Acerca de la integración de SIEM
Para reducir la carga en dispositivos de rendimiento reducido y reducir el riesgo de la degradación del sistema como consecuencia del aumento en los tamaños de registros de la aplicación, puede configurar la publicación de eventos de auditoría y eventos de rendimiento de la tarea en el servidor syslog mediante el protocolo Syslog.
Un servidor syslog es un servidor externo para agregar eventos (SIEM). Almacena y analiza los eventos recibidos y realiza otras acciones de administración de registros.
Puede usar la integración de SIEM en dos modos:
- Duplicar eventos en el servidor syslog: en este modo, todos los eventos de rendimiento de la tarea cuya publicación se establece en la configuración de registros, así como todos los eventos de auditoría del sistema, continúan almacenándose en el dispositivo protegido hasta después de que se envían al servidor SIEM.
Recomendamos utilizar este modo para reducir todo lo posible la carga en el dispositivo protegido.
- Eliminar copias locales de eventos: en este modo, todos los eventos que se registran durante el funcionamiento de la aplicación y se publican en el servidor SIEM se eliminan del dispositivo protegido.
La aplicación nunca elimina las versiones locales del registro de seguridad.
Kaspersky Embedded Systems Security puede convertir eventos en los registros de la aplicación a formatos admitidos por el servidor syslog, de modo que dichos eventos se puedan transmitir y sean reconocidos de manera exitosa por el servidor SIEM. La aplicación admite la conversión al formato de datos estructurado y al formato JSON.
Recomendamos seleccionar el formato de eventos basados en la configuración del servidor SIEM utilizado.
Configuración de confiabilidad
Para reducir el riesgo de retransmisiones no exitosas de eventos al servidor SIEM, puede definir la configuración para realizar una conexión con un servidor syslog idéntico.
El servidor syslog idéntico es un servidor syslog adicional al cual la aplicación cambia automáticamente si la conexión con el servidor syslog principal no está disponible o si el servidor principal no se puede utilizar.
Kaspersky Embedded Systems Security también utiliza eventos de auditoría del sistema para notificarle sobre intentos fallidos de conexión al servidor SIEM y sobre errores al enviar eventos al servidor SIEM.