配置将应用程序事件发布到 SIEM 系统

您可以配置将 CEF 格式的事件发布到外部 SIEM 系统，以及将事件本地保存在服务器上的日志文件中。如果您不需要在本地保存事件，则可以跳过本节说明的第 5、7、8 步。

在您想要将事件发布到 SIEM 系统的每个集群节点上执行以下步骤。仅在配置事件发布后才启用 CEF 格式的事件导出。

要配置将应用程序事件发布到 SIEM 系统：

在集群节点上启动操作系统命令 shell，以使用超级用户（系统管理员）权限运行命令。
使用 rsyslog 系统日志记录服务将事件发送到外部 SIEM 系统。使用以下命令确保该服务已安装并正在运行：
systemctl status rsyslog
服务的状态必须是“正在运行”。
如果 rsyslog 服务未运行或未安装，请按照操作系统文档中的说明安装并启用 rsyslog 服务。
创建 /etc/rsyslog.d/ksmg-cef-messages.conf 文件并向其中添加以下行：
$ActionQueueFileName ForwardToSIEM
$ActionQueueMaxDiskSpace 1g
$ActionQueueSaveOnShutdown on
$ActionQueueType LinkedList
$ActionResumeRetryCount -1
如果您想通过 UDP 将事件发送到 SIEM 系统，请添加以下行：
<CEF 格式的类别（工具）>.* @<SIEM 系统的 IP 地址>:<SIEM 系统用于通过 UDP 从 Syslog 接收消息的端口>
如果您想通过 TCP 发送事件，请添加以下行：
<CEF 格式的类别（工具）>.* @<SIEM 系统的 IP 地址>:<SIEM 系统用于通过 TCP 从 Syslog 接收消息的端口>
如果您想在本地保存事件副本，请将以下行添加到同一文件中：
<CEF 格式的工具>.* -/var/log/klms-cef-messages

将下列行添加到文件的末尾：

<CEF 格式的工具>.* stop

通过 UDP 导出而不保存到本地日志的示例配置文件：

$ActionQueueFileName ForwardToSIEM2

$ActionQueueMaxDiskSpace 1g

$ActionQueueSaveOnShutdown on

$ActionQueueType LinkedList

$ActionResumeRetryCount -1

local2.* @10.16.32.64:514

local2.* stop

通过 TCP 导出并保存到本地日志的示例配置文件：