АЛТЭКС-СОФТ RedCheck: настройка источника

Данное руководство описывает процесс настройки сбора и отправки событий АЛТЭКС-СОФТ RedCheck в R-Vision SIEM.

Предварительные требования

Перед настройкой пересылки событий в R-Vision SIEM убедитесь, что обеспечена сетевая доступность между сервером АЛТЭКС-СОФТ RedCheck и коллектором R-Vision SIEM по целевому порту и протоколу.

Настройка АЛТЭКС-СОФТ RedCheck

Описание подсистемы журналирования

Журналирование событий компонентов источника осуществляется путем записи в соответствующие файлы. В журналах событий RedCheck регистрируются события следующих компонентов: REST API, служба сканирования, служба синхронизации и веб-клиент.

Система позволяет изменять каталоги, время хранения и уровень журналирования системных служб RedCheck с возможностью отправки по протоколу Syslog.

Компонент Тип Путь хранения файлов логов

Компонент	Тип	Путь хранения файлов логов
API	API	`/var/opt/redcheck-api/log`
Scan	Служба сканирования	`/var/opt/redcheck-scan-service/log`
SyncService	Служба синхронизации	`/var/opt/redcheck-sync-service/log`
WebClient	Веб-клиент	`/var/opt/redcheck-client/log`

API

/var/opt/redcheck-api/log

Scan

Служба сканирования

/var/opt/redcheck-scan-service/log

SyncService

Служба синхронизации

/var/opt/redcheck-sync-service/log

WebClient

Веб-клиент

/var/opt/redcheck-client/log

Настройка журналирования источника

Для обеспечения регистрации даты и времени события, уровня и источника сообщения настройте формат событий в следующих конфигурационных файлах:
- /var/opt/redcheck-client/conf/nlog.config;
- /var/opt/redcheck-scan-service/conf/nlog.config;
- /var/opt/redcheck-api/conf/nlog.config;
- /var/opt/redcheck-sync-service/conf/nlog.config.
Для событий, отправляемых по протоколу Syslog, скорректируйте значение параметра layout, оставив остальные параметры блока без изменений:
```
<target xsi:type="Network" name="syslog"
  layout="&lt;134&gt;1 ${date:format=yyyy-MM-ddTHH\:mm\:ss.fffzzz} ${machinename} ${logger} ${uppercase:${level}} - - ${message} ${exception:format=tostring}"
  ... />
```

Настройка отправки событий в R-Vision SIEM

Для настройки отправки событий на стороне источника выполните следующие шаги:

В веб-интерфейсе RedCheck перейдите в раздел Инструменты → Настройки → Логирование.
Выберите журнал, события которого требуется отправлять в SIEM.
В настройках выбранного компонента укажите значения параметров Сервер Syslog и Порт Syslog.
Для параметра Мин. уровень логирования для Syslog выберите вариант Info.

Здесь:
- <target> — IP-адрес или полное доменное имя (FQDN) коллектора R-Vision SIEM;
- <port> — значение порта UDP для точки входа Syslog на конвейере R-Vision SIEM.
Нажмите на кнопку Сохранить.
Аналогично настройте отправку событий по Syslog для оставшихся компонентов.

Настройка в R-Vision SIEM

Для настройки сбора и нормализации событий источника в R-Vision SIEM выполните следующие шаги:

В интерфейсе R-Vision SIEM создайте новый конвейер в коллекторе.
Добавьте на конвейер элемент Точка входа со следующими параметрами:
- Название: введите название точки входа.
- Тип точки входа: выберите вариант Syslog.
- Порт точки входа: введите значение в соответствии с настройками на стороне АЛТЭКС-СОФТ RedCheck.
- Протокол: выберите вариант UDP.
Добавьте на конвейер элемент VRL-трансформация со следующим кодом:
```
.device_product = "red_check_scanner"
```
Соедините точку входа с VRL-трансформацией.
Добавьте на конвейер элемент Нормализатор с правилом АЛТЭКС-СОФТ RedCheck (идентификатор правила: RV-N-401).
Соедините нормализатор с VRL-трансформацией.
Добавьте на конвейер элемент Конечная точка типа Хранилище событий.
Соедините конечную точку с нормализатором.
Сохраните и установите конфигурацию конвейера.