Интеграция с SIEM-системами через Syslog-коннектор

Syslog-коннектор – системная политика, позволяющая выводить информацию в системный журнал /var/log/syslog. Может быть полезна для выгрузки и интеграции с SIEM- или BI-системой для анализа накопленных в Staffcop данных. В системный журнал передаются данные о срабатываниях политик, перехваченных файлах, скриншотах, статистике работы и др.

Расположена в разделе Политики в папке Политики → Системные политики. По умолчанию политика выключена.

Чтобы включить Syslog-коннектор:

  1. Откройте политику, зайдите во вкладку Свойства и установите галочку в разделе Политика активна.

../_images/syslog_1.png

  1. На вкладке Фильтр настройте данные, которые будут передаваться в syslog-файл.

../_images/syslog_2.png

После этого один раз в 5 минут в файл /var/log/syslog будет передвать данные, в том числе сработавшие политки в формате policy_1="Политика 1, policy_2="Политика 2 и т. д.

support@ubuntu:~$ grep -i staffcop /var/log/syslog

# не сработала ни одна политика

May 26 14:29:11 ub22srv staffcop: id="468814" time="May 26 14:28:21" event="Screenshot" computer="MacOSMonterey-3" ip="10.10.12.224" user="support" app="safari"

# сработали две политики

May 26 14:24:09 ub22srv staffcop: id="468796" time="May 26 14:21:13" event="Screenshot" computer="MacOSMonterey-3" ip="10.10.12.224" user="support" app="safari" policy_1="Политика 1"
May 26 14:24:09 ub22srv staffcop: id="468797" time="May 26 14:21:13" event="Stat" computer="MacOSMonterey-3" ip="10.10.12.224" user="support" app="safari" policy_1="Политика 1" policy_2="Политика 2"

Появление таких событий означает, что политика Syslog-коннектор отработала нормально, и теперь эти данные можно собирать с помощью SYSLOG-граббера от SIEM или отправлять на удалённый rsyslog-сервер.

CEF-формат логов

Чтобы выгружать события в syslog-коннектор в формате CEF, на вкладке Свойства установите галочку в разделе Формат логов: CEF.

Данные загружаются в формате CEF0.

Примечание

Формат CEF24 больше не поддерживается. Файлы будут загружаться в формате CEF0, даже если ранее вы указали другой формат в etc/staffcop/config.

Формат CEF0 использует пары ключ-значение для передачи информации о событиях. Эти пары определяют, какие данные и атрибуты включить в лог.

Пары ключ-значение для CEF0
  • (suser, 'agent_account.user_name', 'str')
  • (sntdom, 'agent_account.user_domain', 'str')
  • (duser, 'agent_dialog.contact', 'str')
  • (dntdom, 'agent_dialog.domain', 'str')
  • (dpt, 'agent_networkconnection.remote_port', 'int')
  • (dpn, 'agent_eventtype.name', 'str')
  • (cat, 'analytics_filter.category', 'str')
  • (deviceDirection, 'agent_dialog.direction', 'str')
  • (deviceExternalId, 'agent_device.hwid', 'str')
  • (deviceFacility, 'agent_device.label', 'str')
  • (dtz, 'agent_time.time_zone', 'str')
  • (dvc, 'agent_agent.last_ip', 'str')
  • (end, 'agent_account.last_activity_time', 'date')
  • (fileHash, 'agent_attachedfile.sha1', 'str')
  • (fileId, 'agent_attachedfile.guid', 'str')
  • (filePath, 'agent_attachedfile.file_path', 'str')
  • (fileType, 'agent_attachedfile.mime', 'str')
  • (fname, 'agent_attachedfile.file_name', 'str')
  • (fsize, 'file_size', 'int')
  • (msg, 'text_data', 'str')
  • (request, 'agent_web.url', 'str')
  • (suid, 'agent_account.id', 'str')
  • (suser, 'agent_account.user_name', 'str')
  • (deviceCustomDate1, 'local_time', 'date', 'flex')
  • (deviceCustomDate2, 'time_registered', 'date', 'flex')
  • (cn1, 'activity_time', 'int', 'flex')
  • (cn2, 'printed_pages', 'int', 'flex')
  • (cn3, 'call_duration', 'int')
  • (cs1, 'agent_account.full_name', 'str', 'flex')
  • (cs2, 'agent_account.manager', 'str', 'flex')
  • (cs3, 'agent_account.office', 'str', 'flex')
  • (cs4, 'agent_agent.guid', 'str', 'flex')
  • (cs5, 'agent_agent.os', 'str', 'flex')
  • (cs6, 'agent_application.app_name', 'str', 'flex')
  • (flexString1, 'agent_attachedfile.data', 'str', 'flex')
  • (flexString2, 'parent_id', 'str', 'flex')
  • (sourceServiceName, 'window_title', 'str')