Настройка публикации событий приложения в SIEM-систему

Вы можете настроить публикацию событий в формате CEF во внешнюю SIEM-систему, а также сохранять их локально в файлы журналов на сервере. Если сохранять события локально не требуется, пропустите шаги 3, 5, 6 инструкции этого раздела.

Выполните шаги по настройке публикации событий на каждом узле кластера, события с которого вы хотите публиковать в SIEM-систему. Только после настройки публикации событий следует включать экспорт событий в формате CEF.

Чтобы настроить публикацию событий приложения в SIEM-систему:

  1. Запустите командную оболочку операционной системы на узле кластера для выполнения команд с полномочиями суперпользователя (администратора системы).
  2. Создайте файл /etc/rsyslog.d/klms-cef-messages.conf и добавьте в него следующие строки:

    $ActionQueueFileName ForwardToSIEM

    $ActionQueueMaxDiskSpace 1g

    $ActionQueueSaveOnShutdown on

    $ActionQueueType LinkedList

    $ActionResumeRetryCount -1

    <категория (facility)>.* @@<IP-адрес SIEM-системы>:<порт, на котором SIEM-система принимает сообщения от Syslog по протоколу TCP>

  3. Если вы хотите сохранять события локально, добавьте в тот же файл строку:

    <категория (facility) для формата CEF>.* -/var/log/klms-cef-messages

  4. В конец файла добавьте строку:

    <категория (facility) для формата CEF>.* stop

    Пример файла:

    # Publish CEF messages to the SIEM system

    $ActionQueueFileName ForwardToSIEM

    $ActionQueueMaxDiskSpace 1g

    $ActionQueueSaveOnShutdown on

    $ActionQueueType LinkedList

    $ActionResumeRetryCount -1

    local2.* @@10.16.32.64:514

     

    # Also store CEF messages locally

    local2.* -/var/log/klms-cef-messages

     

    # Prevent logging to the system log files

    local2.* stop
  5. Если вы хотите сохранять события локально, создайте файл журнала /var/log/klms-cef-messages и настройте права доступа к нему. Для этого выполните команды:

    touch /var/log/klms-cef-messages

    chown root:klusers /var/log/klms-cef-messages

    chmod 640 /var/log/klms-cef-messages

  6. При необходимости настройте правила ротации файлов журналов с экспортированными событиями. Для этого создайте файл /etc/logrotate.d/klms-cef-messages и добавьте в него следующие строки:

    /var/log/klms-cef-messages

    {

      size 500M

      rotate 10

      compress

      missingok

      notifempty

      sharedscripts

      postrotate

      /usr/bin/systemctl kill -s HUP rsyslog.service >/dev/null 2>&1 || true

      endscript

    }

  7. Перезапустите службу rsyslog. Для этого выполните команду:

    service rsyslog restart

Публикация событий приложения в SIEM-систему будет настроена.

В начало