Linux Auditd: настройка источника (R-Vision Endpoint)

Данное руководство описывает процесс отправки событий службы Linux Auditd с помощью агента R-Vision Endpoint в R-Vision SIEM.

Настройка Auditd

Настройка журналирования Auditd

Журналирование событий службы Auditd определяет, какие события будут регистрироваться в системе. Журналирование событий настраивается с помощью правил. Если у вас уже настроена служба Auditd, пропустите этот пункт и перейдите к настройке в R-Vision SIEM.

Для настройки журналирования выполните следующие шаги:

Проверьте, установлена ли служба Auditd, с помощью команды:
```
auditctl -v
```
- Если служба установлена, на экране отобразится версия установленной службы, например, auditctl version 3.0.7.
  
  Если версия установленной службы ниже 2.6, обновите службу согласно рекомендациям производителя ОС.
- Если служба не установлена, на экране отобразится сообщение об ошибке. В этом случае необходимо установить службу с помощью одной из следующих команд:
  - на ОС ALT Linux:
    
    apt-get install -y audit audispd-plugins
  - на ОС Astra Linux, Debian или Ubuntu:
    
    apt-get install -y auditd audispd-plugins
  - на ОС CentOS, Oracle Linux, Red Hat Enterprise Linux или РЕД ОС:
    
    yum install -y audit audispd-plugins
  - на ОС SUSE Linux Enterprise Server:
    
    zypper install audit audispd-plugins
  - на VMware Photon OS:
    
    sudo dnf install -y yum sudo yum install audit audispd-plugins
  - на ОС Platform V SberLinux OS Server:
    
    rpm install <path_to_audit-*.x86_64.rpm>
    
    Здесь <path_to_audit-*.x86_64.rpm> — путь к файлу audit-*.x86_64.rpm.
    
    Файл audit-*.x86_64.rpm нужно скопировать из пакета ./sberlinux-9-for-x86_64-baseos-rpms/Packages/a/audit-*.x86_64.rpm, который находится в архиве с установщиком Platform V SberLinux OS Server.
Запустите и добавьте службу Auditd в автозагрузку с помощью команды:
```
systemctl enable --now auditd.service
```
Включите в файле /etc/audit/auditd.conf обогащенный режим логирования:
```
log_format = ENRICHED
disp_qos = lossless
```
Обогащенный режим доступен для Auditd версии 2.6 и выше.
Настройте службу Auditd, применив рекомендованные компанией R-Vision правила Auditd. Для этого:
1. Скачайте правила по ссылке.
2. Скопируйте файл audit.rules в директорию /etc/audit/rules.d.
  
  Для РЕД ОС 8 используйте файл с правилами audit_redos8.rules.
3. Перезапустите службу Auditd с помощью команды:
  systemctl restart auditd.service
После перезапуска убедитесь, что служба запустилась корректно:
```
systemctl status auditd.service
```
Убедитесь в наличии событий в файле /var/log/audit/audit.log:
```
tail -f /var/log/audit/audit.log
```

Установка агента

Установите агент R-Vision Endpoint на станцию и настройте его связь с кластером R-Vision SIEM. После этого в веб-интерфейсе R-Vision SIEM в разделе Агенты появится информация о подключенном хосте.

Для установки агента обратитесь к инструкции Установка агента.

Для настройки подключения агента R-Vision Endpoint к кластеру R-Vision SIEM обратитесь к инструкции Подключение агента к системе.

После настройки связи агента с кластером R-Vision SIEM убедитесь, что рабочая станция появилась в списке агентов:

rpoint newly added host

Настройка в R-Vision SIEM

Настройка отправки событий в R-Vision SIEM

Чтобы настроить отправку событий в R-Vision SIEM, выполните следующие шаги:

В веб-интерфейсе R-Vision SIEM перейдите в раздел Агенты → Группы агентов.
Создайте группу и добавьте в нее узел, на котором установлен агент.
В созданной группе узлов в секции Чтение файлов укажите:
- Тип журнала: audit.
- Путь: /var/log/audit/audit.log.

Добавление узла в группу

Для добавления узла под управлением ОС Linux в созданную группу:

В веб-интерфейсе R-Vision SIEM перейдите в раздел Агенты.
Выберите нужный узел и нажмите на кнопку на панели инструментов.
Выберите ранее созданную группу и нажмите на кнопку Добавить.
Дождитесь применения политики группы на агенте.

Настройка обработки событий в R-Vision SIEM

Для настройки сбора и нормализации событий источника в R-Vision SIEM выполните следующие шаги:

В интерфейсе R-Vision SIEM создайте новый конвейер в коллекторе.
Добавьте на конвейер элемент Точка входа с типом R-Vision Endpoint.

Для настройки точки входа типа R-Vision Endpoint обратитесь к документации продукта R-Vision SIEM.
Добавьте на конвейер элемент Нормализатор с правилом Linux Auditd - правило интерпретации (шаг 3) (идентификатор правила: RV-N-186).
Соедините нормализатор с точкой входа.
Добавьте на конвейер элемент Конечная точка типа Хранилище событий.
Соедините конечную точку с нормализатором.
Сохраните и установите конфигурацию конвейера.

Пример конфигурации конвейера:

rpoint pipeline

После настройки передачи событий, если настройка выполнена корректно, в хранилище начнут поступать события хоста под управлением ОС Linux.

Найти события источника в хранилище можно по следующему фильтру:

device_product = "auditd"

auditd siem storage

Была ли полезна эта страница?

Обратная связь