Для настройки публикации событий в режиме Technical Support Mode требуется предварительно загрузить открытый ключ SSH в веб-интерфейсе приложения.
Перед началом настройки убедитесь, что вы включили экспорт событий в формате CEF.
Выполните инструкцию ниже на каждом узле кластера, события с которого вы хотите публиковать в SIEM-систему.
Чтобы настроить публикацию событий приложения в SIEM-систему:
Вы войдете в режим Technical Support Mode.
$ActionQueueFileName ForwardToSIEM
$ActionQueueMaxDiskSpace 1g
$ActionQueueSaveOnShutdown on
$ActionQueueType LinkedList
$ActionResumeRetryCount -1
<категория (facility)>.* @@<IP-адрес SIEM-системы>:<порт, на котором SIEM-система принимает сообщения от Syslog по протоколу TCP>
Перед внесением изменений в файл /etc/rsyslog.conf рекомендуется сделать его резервную копию. Ошибка при редактировании файла может привести к некорректной работе системы.
service rsyslog restart
Публикация событий приложения в SIEM-систему будет настроена.
В начало