PT Application Firewall 4: настройка источника

Данное руководство описывает процесс настройки сбора и отправки событий Positive Technologies Application Firewall 4 (PT AF 4) в R-Vision SIEM.

Предварительные требования

Сетевая доступность сервера PT AF 4 по целевому порту и протоколу до коллектора, который будет принимать события.

Настройка PT Application Firewall 4

Для настройки отправки событий на панели управления сервера PT AF 4 выполните следующие шаги:

В главном меню перейдите на вкладку Схема конфигурации.
В разделе Действия нажмите на кнопку .
Создайте новое действие со следующими параметрами:
- Название: введите значение Send to syslog.
- Тип: выберите вариант Отправлять событие на syslog-сервер.
- IP-адрес или имя узла: введите IP-адрес сервера syslog.
- Протокол: выберите вариант TCP или UDP.
- Порт: введите порт в диапазоне от 30000 до 32767.
- Максимальный размер: введите значение 65507.
- Шаблон: выберите вариант CEF.
  
  Остальные параметры оставьте без изменений.
Нажмите на кнопку Добавить действие.
После добавления действия перейдите в раздел Система → Отправка событий аудита.
Настройте параметры в соответствии с настройками точки входа конвейера R-Vision SIEM:
- Применить конфигурацию ко всем изолированным пространствам: включите.
- Активна: включите.
- Syslog-сервер: введите IP-адрес коллектора R-Vision SIEM.
- Протокол: выберите вариант TCP или UDP.
- Порт: введите порт в диапазоне от 30000 до 32767.
- Максимальный размер сообщения: оставьте значение по умолчанию.

Настройка PT AF 4 завершена.

Настройка в R-Vision SIEM

Для настройки сбора и нормализации событий источника в R-Vision SIEM выполните следующие шаги:

В интерфейсе R-Vision SIEM создайте новый конвейер в коллекторе.
Добавьте на конвейер элемент Точка входа со следующими параметрами:
- Название: введите название точки входа.
- Тип точки входа: выберите вариант Socket.
- Порт точки входа: введите значение в соответствии с настройками на стороне источника.
- Протокол: выберите вариант в соответствии с настройками на стороне источника.
Добавьте на конвейер элемент Нормализатор с правилами Positive Technologies Application Firewall 4 (идентификатор правила: RV-N-190) и Positive Technologies Application Firewall 4 Audit (идентификатор правила: RV-N-338).
Соедините нормализатор с точкой входа.
Добавьте на конвейер элемент Конечная точка типа Хранилище событий.
Соедините конечную точку с нормализатором.
Сохраните и установите конфигурацию конвейера.