Acerca de la configuración de la exportación de eventos en un sistema SIEM
El proceso de exportar eventos desde Kaspersky Security Center Linux a sistemas SIEM externos involucra a dos partes: un remitente del evento, Kaspersky Security Center Linux y un destinatario del evento, el sistema SIEM. Debe configurar la exportación de eventos en su sistema SIEM y en Kaspersky Security Center Linux.
Los ajustes que especifique en el sistema SIEM dependerán del sistema particular que esté utilizando. En general, para todo sistema SIEM, deberá configurar un receptor y, opcionalmente, un analizador que procese los eventos recibidos.
Configuración del receptor
Para poder recibir los eventos enviados por Kaspersky Security Center Linux, debe configurar el receptor en su sistema SIEM. Por lo general, deberá especificar los valores de los siguientes parámetros dentro del sistema SIEM:
- Protocolo de exportación
Un protocolo de transferencia de mensajes, ya sea UDP, TCP o TLS sobre TCP. Este protocolo debe ser el mismo que el protocolo que especificó en Kaspersky Security Center Linux.
- Puerto
Número de puerto para conectar con Kaspersky Security Center Linux. Este puerto debe ser el mismo que el puerto que especifica en Kaspersky Security Center Linux durante la configuración con un sistema SIEM.
- Formato de los datos
Especifique el formato Syslog.
Según el sistema SIEM que utilice, debería especificar algunas configuraciones adicionales del destinatario.
La figura siguiente muestra la pantalla de configuración del destinatario en ArcSight.
Configuración del destinatario en ArcSight
Analizador sintáctico de mensajes
Los eventos exportados se transfieren al sistema SIEM en forma de mensajes. Estos mensajes deben analizarse; de lo contrario, el sistema SIEM no puede hacer uso de la información de los eventos. Los analizadores sintácticos de mensajes son parte del sistema SIEM; se usan para separar los contenido del mensaje en los campos relevantes, por ejemplo ID del evento, gravedad, descripción, parámetros, etcétera. Esto permite al sistema SIEM procesar eventos recibidos de Kaspersky Security Center Linux para que se puedan almacenar en la base de datos del sistema SIEM.