В процедуре экспорта событий из Kaspersky Security Center Cloud Console во внешние SIEM-системы участвуют две стороны: отправитель событий – Kaspersky Security Center Cloud Console – и получатель событий – SIEM-система. Экспорт событий необходимо настроить в используемой SIEM-системе и в Kaspersky Security Center Cloud Console.
Настройки, выполняемые в SIEM-системе, зависят от того, какую систему вы используете. В общем случае для всех SIEM-систем необходимо настроить приемник сообщений и, при необходимости, анализатор сообщений, для того чтобы разложить полученные сообщения на поля.
Настройка приемника сообщений
Для SIEM-системы необходимо настроить приемник для получения событий, отправляемых Kaspersky Security Center Cloud Console. В общем случае в SIEM-системе необходимо указать следующие параметры:
Укажите номер порта для подключения к Kaspersky Security Center Cloud Console. Необходимо указать тот же номер порта, который был выбран в Kaspersky Security Center Cloud Console, в процессе настройки с SIEM-системой.
Укажите формат Syslog.
В зависимости от используемой SIEM-системы может потребоваться указать дополнительные параметры приемника сообщений.
Анализатор сообщений
Экспортируемые события передаются в SIEM-систему в виде сообщений. Затем к этим сообщениям применяется анализатор, для того чтобы информация о событиях была должным образом передана в SIEM-систему. Анализатор сообщений встроен в SIEM-систему; он используется для разбиения сообщения на поля, такие как идентификатор сообщения, уровень важности, описание и прочие параметры. В результате SIEM-система имеет возможность выполнять обработку событий, полученных из Kaspersky Security Center Cloud Console, таким образом, чтобы они сохранялись в базе данных SIEM-системы.