Конфигурация SIEM on Infrascope

Настройка параметров сервера SIEM

Mon, 01 Jan 0001 00:00:00 +0000

Чтобы настроить интеграцию SIEM:

Перейдите в раздел Администрирование > Настройка системы.
Установите следующие параметры и нажмите "Сохранить".

Параметр

Значение по умолчанию

Возможные значения

syslog.server.hostName

syslog.server.port

514

syslog.message.rfcFormat

RFC_5424

RFC_5424, RFC_3164

syslog.connection.protocol

UDP

UDP, TCP

syslog.message.content.format

KEY_VALUE

KEY_VALUE, CEF

Установите SSH-соединение с сервером Infrascope и перезапустите netright-tomcat с помощью команды:
systemctl restart pam-gui.

Конфигурация журнала SIEM

Mon, 01 Jan 0001 00:00:00 +0000

Чтобы задать конфигурацию журнала, выполните следующие действия:

Перейдите в раздел Администрирование > Настройка системы > Интеграции.
Выберите "конфигурацию журнала SIEM".
В меню выберите "Конфигурация отправки в SIEM", нажмите плюс "+", выберите имя журнала и максимальный лимит записей.
Нажмите "Сохранить".

Максимальный лимит записей означает, что при отправке журналов указанное количество журналов отправляется партиями, и журналы не отправляются до тех пор, пока количество журналов не достигнет этого значения. Так, если значение установлено на 100, журналы будут отправляться после создания 100 журналов.

Свойство отключения/включения журнала SIEM

Mon, 01 Jan 0001 00:00:00 +0000

Запись журнала можно остановить и запустить снова вручную. Чтобы отключить или включить журналы:

Перейдите в раздел Администрирование > Настройка системы > Интеграции.
Выберите "конфигурацию журнала SIEM".
В меню выберите "Конфигурация отправки в SIEM", нажмите плюс "+", выберите имя журнала.
Для включения записи журнала установите параметр Включено в активное положение.

Мониторинг журналов SIEM

Mon, 01 Jan 0001 00:00:00 +0000

Перейдите в раздел Администрирование > Настройка системы > Интеграции.
Выберите "конфигурацию журнала SIEM".
В меню выберите "Отчет об отправке в SIEM".
Заполните поля фильтра для быстрого поиска.

Логирование с защитой от несанкционированного доступа

Mon, 01 Jan 0001 00:00:00 +0000

Любые записи журнала, хранящиеся в базе данных, могут быть изменены злоумышленником, имеющим доступ. В Infrascope разработан механизм защиты от несанкционированного доступа, позволяющий идентифицировать эти изменения и понять, были ли подделаны записи журнала.

Функция Tamper Proof предотвращает несанкционированный доступ к базе данных и изменение любых журналов. Все типы журналов хранятся в базе данных и хэшируются с помощью зашифрованных двоичных данных. Этот механизм хэширования используется для защиты любых изменений в базе данных. Infrascope применяет алгоритм SHA-256 для хэширования. Каждый тип записи хэшируется хэш-значением и шифруется ключом клиента в базе данных (хранятся хэш-значение и дата хэширования каждого типа записи), так что в случае изменения хэш-значения или другой информации в записях журнала злоумышленником, вновь созданное хэш-значение будет отличаться от предыдущего благодаря ключу шифрования. В рамках этого алгоритма система распознает, является ли какая-либо запись журнала оригинальной или была подделана.

Конфигурация с защитой от несанкционированного доступа

Mon, 01 Jan 0001 00:00:00 +0000

Параметр Tamper Proof включен по умолчанию, и в пакетном процессе используется хэширование. Если защита от несанкционированного доступа отключена, пакетный процесс не будет выполняться.

Перейдите в раздел Администрирование > Настройка системы.
Нажмите кнопку "Добавить".
Добавьте параметр tamper.proof.enabled и установите его значение true или false, чтобы включить или отключить его.

Перейдите в раздел Администрирование > Планировщик задач.
Нажмите кнопку "Добавить".
Установите параметры задания Tamper Proof Log Job. При установке этого задания журналы будут хэшироваться в фоновом режиме. Это задание можно задавать периодически или запускать вручную.