UserGate NGFW 6: настройка источника

Данное руководство описывает процесс настройки сбора и отправки событий UserGate NGFW 6 в R-Vision SIEM.

Предварительные требования

Сетевая доступность нод кластера SIEM по целевому порту и протоколу для источника.

Настройка UserGate NGFW 6

Настройка журналирования

Для настройки сбора событий в UserGate NGFW 6 и их последующей отправки в R-Vision SIEM выполните следующие действия:

Подключитесь к вашему устройству UserGate NGFW. Данные для подключения по умолчанию: https://<address>:8001/utm/login, где <address> — адрес сервера UserGate.
В процессе установки и первоначальной развертки оборудования должна быть установлена стандартная запись администратора Admin. Используйте данные этой учетной записи, чтобы авторизоваться на устройстве.
По умолчанию после входа в систему откроется дашборд со всеми событиями, происходящими во время работы UserGate NGFW.
Убедитесь, что ведется запись событий в журнал событий. Для этого перейдите в раздел Журнал событий. Все записанные события будут представлены в графическом интерфейсе.
Перейдите в раздел Экспорт журналов.
Создайте новый объект экспорта журналов.
Выберите необходимые журналы для экспорта.
На вкладке Удаленный сервер настройте узел R-Vision SIEM со следующими параметрами:
- Тип сервера: выберите из выпадющего списка вариант Syslog.
- Адрес сервера: введите IP-адрес узла R-Vision SIEM.
- Порт: укажите открытый порт коллектора R-Vision SIEM.
- Транспорт: выберите из выпадающего списка транспортный протокол, который будет использоваться для работы.
- Протокол: укажите формат отправляемых сообщений — Syslog (RFC 5424).
- Критичность: укажите уровень критичности.
- Объект: выберите из выпадающего списка тип событий для отправки.
- Имя хоста: введите имя хоста.
- Название приложения: укажите название приложения.
На вкладке Общие установите флажок в поле Включено, чтобы включить правило.

Настройка на стороне источника завершена.

Настройка в R-Vision SIEM

Для настройки сбора и нормализации событий источника в R-Vision SIEM выполните следующие шаги:

В интерфейсе R-Vision SIEM создайте новый конвейер в коллекторе.
Добавьте на конвейер элемент Точка входа со следующими параметрами:
- Название: введите название точки входа.
- Тип точки входа: выберите вариант Syslog.
- Порт точки входа: введите значение в соответствии с настройками на стороне UserGate NGFW 6.
- Протокол: выберите вариант в соответствии с настройками на стороне UserGate NGFW 6.
Добавьте на конвейер элемент VRL-трансформация со следующим кодом:
```
.dvendor = "Usergate"
.dproduct = "NGFW"
```
Соедините VRL-трансформацию с точкой входа.
Добавьте на конвейер элемент Нормализатор с правилом Usergate NGFW 6 (идентификатор правила: RV-N-35).
Соедините нормализатор с VRL-трансформацией.
Добавьте на конвейер элемент Конечная точка типа Хранилище событий.
Соедините конечную точку с нормализатором.
Сохраните и установите конфигурацию конвейера.

Пример конфигурации конвейера:

usergate ngfw 6 pipeline

После настройки передачи событий, если настройка выполнена корректно, в хранилище начнут поступать события UserGate NGFW 6.

Найти события UserGate NGFW 6 в хранилище можно по следующему фильтру:

dproduct = "NGFW"

usergate ngfw 6 storage

Таблица маппинга

Таблица соответствия полей события для всех рассмотренных типов событий представлена по ссылке.

Была ли полезна эта страница?