OpenBao: настройка источника

Данное руководство описывает процесс настройки сбора и отправки событий OpenBao в R-Vision SIEM.

Предварительные требования

Перед настройкой пересылки событий в R-Vision SIEM убедитесь, что сетевая связность между OpenBao и R-Vision SIEM или промежуточным узлом обеспечена, а необходимые порты открыты.

Настройка OpenBao

Настройка журналирования OpenBao

Для настройки журналирования OpenBao выполните следующие шаги:

В конфигурационный файл OpenBao bao.hcl вставьте в конец следующее:

audit "file" "file" {
  description = "File audit log"

  options = {
    file_path = "/var/log/openbao/audit.log"
    log_raw   = "false"
  }
}

В директории /etc/rsyslog.d/ создайте файл конфигурации с расширением .conf со следующим содержимым:
```
module(load="imfile" PollingInterval="10" mode="inotify")

input(type="imfile"
      File="/var/log/openbao/audit.log"
      Tag="openbao"
      Severity="info"
      Facility="local6"
)

local6.info action(type="omfwd" Target="<target>" Port="<port>" Protocol="<protocol>")
```
Где:
- <target> — IP-адрес или полное доменное имя (FQDN) коллектора R-Vision SIEM;
- <port> — порт точки входа типа Syslog на конвейере R-Vision SIEM;
- <protocol> — сетевой протокол: tcp или udp.
Перезапустите службу rsyslog, чтобы применить изменения:
```
sudo systemctl restart rsyslog
```

Настройка в R-Vision SIEM

Для настройки сбора и нормализации событий источника в R-Vision SIEM выполните следующие шаги:

В интерфейсе R-Vision SIEM создайте новый конвейер в коллекторе.
Добавьте на конвейер элемент Точка входа со следующими параметрами:
- Название: введите название точки входа.
- Тип точки входа: выберите вариант Syslog.
- Порт точки входа: введите значение в соответствии с настройками на стороне OpenBao.
- Протокол: выберите вариант в соответствии с настройками на стороне OpenBao.
Добавьте на конвейер элемент Нормализатор с правилом OpenBao (идентификатор правила: RV-N-384).
Соедините нормализатор с точкой входа.
Добавьте на конвейер элемент Конечная точка типа Хранилище событий.
Соедините конечную точку с нормализатором.
Сохраните и установите конфигурацию конвейера.

Пример конфигурации конвейера:

openbao pipeline

После настройки передачи событий, если настройка выполнена корректно, в хранилище начнут поступать события OpenBao.

Найти события OpenBao в хранилище можно по следующему фильтру:

device_product = "openbao"

openbao storage

Была ли полезна эта страница?