Настройка передачи событий KLMS в KUMA

Чтобы настроить передачу событий KLMS в KUMA:

  1. Подключитесь к серверу KLMS по протоколу SSH и перейдите в меню Technical Support Mode.
  2. С помощью утилиты klms-control выгрузите настройки в файл settings.xml:

    sudo /opt/kaspersky/klms/bin/klms-control --get-settings EventLogger -n -f /tmp/settings.xml

  3. Убедитесь, что параметры файла /tmp/settings.xml имеют следующие значения, при необходимости внесите изменения:

    <siemSettings>

    <enabled>1</enabled>

    <facility>Local1</facility>

    ...

    </siemSettings>

  4. Примените настройки с помощью следующей команды:

    sudo /opt/kaspersky/klms/bin/klms-control --set-settings EventLogger -n -f /tmp/settings.xml

  5. Для отправки событий по протоколу UDP внесите следующие изменения в конфигурационный файл /etc/rsyslog.conf.

    $WorkDirectory /var/lib/rsyslog

    $ActionQueueFileName ForwardToSIEM

    $ActionQueueMaxDiskSpace 1g

    $ActionQueueSaveOnShutdown on

    $ActionQueueType LinkedList

    $ActionResumeRetryCount -1

    local1.* @<<IP-адрес коллектора KUMA>:<порт коллектора>>

    Если вы хотите отправлять события по протоколу TCP, последняя строчка должна выглядеть следующим образом:

    local1.* @@<<IP-адрес коллектора KUMA>:<порт коллектора>>

  6. Сохраните внесённые изменения.
  7. Перезапустите сервис rsyslog с помощью следующей команды:

    sudo systemctl restart rsyslog.service

В начало