Configuración de las opciones de integración de SIEM

De forma predeterminada, la integración de SIEM no se usa. Puede habilitar y deshabilitar la integración de SIEM y configurar las opciones correspondientes (consulte la tabla a continuación).

Configuración de integración de SIEM

Para configurar la integración de SIEM:

1. En el árbol de la Consola de la aplicación, abra el menú contextual del nodo Registros y notificaciones.
2. Seleccione Propiedades.

   Se abre la ventana Configuración de registros y notificaciones.

3. Seleccione la pestaña Integración de SIEM.
4. En la sección Ajustes de integración, seleccione la casilla de verificación Enviar eventos a un servidor remoto de Syslog, mediante el protocolo Syslog.
   

   La casilla habilita o deshabilita la funcionalidad para enviar eventos publicados a un servidor syslog externo.

   Si la casilla se selecciona, la aplicación envía eventos publicados al servidor SIEM según la configuración de integración de SIEM establecida.

   Si la casilla se desactiva, la aplicación no realiza la integración de SIEM. No puede ajustar la configuración de integración de SIEM si la casilla se desactiva.

   De forma predeterminada, la casilla está desactivada.

5. Si es necesario, en la sección Ajustes de integración, seleccione la casilla Eliminar las copias locales de los eventos que se enviaron a un servidor remoto de Syslog.
   

   La casilla habilita o deshabilita la eliminación de copias locales de registros cuando se envían al servidor SIEM.

   Si se selecciona la casilla, la aplicación elimina las copias locales de eventos después de que se han publicado correctamente en el servidor SIEM. Este modo se recomienda en dispositivos de rendimiento reducido.

   Si se desactiva la casilla, la aplicación solo envía eventos al servidor SIEM. Las copias de los de registros continúan almacenándose a nivel local.

   De forma predeterminada, la casilla está desactivada.

   El estado de la casilla Eliminar las copias locales de los eventos que se enviaron a un servidor remoto de Syslog no afecta la configuración para almacenar eventos del registro de seguridad: la aplicación nunca elimina automáticamente eventos del registro de seguridad.

6. En la sección Formato de los eventos, especifique el formato al cual desea convertir los eventos de la aplicación de modo que se puedan enviar al servidor SIEM.

   De forma predeterminada, la aplicación los convierte en un formato de datos estructurado.

7. En la sección Configuración de conexión:
   • Especifique el protocolo de conexión de SIEM.
   • Especifique la configuración para conectarse al servidor syslog principal.

     Solo puede especificar una dirección IP en formato IPv4.

   • Seleccione la casilla Utilice el servidor reflejado de Syslog si no es posible acceder al servidor principal si desea que la aplicación use otra configuración de conexión cuando sea incapaz de enviar eventos al servidor syslog principal.

     Especifique la siguiente configuración para conectarse al servidor syslog idéntico: Dirección y Puerto.

     Los campos Dirección y Puerto para el servidor reflejado de syslog no pueden editarse si se desactiva la casilla Utilice el servidor reflejado de Syslog si no es posible acceder al servidor principal.

     Solo puede especificar una dirección IP en formato IPv4.

8. Haga clic en Aceptar.

   La configuración de integración de SIEM establecida se aplicará.