Elastic Auditbeat: настройка источника

Данное руководство описывает процесс настройки сбора и отправки событий Auditbeat в R-Vision SIEM.

Предварительные требования

Перед началом настройки убедитесь, что на узле, с которого планируется сбор событий, установлен агент Auditbeat.

Для пересылки логов Auditbeat выполните следующие шаги:

В конфигурационном файле /etc/auditbeat/auditbeat.yml добавьте logstash output:
```
output.logstash:
  hosts: ["<target>:<port>"]
```
Здесь:
- <target> — IP-адрес или полное доменное имя (FQDN) коллектора R-Vision SIEM.
- <port> — порт точки входа типа Logstash на конвейере R-Vision SIEM.
Сохраните конфигурационный файл.
Перезапустите службу auditbeat:
```
sudo systemctl restart auditbeat.service
```

Для настройки сбора и нормализации событий источника в R-Vision SIEM выполните следующие шаги:

В интерфейсе R-Vision SIEM в карточке коллектора перейдите на вкладку Обогащение и добавьте таблицы обогащения msobject и windows_security_categorization.
Перейдите на вкладку Конвейеры и создайте новый конвейер в коллекторе.
Добавьте на конвейер элемент Точка входа со следующими параметрами:
- Название: введите название точки входа.
- Тип точки входа: выберите вариант Logstash.
- Порт точки входа: введите значение в соответствии с настройками на стороне Auditbeat.
Добавьте на конвейер элемент Нормализатор с правилом Elastic Auditbeat (идентификатор правила: RV-N-378).
Соедините нормализатор с точкой входа.
Добавьте на конвейер элемент Конечная точка типа Хранилище событий.
Соедините конечную точку с нормализатором.
Сохраните и установите конфигурацию конвейера.

Пример конфигурации конвейера:

elastic auditbeat pipeline

После настройки передачи событий, если настройка выполнена корректно, в хранилище начнут поступать события настроенных на хосте модулей auditbeat.

Найти события источника в хранилище можно по следующему фильтру:

agent_name = "auditbeat"

elastic auditbeat storage

Была ли полезна эта страница?