнере. В обоих случаях сбор событий осуществляется из одного и того же журнала. Однако в случае с Docker-инсталляцией требуется примонтировать директорию, содержащую файлы журнала, в корневую систему средствами Docker .

Для настройки источника выполните следующие шаги:

Добавьте или измените в файле $NEXTCLOUD_HOME/config/config.php следующие строки:
```
  'logfile' => '/var/log/nextcloud/nextcloud.log',
  'loglevel' => 1,
  'log_type' => 'file',
```
Здесь:
- logfile — расположение файла с последующим хранением логов.
- loglevel — уровень логирования: 1 (Info).
- log_type — тип логирования: file.
Настройте передачу событий из файла. Для этого создайте файл /etc/rsyslog.d/02-Nextcloud.conf со следующим содержимым:
```
module(load="imfile" mode="inotify")
input(
    type="imfile"
    File="/var/log/nextcloud/nextcloud.log"
    Tag="Nextcloud"
    Severity="info"
    Facility="local5"
)

if $syslogtag == 'Nextcloud' then {
  action(type="omfwd" Target="<target>" Port="<port>" Protocol="<protocol>")
  stop
}
```
Здесь:
- <target> — IP-адрес или полное доменное имя (FQDN) коллектора SIEM.
- <port> — порт точки входа Syslog на конвейере SIEM.
- <protocol> — сетевой протокол: tcp или udp.
Перезапустите службу rsyslog.service с помощью команды:
```
systemctl restart rsyslog.service
```

Настройка в R-Vision SIEM

Для настройки сбора и нормализации событий источника в R-Vision SIEM выполните следующие шаги:

В интерфейсе R-Vision SIEM создайте новый конвейер в коллекторе.
Добавьте на конвейер элемент Точка входа со следующими параметрами:
- Название: введите название точки входа.
- Тип точки входа: выберите вариант Syslog.
- Порт точки входа: введите значение в соответствии с настройками на стороне Nextcloud.
- Протокол: выберите вариант в соответствии с настройками на стороне Nextcloud.
Добавьте на конвейер элемент VRL-трансформация со следующим содержимым:
```
.dproduct = "Nextcloud"
```
Соедините VRL-трансформацию с точкой входа.
Добавьте на конвейер элемент Нормализатор с правилом Nextcloud GmbH Nextcloud (идентификатор правила: RV-N-167).
Соедините нормализатор с VRL-трансформацией.
Добавьте на конвейер элемент Конечная точка типа Хранилище событий.
Соедините конечную точку с нормализатором.
Сохраните и установите конфигурацию конвейера.

Пример конфигурации конвейера:

Nextcloud syslog main conv

После настройки передачи событий, если настройка выполнена корректно, в хранилище начнут поступать события Nextcloud.

Найти события Nextcloud в хранилище можно по следующему фильтру:

dproduct = "Nextcloud"

nextcloud storage

Таблица маппинга

Таблица соответствия полей события для всех рассмотренных типов событий представлена по ссылке.

Была ли полезна эта страница?