NetFlow Version 5: настройка источника

Данное руководство описывает процесс настройки сбора и отправки событий NetFlow Version 5 в R-Vision SIEM.

Предварительные требования

Перед настройкой пересылки событий в R-Vision SIEM убедитесь, что у получаемого R-Vision SIEM потока NetFlow данные структурированы в соответствии со стандартом Cisco.

Настройка NetFlow Version 5

Настройка NetFlow Version 5 различается в зависимости от операционной системы сетевого оборудования (например, Cisco IOS XE, Cisco IOS XR, Cisco NX-OS и других). Поэтому рекомендуется производить настройку в соответствии с эксплуатационной документацией производителя вашего оборудования.

Настройка в R-Vision SIEM

Для настройки сбора и нормализации событий источника в R-Vision SIEM выполните следующие шаги:

Перейдите в раздел Ресурсы → Коллекторы.
В карточке коллектора перейдите на вкладку Обогащение.
Добавьте таблицу обогащения netflow_tcp_flags.
В интерфейсе R-Vision SIEM создайте новый конвейер в коллекторе.
Добавьте на конвейер элемент Точка входа со следующими параметрами:
- Название: введите название точки входа.
- Тип точки входа: выберите вариант NetFlow.
- Порт точки входа: введите значение в соответствии с настройками на стороне NetFlow Version 5.
- Протокол: выберите вариант в соответствии с настройками на стороне NetFlow Version 5.
  
  Рекомендуется использовать порт в диапазоне 30 000 — 32 767 и протокол UDP.
Добавьте на конвейер элемент VRL-трансформация со следующим кодом:
```
. = .raw.netflow_packets[0].V5.bodies
```
Соедините точку входа с VRL-трансформацией.

Добавьте на конвейер еще один элемент VRL-трансформация со следующим кодом:

.raw = .
.id = uuid_v4()
.timestamp= %vector.ingest_timestamp
.tenantId = "${TENANT_ID}"
.collectorId = "${COLLECTOR_ID}"
.type = 0
.device_product = "netflow_v5"

Соедините вторую VRL-трансформацию с первой.
Добавьте на конвейер элемент Нормализатор с правилом NetFlow v5 (идентификатор правила: RV-N-272).
Соедините нормализатор со второй VRL-трансформацией.
Добавьте на конвейер элемент Конечная точка типа Хранилище событий.
Соедините конечную точку с нормализатором.
Сохраните и установите конфигурацию конвейера.