Configuración de la exportación de eventos en un sistema SIEM

El proceso de exportar eventos desde Kaspersky Security Center Cloud Console a sistemas SIEM externos involucra a dos partes: un remitente del evento – Kaspersky Security Center Cloud Console y un destinatario del evento – un sistema SIEM. Debe configurar la exportación de eventos en su sistema SIEM y en Kaspersky Security Center Cloud Console.

Los ajustes que especifique en el sistema SIEM dependerán del sistema particular que esté utilizando. En general, para todo sistema SIEM, deberá configurar un receptor y, opcionalmente, un analizador que procese los eventos recibidos.

Configuración del receptor

Para poder recibir los eventos enviados por Kaspersky Security Center Cloud Console, debe configurar el receptor en su sistema SIEM. Por lo general, deberá especificar los valores de los siguientes parámetros dentro del sistema SIEM:

• Puerto

  Especifique el número de puerto para conectar con Kaspersky Security Center Cloud Console. Este puerto debe ser igual que el puerto que especificó en Kaspersky Security Center Cloud Console durante la configuración con un sistema SIEM.

• Protocolo de mensajes o tipo de origen

  Especifique el formato Syslog.

Según el sistema SIEM utilizado, es posible que deba especificar la configuración del receptor adicional.

Analizadores sintácticos del mensaje

Los eventos exportados se transfieren al sistema SIEM en forma de mensajes. Estos mensajes deben analizarse; de lo contrario, el sistema SIEM no puede hacer uso de la información de los eventos. Los analizadores sintácticos de los mensajes son una parte del sistema SIEM; se utilizan para dividir los contenidos del mensaje en los campos relevantes, como ID del evento, gravedad, descripción, parámetros, etc. Esto permite al sistema SIEM procesar eventos recibidos de Kaspersky Security Center Cloud Console de modo que se puedan almacenar en la base de datos del sistema SIEM.