Elastic Winlogbeat: настройка источника

Данное руководство описывает процесс настройки сбора и отправки событий Winlogbeat в R-Vision SIEM.

Предварительные требования

Перед началом настройки убедитесь, что на узле, с которого планируется сбор событий, установлен агент Winlogbeat.

Настройка Winlogbeat

Настройка отправки событий Winlogbeat в R-Vision SIEM

Для пересылки логов Winlogbeat выполните следующие шаги:

В конфигурационном файле winlogbeat.yml добавьте logstash output:
```
output.logstash:
  hosts: ["<target>:<port>"]
```
Здесь:
- <target> — IP-адрес или полное доменное имя (FQDN) коллектора R-Vision SIEM.
- <port> — порт точки входа типа Logstash на конвейере R-Vision SIEM.
Сохраните конфигурационный файл.
Перезапустите службу Winlogbeat.

Настройка в R-Vision SIEM

Для настройки сбора и нормализации событий источника в R-Vision SIEM выполните следующие шаги:

В интерфейсе R-Vision SIEM в карточке коллектора перейдите на вкладку Обогащение и добавьте таблицы обогащения msobject и windows_security_categorization.
Перейдите на вкладку Конвейеры и создайте новый конвейер в коллекторе.
Добавьте на конвейер элемент Точка входа со следующими параметрами:
- Название: введите название точки входа.
- Тип точки входа: выберите вариант Logstash.
- Порт точки входа: введите значение в соответствии с настройками на стороне Winlogbeat.
Добавьте на конвейер элемент Нормализатор с правилом Elastic Winlogbeat To R-Vision Agent remapper (идентификатор правила: RV-N-364).
Соедините нормализатор с точкой входа.
Добавьте на конвейер второй элемент Нормализатор с правилами:
- Microsoft Windows Sysmon (идентификатор правила: RV-N-211);
- Microsoft Windows PowerShell (идентификатор правила: RV-N-218);
- Microsoft Windows Security (идентификатор правила: RV-N-222).
Соедините второй нормализатор с первым.
Добавьте на конвейер элемент Конечная точка типа Хранилище событий.
Соедините конечную точку со вторым нормализатором.
Сохраните и установите конфигурацию конвейера.

Пример конфигурации конвейера:

elastic winlogbeat pipeline

После настройки передачи событий, если настройка выполнена корректно, в хранилище начнут поступать события журналов Sysmon, PowerShell и Security, переданные через Winlogbeat.