oVirt: настройка источника

Данное руководство описывает процесс отправки событий аудита ИБ сервиса Hosted Engine платформы виртуализации oVirt.

Предварительные требования

Перед настройкой пересылки событий в R-Vision SIEM убедитесь, что сетевая связность между сервером СУБД, используемым средством виртуализации oVirt, и SIEM обеспечена, а необходимые порты открыты.

Настройка oVirt

Для настройки источника выполните следующие шаги:

Разрешите подключаться к СУБД извне по паролю. Для этого добавьте в файл pg_hba.conf следующую строку:
```
host    all             all             0.0.0.0/0            md5
```
Перезапустите сервис, выполнив команду:
```
systemctl restart postgresql.service
```
Создайте учетную запись, от имени которой будет производиться подключение к СУБД. Для этого подключитесь к СУБД локально от имени учетной записи postgres:
```
sudo -u postgres psql
```
Создайте пользователя, который впоследствии будет читать записи из таблицы аудита, наделив его правами на подключение к базе engine:
```
CREATE USER ovirt_reader;
ALTER ROLE ovirt_reader WITH PASSWORD 'password';
GRANT CONNECT ON DATABASE engine TO ovirt_reader;
GRANT USAGE ON SCHEMA public TO ovirt_reader;
GRANT SELECT ON TABLE audit_log TO ovirt_reader;
```

Настройка в R-Vision SIEM

Для настройки сбора и нормализации событий источника в R-Vision SIEM выполните следующие шаги:

В интерфейсе R-Vision SIEM создайте секрет со строкой подключения. Для этого:
1. Перейдите в раздел Ресурсы → Секреты.
2. Нажмите на кнопку Создать ().
3. В раскрывшемся окне создания секрета заполните поля:
  - Название: введите название секрета.
  - Описание (опционально): опишите, для чего будет использоваться секрет.
  - Тип секрета: выберите вариант Строка подключения.
  - Строка подключения: введите строку вида:
    
    jdbc:postgresql://<ip_address>:<port>/engine?user=<user>&password=<password>
    
    Здесь:
    
    <ip_address> — адрес вашего сервера Hosted Engine.
    
    <port> — порт подключения к СУБД Hosted Engine. По умолчанию используется порт 5432.
    
    <user> — имя пользователя для подключения к Hosted Engine.
    
    <password> — пароль пользователя для СУБД Hosted Engine.
4. Нажмите на кнопку Создать.
В интерфейсе R-Vision SIEM в карточке коллектора перейдите на вкладку Обогащение.
Добавьте таблицу обогащения ovirt_audit_events.
Создайте новый конвейер в данном коллекторе.
Добавьте на конвейер элемент Точка входа со следующими параметрами:
- Название: введите название точки входа.
- Тип точки входа: выберите вариант Database.
- Драйвер базы данных: выберите вариант PostgreSQL.
- Адрес подключения: выберите созданный ранее секрет.
- SQL-запрос: для сбора логов из таблицы audit_log добавьте следующую команду:
  SELECT *, 'red_hat-ovirt' AS appname, (SELECT inet_server_addr()) AS server_ip FROM audit_log WHERE audit_log_id > ?::integer;
- Поле идентификатора: введите ключ audit_log_id со значением 1.
Добавьте на конвейер элемент Нормализатор с правилом oVirt (идентификатор правила: RV-N-367).
Соедините нормализатор с точкой входа.
Добавьте на конвейер элемент Конечная точка типа Хранилище событий.
Соедините конечную точку с нормализатором.
Сохраните и установите конфигурацию конвейера.