UserGate UTM: настройка источника

Данное руководство описывает настройку сбора событий универсального шлюза безопасности UserGate и их отправки в хранилище R-Vision SIEM.

Настройка UserGate UTM

Чтобы настроить UserGate UTM для отправки логов, выполните следующие шаги:

Войдите в веб-интерфейс UserGate UTM с помощью учетной записи с правами администратора.

С данными учетной записи, созданной по умолчанию, можно ознакомиться в документации UserGate UTM.
Перейдите в раздел Журналы и отчеты → Журналы → Экспорт журналов.
Нажмите на кнопку Добавить ().
В появившемся окне Свойства правила экспорта журналов откройте вкладку Удаленный сервер.
Выберите Syslog в качестве типа сервера.
Введите IP-адрес коллектора SIEM.
Укажите порт коллектора SIEM.
Выберите требуемый протокол.
Укажите уровень критичности.
Выберите тип событий для отправки.
Перейдите на вкладку Журналы для экспорта.
Установите флажки напротив всех журналов, с которых планируется сбор событий на данном устройстве.
В качестве формата сбора событий выберите из выпадающего списка вариант CEF.
Сохраните изменения.

Чтобы настроить UserGate UTM для сбора логов с устройств, выполните следующие шаги:

Для настройки сбора и нормализации событий источника в R-Vision SIEM выполните следующие шаги:

В интерфейсе R-Vision SIEM создайте новый конвейер в коллекторе.
Добавьте на конвейер элемент Точка входа со следующими параметрами:
- Название: введите название точки входа.
- Тип точки входа: выберите вариант Syslog.
- Порт точки входа: введите значение в соответствии с настройками на стороне UserGate.
- Протокол: выберите вариант в соответствии с настройками на стороне UserGate.
Добавьте на конвейер элемент VRL-трансформация со следующим кодом:
```
.dvendor = "Usergate"
.dproduct = "UTM"
```
Соедините VRL-трансформацию с точкой входа.
Добавьте на конвейер элемент Нормализатор с правилом Usergate UTM 6 (идентификатор правила: RV-N-36).
Соедините нормализатор с VRL-трансформацией.
Добавьте на конвейер элемент Конечная точка типа Хранилище событий.
Соедините конечную точку с нормализатором.
Сохраните и установите конфигурацию конвейера.

Пример конфигурации конвейера:

UsergateUTMPipelineScheme

После настройки передачи событий, если настройка выполнена корректно, в хранилище начнут поступать события UserGate UTM.

Найти события UserGate UTM в хранилище можно по следующему фильтру:

dproduct = "UTM"

usergate utm storage

Была ли полезна эта страница?