配置 Kaspersky Security Center Linux 以将事件导出到 SIEM 系统

扩展所有 | 折叠所有

要将事件导出到 SIEM 系统，必须在 Kaspersky Security Center Linux 中配置导出流程。

要在 Kaspersky Security Center Web Console 中配置到 SIEM 系统的导出：

1. 在主菜单，单击所需的管理服务器名称旁边的“设置”图标 ()。

   管理服务器属性窗口将打开。

2. 在“常规”选项卡上，选择“SIEM”区域。
3. 单击“设置”链接。

   “导出设置”区域将打开。

4. 在“导出设置”区域指定设置：
   • SIEM 系统服务器地址

     安装了当前使用的 SIEM 系统的服务器的 IP 地址。在您的 SIEM 系统设置中检查此值。

   • SIEM 系统端口

     用于在 Kaspersky Security Center Linux 和 SIEM 系统服务器之间建立连接的端口号。在 Kaspersky Security Center Linux 设置和 SIEM 系统的接收设置中指定该值。

   • 协议

     选择该协议用于传输消息到 SIEM 系统。您可以选择 TCP/IP、UDP 或 TLS over TCP 协议。

     如果选择 TLS over TCP 协议，则指定以下 TLS 设置：

     • 服务器身份验证

       在“服务器身份验证”字段中，可以选择值“受信任证书”或“SHA 指纹”：

       • 受信任证书。您可以接收来自受信任证书颁发机构 (CA) 的完整证书链（包括根证书），并将该文件上传到 Kaspersky Security Center Linux。Kaspersky Security Center Linux 会检查 SIEM 系统服务器的证书链是否也具有受信任 CA 的签名。

         要添加受信任证书，请单击“浏览 CA 证书文件”按钮，然后上传证书。

       • SHA 指纹。您可以在 Kaspersky Security Center Linux 中指定 SIEM 系统的完整证书链（包括根证书）的 SHA1 指纹。要添加 SHA1 指纹，请在“指纹”字段中输入，然后单击“添加”按钮。

       使用“添加客户端身份验证”设置，可以生成证书来对 Kaspersky Security Center Linux 进行身份验证。因此，您将使用 Kaspersky Security Center Linux 颁发的自签名证书。在这种情况下，您可以同时使用受信任证书和 SHA 指纹来对 SIEM 系统服务器进行身份验证。

     • 添加主题名称/主题备选名称

       主题名称是接收证书的域名。如果 SIEM 系统服务器的域名与 SIEM 系统服务器证书的主题名称不匹配，Kaspersky Security Center Linux 将无法连接到 SIEM 系统服务器。但是，SIEM 系统服务器的域名在证书中发生变化，则可以更改该域名。在这种情况下，您可以在“添加主题名称/主题备选名称”字段中指定主题名称。如果任一指定主题名称与 SIEM 系统证书的主题名称匹配，Kaspersky Security Center Linux 将验证 SIEM 系统服务器证书。

     • 添加客户端身份验证

       对于客户端身份验证，可以插入证书或在 Kaspersky Security Center Linux 中生成证书。

       • 插入证书。您可以使用从任何来源（例如，从任何受信任 CA）收到的证书。您必须指定以下证书类型之一的证书及其私钥：
         • X.509 证书 PEM。在“证书文件”字段中上传包含证书的文件，并在“密钥文件”字段中上传包含私钥的文件。这两个文件不相互依赖，文件的加载顺序也不重要。上传这两个文件后，在“密码或证书验证”字段中指定用于解码私钥的密码。如果私钥未编码，则密码可以为空值。
         • X.509 证书 PKCS12。在“证书文件”字段中上传包含证书及其私钥的单个文件。上传该文件后，在“密码或证书验证”字段中指定用于解码私钥的密码。如果私钥未编码，则密码可以为空值。
       • 生成密钥。您可以在 Kaspersky Security Center Linux 中生成自签名证书。结果，Kaspersky Security Center Linux 将存储生成的自签名证书，您可以将证书的公共部分或 SHA1 指纹传递给 SIEM 系统。
5. 如果需要，您可以从管理服务器数据库中导出压缩的事件，并设置要开始导出的压缩事件的开始日期：
   1. 单击设置导出起始日期链接。
   2. 在打开的区域的“导出的起始日期”字段中，指定开始日期。
   3. 单击“确定”按钮。
6. 将选项切换到“自动导出事件至 SIEM 系统数据库已启用”位置。
7. 要检查 SIEM 系统连接是否已成功配置，请单击检查连接按钮。

   将显示连接状态。

8. 单击“保存”按钮。

到 SIEM 系统的导出已配置。从现在开始，如果您在 SIEM 系统中配置了事件接收，管理服务器会将标记的事件导出到 SIEM 系统。如果设置了导出的开始日期，管理服务器还会从管理服务器数据库中导出从指定日期开始的标记事件。

另请参阅： 关于配置 SIEM 系统中的事件导出

页顶