Nginx: настройка источника

Данное руководство описывает процесс настройки сбора и отправки событий Nginx в R-Vision SIEM.

Настройка Nginx

В настоящем руководстве рассматривается передача событий с помощью службы rsyslog. Предполагается, что rsyslog на станции с ОС Linux уже установлен.

Журналирование событий службы Nginx по умолчанию ведется в директории /var/log/nginx. Дополнительных действий по настройке журналирования не требуется.

Для настройки источника выполните следующие действия:

Настройте передачу событий из файла. Для этого создайте файл /etc/rsyslog.d/03-Nginx.conf со следующим содержимым:

$ModLoad imfile

$InputFileName /var/log/nginx/access.log
$InputFileTag nginx-access
$InputFileSeverity info
$InputFileFacility local4
$InputRunFileMonitor
$InputRunFileMonitor

$InputFileName /var/log/nginx/error.log
$InputFileTag nginx-error
$InputFileSeverity info
$InputFileFacility local7
$InputRunFileMonitor
$InputRunFileMonitor

if $syslogtag contains 'nginx' then {
  action(type="omfwd" target="<target>" port="<port>" protocol="<protocol>")
  stop
}

Здесь:

<target> — IP-адрес или полное доменное имя (FQDN) коллектора SIEM.
<port> — порт точки входа Syslog на конвейере SIEM.
<protocol> — сетевой протокол: tcp или udp.

Перезапустите службу rsyslog.service с помощью команды:
```
systemctl restart rsyslog.service
```

Настройка в R-Vision SIEM

Для настройки сбора и нормализации событий источника в R-Vision SIEM выполните следующие шаги:

В интерфейсе R-Vision SIEM создайте новый конвейер в коллекторе.
Добавьте на конвейер элемент Точка входа со следующими параметрами:
- Название: введите название точки входа.
- Тип точки входа: выберите вариант Syslog.
- Порт точки входа: введите значение в соответствии с настройками на стороне Nginx.
- Протокол: выберите вариант в соответствии с настройками на стороне Nginx.
Добавьте на конвейер элемент Нормализатор с одним из следующих правил:
- Nginx (идентификатор правила: RV-N-84);
- Nginx (идентификатор правила: RV-N-85);
- Nginx (идентификатор правила: RV-N-139);
- Nginx (идентификатор правила: RV-N-100500).
Соедините нормализатор с точкой входа.
Добавьте на конвейер элемент Конечная точка типа Хранилище событий.
Соедините конечную точку с нормализатором.
Сохраните и установите конфигурацию конвейера.

Пример конфигурации конвейера:

nginx pipeline scheme

После настройки передачи событий, если настройка выполнена корректно, в хранилище начнут поступать события Nginx.

Найти события Nginx в хранилище можно по следующему фильтру:

dproduct = "Nginx"

Таблица маппинга

Таблица соответствия полей события для всех рассмотренных типов событий представлена по ссылке.

Была ли полезна эта страница?