Настройка ArcSight ESM

Чтобы ArcSight ESM мог получать события от Kaspersky Scan Engine, должен быть установлен ArcSight SmartConnector типа Syslog Daemon. Вы можете установить ArcSight SmartConnector на любой компьютер, который может подключаться к Kaspersky Scan Engine и ArcSight ESM.

Чтобы установить ArcSight SmartConnector:

  1. Запустите программу установки ArcSight SmartConnector.

    Эта программа является компонентом HP ArcSight и не входит в состав Kaspersky Scan Engine.

  2. Укажите директорию установки ArcSight SmartConnector (далее %ARCSIGHT_HOME%).
  3. Выберите Don't create links.
  4. После распаковки содержимого двоичного файла выберите Add a Connector.

    Окно "Connector Setup". Выбран вариант "Add a Connector".

    Выбор Add a Connector

    Если это окно не отображается, выполните следующую команду:

    %ARCSIGHT_HOME%/current/bin/runagentsetup.sh

  5. Выберите Syslog Daemon в качестве типа коннектора.
  6. Укажите параметры коннектора в форме Enter the parameter details следующим образом:
    • Network port. Укажите порт, на который Kaspersky Scan Engine должен отправлять события обнаружения.

      Укажите этот же порт в параметрах Kaspersky Scan Engine Syslog.

    • IP address. Укажите IP-адрес, на который Kaspersky Scan Engine должен отправлять события обнаружения.

      Укажите тот же IP-адрес в параметрах Kaspersky Scan Engine Syslog.

      Вы можете указать (ALL), если хотите, чтобы Arcsight SmartConnector получал события со всех сетевых интерфейсов компьютера, на котором он работает. Обратите внимание, что вы не можете указать (ALL) в файле конфигурации Kaspersky Scan Engine.

    • Protocol. Укажите Raw TCP.
    • Forwarder. Укажите false.

    Окно "Connector Setup". Network port = 9998, IP Address = (ALL), Protocol = Raw TCP, Forwarder = false.

    Определение параметров коннектора

    Нажмите Next.

  7. Укажите ArcSight Manager (encrypted) в качестве типа назначения.

    Окно "Connector Setup". Тип назначения. Выбран вариант "ArcSight Manager (encrypted)".

    Выбор типа назначения

    Нажмите Next.

  8. Укажите параметры назначения:
    • Manager Hostname. Укажите хост, на котором запущен ArcSight Manager.
    • Manager Port. Укажите хост, на котором доступен ArcSight Manager. Значение по умолчанию: 8443.
    • User. Укажите имя пользователя ArcSight ESM, у которого есть права на регистрацию коннектора.
    • Password. Укажите пароль пользователя ArcSight ESM.
    • AUP Master Destination. Укажите false.
    • Filter Out All Events. Укажите false.
    • Enable Demo CA. Укажите false.

    Окно "Connector Setup". Manager Hostname = 127.0.0.1, Manager Port = 8443, User = admin, Password is hidden, AUP Master Destination = false, Filter Out All Events = false, Enable Demo CA = false.

    Определение параметров назначения

    Нажмите Next.

  9. Укажите детали коннектора:
    • Имя (можно указать произвольное значение).
    • Местоположение (можно указать произвольное значение).
    • Расположение устройства, которое должно отправлять события на коннектор (можно указать произвольное значение или оставить его пустым).
    • Комментарий к коннектору (можно указать произвольное значение или оставить его пустым).

    Нажмите Next.

  10. Если параметры ArcSight Manager действительны, примите импорт сертификата из места назначения.
  11. Если сертификат импортирован успешно, установите сервис ArcSight SmartConnector.

    Если вы не запустите установку от имени пользователя root, отобразится следующее предупреждение:

    Окно "Connector Setup". Требуются права root.

    Если вы не запускаете установку от имени пользователя root

    Файл %ARCSIGHT_HOME%/current/logs/agent.log содержит сообщения о процессе установки.

    Вы можете пропустить следующий шаг, описывающий, как указать параметры службы.

    Если вы запускаете установку от имени пользователя root, выберите Install as a service.

    Нажмите Next.

  12. Укажите параметры службы.

    Рекомендуется установить имя службы, указанное в Service Internal Name, таким же, как имя коннектора.

    Окно "Connector Setup". Service Internal Name = smartConnector, Service Display Name = KL Smart Connector, Start the service automatically = Yes.

    Определение параметров службы

    Нажмите Next.

  13. Чтобы запустить ArcSight SmartConnector, выполните следующую команду:

    /etc/init.d/arc_$service_name start

    В этой команде $service_name – это внутреннее имя службы.

После завершения настройки ArcSight ESM вы можете настроить Kaspersky Scan Engine.

В начало страницы