После сохранения на Управляющем узле параметры публикации событий распространяются на все узлы кластера. Только после настройки публикации событий следует включать экспорт событий в формате CEF.
Чтобы настроить публикацию событий приложения в SIEM-систему:
В окне веб-интерфейса приложения выберите раздел Параметры → Внешние службы → Журналирование на внешнем сервере.
Если вы хотите использовать журналирование на внешнем сервере, включите переключатель Использовать журналирование на внешнем сервере.
В блоке параметров Категория выберите категории событий для отправки в SIEM-систему. Возможные категории:
Журнал аудита безопасности системы (authpriv).
Журнал событий системных служб (daemon).
Журнал запуска задач по расписанию (cron).
Журнал встроенного MTA (mail).
Журнал Kaspersky Secure Mail Gateway (local1).
Журнал Kaspersky Secure Mail Gateway в формате CEF (local2).
По умолчанию категория не выбрана.
В поле FQDN или IP-адрес введите адрес сервера SIEM-системы. Поддерживаются IP-адреса формата IPv4 или IPv6.
В поле Порт укажите порт для подключения к SIEM-системе. Допускается значение от 1 до 65535.
Значения по умолчанию: для протокола TCP – 601, для протокола UDP – 514, для протокола TCP поверх TLS – 6514.
В блоке параметров Протокол выберите протокол, по которому данные будут отправляться в SIEM-систему. Возможные значения:
TCP.
UDP.
TCP поверх TLS.
По умолчанию выбрано значение TCP поверх TLS.
Если вы выбрали протокол TCP поверх TLS, в блоке параметров Аутентификация выберите способ аутентификации. Возможные значения:
Сертификат УЦ и FQDN.
В поле FQDN или IP-адрес должен быть введен тот адрес, который указан в сертификате сервера.
Отпечаток сертификата сервера.
Значение по умолчанию Сертификат УЦ и FQDN.
Если вы выбрали способ аутентификации Сертификат УЦ и FQDN, добавьте TLS-сертификат для защищенного соединения с SIEM-системой. Для этого в блоке Сертификат УЦ нажмите на кнопку Обзор, выберите файл сертификата в формате PEM и нажмите на кнопку Open.
Рекомендуется использовать сертификат с длиной RSA-ключа не менее 4096 бит или с длиной ECDSA-ключа не менее 256 бит.
Если вы выбрали способ аутентификации Отпечаток сертификата сервера, в поле Отпечаток сертификата сервера вставьте значение отпечатка сертификата внешнего сервера.
В KSMG под управлением Rocky Linux рекомендуется использовать отпечатки, созданные с помощью алгоритма SHA256. В KSMG под управлением РЕД ОС рекомендуется использовать отпечатки, созданные с помощью алгоритма SHA1.
Нажмите на кнопку Сохранить.
Публикация событий приложения в SIEM-систему будет настроена.
Если вы импортировали TLS-сертификат, после сохранения параметров журналирования в поле Отпечаток сертификата отобразится отпечаток сертификата.
Вы можете скачать сертификат с помощью кнопки Скачать.