Suricata: настройка источника

Данное руководство описывает процесс настройки журнала eve-log и отправки событий Suricata в R-Vision SIEM.

Предварительные требования

Сетевая доступность нод кластера SIEM по целевому порту и протоколу для Suricata.

Настройка Suricata

В файле /etc/suricata/suricata.yaml включите в параметрах логирования eve-log для syslog:

 # Extensible Event Format (nicknamed EVE) event log in JSON format
  - eve-log:
      enabled: yes
      filetype: syslog #regular|syslog|unix_dgram|unix_stream|redis
      #filename: eve.json
      # Enable for multi-threaded eve.json output; output files are amended with
      # with an identifier, e.g., eve.9.json
      #threaded: false
      #prefix: "@cee: " # prefix to prepend to each log entry
      # the following are valid when type: syslog above
      identity: "suricata"
      facility: local5
      level: Warning ## possible levels: Emergency, Alert, Critical,
                   ## Error, Warning, Notice, Info, Debug
      #ethernet: no  # log ethernet header in events when available

Перезапустите службу suricata.service с помощью команды:
```
systemctl restart suricata.service
```
Настройте передачу событий по syslog. Для этого создайте файл /etc/rsyslog.d/50-suricata-eve.conf со следующим содержимым:
```
if $syslogtag == 'suricata' or $programname == 'suricata' then {
  action(type="omfwd" Target="<target>" Port="<port>" Protocol="<protocol>")
  stop
}
```
- <target>: IP-адрес или полное доменное имя (FQDN) коллектора R-Vision SIEM.
- <port>: порт точки входа Syslog в конвейере R-Vision SIEM.
- <protocol>: сетевой протокол (tcp или udp).
Перезапустите службу rsyslog.service с помощью команды:
```
systemctl restart rsyslog.service
```

Настройка передачи событий журнала eve-log завершена.

Настройка в R-Vision SIEM

Для настройки сбора и нормализации событий Suricata в R-Vision SIEM выполните следующие шаги:

В интерфейсе R-Vision SIEM создайте новый конвейер в коллекторе.
Добавьте на конвейер элемент Точка входа со следующими параметрами:
- Название: введите название точки входа.
- Тип точки входа: выберите вариант Syslog.
- Порт точки входа: введите значение в соответствии с настройками на стороне Suricata.
- Протокол: выберите вариант в соответствии с настройками на стороне Suricata.
Добавьте на конвейер элемент Нормализатор с правилом Suricata EVE (идентификатор правила: RV-N-314).
Соедините нормализатор с точкой входа.
Добавьте на конвейер элемент Конечная точка типа Хранилище событий.
Соедините конечную точку с нормализатором.
Сохраните и установите конфигурацию конвейера.