Интеграция Staffcop Enterprise с Komrad SIEM

KOMRAD Enterprise SIEM — система для централизованного сбора событий информационной безопасности. Позволяет оперативно выявлять инциденты информационной безопасности и реагировать на них.

Чтобы настроить передачу событий из Staffcop Enterprise в Komrad SIEM:

  1. Установите и подготовьте к работе Komrad SIEM.

  2. На сервере Staffcop активируйте политику Syslog-коннектор.

  3. Внесите изменения в конфигурационный файл /etc/rsyslog.conf:

3.1 Откройте конфигурационный файл:

sudo nano /etc/rsyslog.conf

3.2 В конец файла добавьте строку

*.* action(type="omfwd" target="<1>" port="<2>" protocol="<3>" action.resumeRetryCount="<4>" queue.type="<5>" queue.size="<6>")

Здесь <1> — IP-адрес хоста с Syslog-коллектором, на который нужно посылать события; <2> — номер порта хоста с коллектором; <3> — протокол (tcp или udp); <4> — количество попыток передачи перед отбрасыванием сообщения (рекомендуем 100); <5> — тип очереди, которая будет использоваться (рекомендуем LinkedList); <6> — максимальный размер очереди по количеству сообщений (рекомендуем 10000).

  1. Проверьте, что rsyslog запущен:

sudo systemctl status rsyslog

  1. Выберите формат CEF0 для передачи логов. Для этого:

5.1 Откройте конфигурационный файл: /etc/staffcop/config.

5.2 Добавьте строку CEF_VERSION = '0'.

5.3 Если строка CEF_VERSION = уже существует, приведите её к вышеуказанному виду.

  1. Проверьте поступление событий из Staffcop в Komrad.