Citrix Virtual Apps and Desktops: настройка источника

Данное руководство описывает процесс настройки сбора и отправки событий Citrix Virtual Apps and Desktops в R-Vision SIEM.

Предварительные требования

Перед настройкой пересылки событий в R-Vision SIEM убедитесь, что сетевая связность между Citrix Virtual Apps and Desktops и R-Vision SIEM обеспечена, а необходимые порты открыты.

Настройка Citrix Virtual Apps and Desktops

Описание подсистемы журналирования источника

Журналирование событий источника осуществляется по двум направлениям:

  1. События аудита, регистрируемые в консоли управления Citrix Web Studio. Они записываются системой в базу данных, указанную в процессе установки продукта. База данных может быть изменена в дальнейшем. Определить базу данных, куда Citrix Web Studio записывает события аудита, можно в веб-панели по пути Logging → Preferences:

    citrix vad logging db

    События аудита, хранящиеся в СУБД Microsoft SQL Server, собираются в R-Vision SIEM путем обращения к базе данных от имени специально подготовленной сервисной учетной записи.

  2. События сервисов, входящих в состав продукта Citrix Virtual Delivery Agent (VDA). Они регистрируются в журнале Application операционной системы Windows Server, на которой установлен продукт. События, относящиеся к сервисам Citrix, имеют источник (Source), начинающийся со слова Citrix:

    citrix vad logging journal

    События сервисов собираются в R-Vision SIEM путем установки агента R-Vision EVO Endpoint и настройки политики.

Настройка подсистемы журналирования на источнике

Дополнительных действий по настройке журналирования на источнике совершать не требуется.

Настройка отправки событий в R-Vision SIEM

Для пересылки событий аудита, регистрируемых в Citrix Web Studio, выполните следующие шаги:

  1. Создайте отдельную сервисную учетную запись в СУБД Microsoft SQL Server и выдайте ей права на чтение базы данных с журналом. Для этого:

    1. В SQL Server Management Studio подключитесь к экземпляру СУБД.

    2. В разделе Security нажмите правой кнопкой мыши на Logins.

    3. Выберите опцию New Login…​.

    4. В разделе General укажите параметры пользователя.

      citrix vad logging db create user

    5. В разделе User Mapping выберите базу данных с журналом.

    6. Установите флажок db_datareader.

      citrix vad logging db role

  2. Установите агент R-Vision EVO Endpoint и укажите адрес коллектора R-Vision SIEM на всех серверах, на которых установлены компоненты Citrix Virtual Delivery Agent (VDA).

Настройка политики сбора событий

Чтобы настроить сбор событий из журналов Citrix Virtual Apps and Desktops, выполните следующие шаги:

  1. В консоли управления R-Vision EVO Endpoint перейдите к настройке нужной группы агентов.

  2. Убедитесь, что переключатель Чтение файлов установлен в активное положение.

  3. Добавьте новый элемент политики со следующими параметрами:

    • Тип журналов: выберите вариант eventchannel.

    • Имя журналов: введите значение Application.

    • Фильтр (формат XPath): введите следующий фильтр:

      Event/System/Provider[@Name="Citrix Telemetry Service" or @Name="Citrix High Availability Service" or @Name="Citrix Broker Service" or @Name="Citrix Trust Service" or @Name="Citrix Storefront Service" or @Name="Citrix Privileged Admin Service" or @Name="Citrix Orchestration Service" or @Name="Citrix Monitor Service" or @Name="Citrix Machine Creation Service" or @Name="Citrix Host Service" or @Name="Citrix Environment Test Service" or @Name="Citrix Delegated Administration Service" or @Name="Citrix Configuration Service" or @Name="Citrix ConfigSync Service" or @Name="Citrix Configuration Logging Service" or @Name="Citrix App Library" or @Name="Citrix Analytics" or @Name="Citrix AD Identity Service"]

      Пример конфигурации:

      citrix vad group

  4. Добавьте хосты в созданную группу.

Настройка в R-Vision SIEM

Настройка сбора событий из журнала Application

Для настройки сбора и нормализации событий источника из журнала Application в R-Vision SIEM выполните следующие шаги:

  1. В интерфейсе R-Vision SIEM создайте новый конвейер в коллекторе.

  2. Добавьте на конвейер элемент Точка входа со следующими параметрами:

    • Название: введите название точки входа.

    • Тип точки входа: выберите вариант R-Vision EVO Endpoint.

    • Домен: введите значение в формате gw-<your_gateway_id>, где <your_gateway_id> — ID шлюза.

  3. Добавьте на конвейер элемент Нормализатор с правилом Citrix Virtual Apps and Desktops 7 (идентификатор правила: RV-N-324).

  4. Соедините нормализатор с точкой входа.

  5. Добавьте на конвейер элемент Конечная точка типа Хранилище событий.

  6. Соедините конечную точку с нормализатором.

  7. Сохраните и установите конфигурацию конвейера.

Пример конфигурации конвейера:

citrix vad agent pipeline

Настройка сбора событий из базы данных

Для настройки сбора и нормализации событий источника из базы данных в R-Vision SIEM выполните следующие шаги:

  1. В интерфейсе R-Vision SIEM создайте секрет со строкой подключения. Для этого:

    1. Перейдите в раздел Ресурсы → Секреты.

    2. Нажмите на кнопку Создать.

    3. В раскрывшемся окне создания секрета заполните поля:

      • Название: введите название секрета.

      • Описание (опционально): опишите, для чего будет использоваться секрет.

      • Тип секрета: выберите вариант Строка подключения.

      • Строка подключения: введите строку вида:

        jdbc:sqlserver://<ip-address>\<instance>:<port>;encrypt=false;databaseName=Citrix_Logs;user=<svc_rvision_siem>;password=<passw0rd>

        Где <ip-address> — IP-адрес сервера базы данных, <instance> — название экземпляра СУБД, <port> — порт подключения (по умолчанию 1433), <svc_rvision_siem> — имя учетной записи СУБД, <passw0rd> — пароль пользователя.

    4. Нажмите на кнопку Создать.

  2. В интерфейсе R-Vision SIEM создайте новый конвейер в коллекторе.

  3. Добавьте на конвейер элемент Точка входа со следующими параметрами:

    • Название: введите название точки входа.

    • Тип точки входа: выберите вариант Database.

    • Драйвер базы данных: выберите вариант MSSQL.

    • Адрес подключения: выберите секрет, созданный ранее.

    • SQL-запрос: введите следующий запрос для сбора событий из таблицы highleveloperation:

      SELECT 'Citrix Audit Logging' AS appname, table1.id AS table1id, table1.Text, table1.AdminMachineIP, table1.AdminId, table1.StartTime, table1.TargetTypes, table2.id, table2.EndTime, table2.IsSuccessful FROM Citrix_Logs.ConfigLoggingSchema.HighLevelOperationStart AS table1 JOIN Citrix_Logs.ConfigLoggingSchema.HighLevelOperationStop AS table2 ON table1.id = table2.id WHERE table1.id > ?;

    • Поле идентификатора: введите ключ table1.id со значением 1.

      Пример указания параметра Поле идентификатора:

      citrix vad identificator

  4. Добавьте на конвейер элемент Нормализатор с правилом Citrix Virtual Apps and Desktops 7 DB (идентификатор правила: RV-N-323).

  5. Соедините нормализатор с точкой входа.

  6. Добавьте на конвейер элемент Конечная точка типа Хранилище событий.

  7. Соедините конечную точку с нормализатором.

  8. Сохраните и установите конфигурацию конвейера.

Пример конфигурации конвейера:

citrix vad db pipeline

После настройки передачи событий, если настройка выполнена корректно, в хранилище начнут поступать события Citrix Virtual Apps and Desktops.

Найти события Citrix Virtual Apps and Desktops в хранилище можно по следующему фильтру:

device_product = "vad"

citrix vad events search

Была ли полезна эта страница?

+7 (499) 755 55 70 sales@rvision.ru

О компании Пользовательское соглашение Политика cookies

Обратная связь