Proxmox Virtual Environment: настройка источника

Данное руководство описывает процесс настройки сбора и отправки событий Proxmox Virtual Environment в R-Vision SIEM.

Предварительные требования

Сетевая доступность сервера СУБД источника по целевому порту и протоколу для каждой ноды кластера R-Vision SIEM.
Если служба rsyslog не запущена или отсутствует, установите и активируйте службу rsyslog согласно документации вашей операционной системы.

Настройка Proxmox Virtual Environment

Описание подсистемы журналирования

Журналирование событий Proxmox Virtual Environment осуществляется стандартными средствами ОС Linux, в которой установлена виртуализация, в файл /var/log/syslog. В журнал записываются события от следующих демонов:

pvedaemon;
pveupdate;
pvestatd;
pvefw-logger.

Наиболее информативные события поступают в файл /var/log/syslog от демона pvedaemon.

Настройка журналирования

Дополнительных действий по настройке журналирования на источнике не требуется.

Среда виртуализации не регистрирует события создания пользователя или группы в веб-интерфейсе Proxmox Virtual Environment.

Настройка отправки событий

Для пересылки событий, регистрируемых средой виртуализации, выполните следующие шаги:

На хосте виртуализации установите демон rsyslog с помощью команд:
```
apt update && apt upgrade -y
apt install rsyslog -y
```
В файле /etc/rsyslog.conf добавьте следующую строку для настройки пересылки логов:
```
*.*;auth,authpriv.none          @@<target>:<port>
```
Где <target> — IP-адрес или полное доменное имя (FQDN) коллектора R-Vision SIEM, <port> — порт точки входа типа Syslog на конвейере R-Vision SIEM (по протоколу tcp).

Настройка в R-Vision SIEM

Для настройки сбора и нормализации событий источника в R-Vision SIEM выполните следующие шаги:

В интерфейсе R-Vision SIEM создайте новый конвейер в коллекторе.
Добавьте на конвейер элемент Точка входа со следующими параметрами:
- Название: введите название точки входа.
- Тип точки входа: выберите вариант Syslog.
- Порт точки входа: введите значение в соответствии с настройками на стороне Proxmox Virtual Environment.
- Протокол: выберите вариант TCP.
Добавьте на конвейер элемент Нормализатор с правилом Proxmox Virtual Environment (идентификатор правила: RV-N-362).
Соедините нормализатор с точкой входа.
Добавьте на конвейер элемент Конечная точка типа Хранилище событий.
Соедините конечную точку с нормализатором.
Сохраните и установите конфигурацию конвейера.

Пример конфигурации конвейера:

proxmox virtual environmet pipeline

После настройки передачи событий, если настройка выполнена корректно, в хранилище начнут поступать события Proxmox Virtual Environment.

Найти события Proxmox Virtual Environment в хранилище можно по следующему фильтру:

device_product = "proxmox_ve"

proxmox virtual environmet storage

Была ли полезна эта страница?

Обратная связь