El proceso de exportación de eventos de Kaspersky Security Center Cloud Console a un sistema SIEM involucra dos participantes: un remitente de eventos (Kaspersky Security Center Cloud Console) y un receptor de eventos (el sistema SIEM). La exportación de eventos debe configurarse tanto en el sistema SIEM como en Kaspersky Security Center Cloud Console.
Los ajustes que especifique en el sistema SIEM dependerán del sistema particular que esté utilizando. En general, para todo sistema SIEM, deberá configurar un receptor y, opcionalmente, un analizador que procese los eventos recibidos.
Configuración del receptor
Para recibir los eventos transmitidos por Kaspersky Security Center Cloud Console, se necesita configurar un receptor en el sistema SIEM. Por lo general, deberá especificar los valores de los siguientes parámetros dentro del sistema SIEM:
Indique el número de puerto utilizado para conectarse a Kaspersky Security Center Cloud Console. El puerto debe ser el mismo que haya especificado en Kaspersky Security Center Cloud Console al configurar la exportación al sistema SIEM.
Elija el formato Syslog.
Según el sistema SIEM que utilice, deberá configurar algunas opciones adicionales del receptor.
Analizadores de mensajes
Los eventos exportados se transfieren al sistema SIEM en forma de mensajes. Estos mensajes deben analizarse; de lo contrario, el sistema SIEM no puede hacer uso de la información de los eventos. Los analizadores de mensajes son parte del sistema SIEM; están diseñados para leer el contenido de cada mensaje y extraer de este los campos relevantes (id. del evento, gravedad, descripción, parámetros, etc.). El análisis permite que el sistema SIEM procese los eventos que recibe de Kaspersky Security Center Cloud Console y que los almacene en su base de datos.