Informazioni sulla configurazione dell'esportazione di eventi in un sistema SIEM

Espandi tutto | Comprimi tutto

Il processo di esportazione degli eventi da Kaspersky Security Center ai sistemi SIEM esterni coinvolge due parti: un mittente degli eventi (Kaspersky Security Center) e il destinatario di un evento (il sistema SIEM). È necessario configurare l'esportazione degli eventi nel sistema SIEM e in Kaspersky Security Center.

Le impostazioni specificate nel sistema SIEM dipendono dal particolare sistema in uso. In genere, per tutti i sistemi SIEM è necessario impostare un ricevitore ed eventualmente un parser dei messaggi per l'analisi degli eventi ricevuti.

Configurazione del ricevitore

Per la ricezione degli eventi inviati da Kaspersky Security Center, è necessario impostare il ricevitore nel sistema SIEM. In generale, le seguenti impostazioni devono essere specificate nel sistema SIEM:

• Protocollo di esportazione o tipo di input

  Si tratta del protocollo di trasferimento dei messaggi, TCP/IP o UDP. Questo protocollo deve corrispondere al protocollo specificato in Kaspersky Security Center.

• Porta

  Numero di porta per la connessione a Kaspersky Security Center. Questa porta deve corrispondere alla porta specificata in Kaspersky Security Center.

• Protocollo dei messaggi o tipo di origine

  Protocollo utilizzato per esportare gli eventi nel sistema SIEM. Può essere uno dei protocolli standard: Syslog, CEF o LEEF. Il sistema SIEM seleziona il parser dei messaggi in base al protocollo specificato.

A seconda del sistema SIEM in uso, potrebbe essere necessario specificare alcune impostazioni aggiuntive del ricevitore.

La figura seguente mostra la schermata di configurazione del ricevitore in ArcSight.

Configurazione del ricevitore in ArcSight

Parser dei messaggi

Gli eventi esportati vengono inviati ai sistemi SIEM come messaggi. Questi messaggi devono essere analizzati correttamente per consentire l'utilizzo delle informazioni sugli eventi nel sistema SIEM. I parser dei messaggi fanno parte del sistema SIEM: vengono utilizzati per suddividere il contenuto del messaggio nei campi appropriati, ad esempio l'ID degli eventi, la gravità, la descrizione, i parametri e così via. Questo consente al sistema SIEM di elaborare gli eventi ricevuti da Kaspersky Security Center in modo che possano essere memorizzati nel database del sistema SIEM.

Ogni sistema SIEM contiene un set di parser dei messaggi standard. Kaspersky offre inoltre parser dei messaggi per alcuni sistemi SIEM, ad esempio QRadar e ArcSight. È possibile scaricare questi parser dei messaggi dai siti Web dei sistemi SIEM corrispondenti. Durante la configurazione del ricevitore, è possibile scegliere di utilizzare uno dei parser dei messaggi standard o un parser dei messaggi di Kaspersky.

Vedere anche: Scenario: configurazione dell'esportazione di eventi nei sistemi SIEM

Inizio pagina