Настройки алертов: Syslog

Настройки алертов: Syslog#

На вкладке Syslog диалогового окна Настройки алертов можно настроить параметры для отправки оповещений на сервер syslog.

image1

Чтобы открыть это диалоговое окно, выполните одно из следующих действий:

  • В дереве консоли щелкните правой кнопкой мыши Алерты и выберите Управление.

  • В дереве консоли выберите Алерты и нажмите Управление image2 на панели инструментов.

  • В дереве консоли выберите Алерты, а затем на панели сведений щелкните правой кнопкой мыши Syslog и выберите Управление.

  • В дереве консоли выберите Алерты, а затем на панели сведений дважды щелкните Syslog.

Примечание

Можно настроить различные параметры тревожных оповещений для оперативного и автономного режимов. Настройки оперативного режима (обычный профиль) применяются к клиентским компьютерам, находящимся в сети. Настройки автономного режима (офлайн-профиль) применяются к клиентским компьютерам, работающим автономно. По умолчанию Cyber Protego работает в автономном режиме, когда сетевой кабель не подключен к клиентскому компьютеру. Для получения дополнительной информации о политиках Cyber Protego для автономного режима работы, см. раздел Политики безопасности Cyber Protego (офлайн-профиль).

Можно настроить Cyber Protego Agent на автоматическую отправку тревожных оповещений на указанный сервер syslog при возникновении условий срабатывания. Отправка оповещений происходит только при соблюдении следующих условий:

  • Сервер syslog настроен и готов к приему оповещений.

  • Удаленный компьютер, на котором запущен сервер syslog, доступен со всех компьютеров, на которых работает Cyber Protego Agent.

  • Настроена отправка тревожных оповещений на сервер syslog.

Cyber Protego поставляется с набором готовых шаблонов тревожных оповещений для отправки на сервер syslog. Эти шаблоны определяют основное содержимое, формат и структуру оповещений. Cyber Protego предоставляет следующие шаблоны:

  • Шаблон сообщения syslog для административных оповещений.

  • Шаблон сообщения syslog для прочих оповещений.

Каждый шаблон содержит следующие данные: Тело сообщения — текст, отображаемый в теле сообщения syslog. Текст сообщения совпадает в обоих шаблонах и включает в себя статичный текст и макросы. Статичный текст по умолчанию: "Зарегистрировано следующее событие". В тело сообщения можно вставить дополнительные сведения, используя следующие макросы:

  • %EVENT_TYPE% — Класс события (Успех для разрешенной попытки доступа, Отказ для запрещенной попытки доступа, Информация для прочих событий).

  • %COMP_NAME% — Имя компьютера, от которого получено событие.

  • %COMP_FQDN% — Полное доменное имя компьютера, от которого получено событие.

  • %COMP_IP% — Список всех IP-адресов компьютера, разделенных запятой.

  • %DATE_TIME% — Дата и время, когда событие было получено агентом Cyber Protego. Дата и время указываются в соответствии с региональными и языковыми настройками на клиентском компьютере.

  • %SOURCE% — Тип устройства или протокола, с которым связано событие.

  • %ACTION% — Тип действия пользователя.

  • %NAME% — Имя объекта (файла, USB-устройства и т. п.).

  • %INFO% — Прочая информация об устройстве, связанном с событием, например флаги доступа, название устройства и так далее.

  • %REASON% — Причина возникновения события.

  • %USER_NAME% — Имя пользователя, связанного с событием.

  • %USER_SID% — Идентификатор безопасности (SID) пользователя, связанного с данным событием.

  • %PROC_NAME% — Имя процесса приложения, связанного с данным событием.

  • %PROC_ID% — Идентификатор процесса приложения, связанного с событием.

  • %EVENT_ID% — Число, идентифицирующее тип события.

  • %SUMMARY_TABLE% — Таблица с детализацией отдельных событий для агрегированных алертов.

Эти макросы заменяются на фактические значения во время создания сообщения.

Заполните вкладку Syslog следующим образом:

  • Подключение — Введите информацию о сервере syslog:

  • Сервер — Доменное имя или IP адрес сервера syslog.

  • Протокол — Протокол доступа к серверу syslog, TCP или UDP. По умолчанию выбран протокол UDP.

  • Порт — Номер порта для доступа к серверу syslog. Порт по умолчанию — 514.

  • Разделение сообщений — Способ формирования сообщений для протокола TCP. Можно выбрать: Нулевой байт, LF, CR+LF или Длина сообщения.

  • Параметры — Задайте следующие параметры подключения:

    • Имя — Уникальное имя для канала связи с сервером syslog. По умолчанию используется имя CyberProtegoAlert.

    • Код категории — Одно из стандартных значений сервера syslog (от 0 до 23) для указания типа программы, которая записывает сообщения в журнал.

    • Размер сообщения — Размер syslog-сообщения, в байтах. Размер по умолчанию — 65535 байт.

  • Задать сообщение — Нажмите эту кнопку, чтобы настроить шаблон сообщений syslog для оповещений.

    В появившемся диалоговом окне Syslog-сообщение для алертов можно также:

    • Выбрать степень серьезности сообщения из списка Уровень.

    • Загрузить шаблон сообщения из текстового файла, использующего символы табуляции в качестве разделителя. Нажмите кнопку Загрузить, и выберите файл. Будет загружено все содержимое файла.

    • Восстановить шаблон по умолчанию. Для этого нажмите кнопку Восстановить умолчания.

  • Задать админ. сообщение — Нажмите эту кнопку, чтобы настроить шаблон сообщений syslog для административных оповещений.

    В появившемся диалоговом окне Syslog-сообщение для административных алертов можно также:

    • Выбрать степень серьезности сообщения из списка Уровень.

    • Загрузить шаблон сообщения из текстового файла, использующего символы табуляции в качестве разделителя. Нажмите кнопку Загрузить, и выберите файл. Будет загружено все содержимое файла.

    • Восстановить шаблон по умолчанию. Для этого нажмите кнопку Восстановить умолчания.

  • Порог — Задайте временной интервал (в часах, минутах или секундах) для объединения событий при отправке алертов. Cyber Protego Agent объединяет события, произошедшие в течение порогового времени, и создает объединенное событие при выполнении следующих условий:

    1. События относятся к одному типу (Успех, Отказ или Информация).

    2. События регистрируются для одного и того же типа устройств/протокола.

    3. События связаны с одним и тем же пользователем.

    4. События связаны с одним и тем же PID.

    Значение по умолчанию — 10 минут.

    Примечание

    При отправке уведомлений Cyber Protego Agent объединяет только события, связанные с доступом. Административные оповещения не объединяются.

  • Тест — Отправьте тестовое сообщение, чтобы проверить правильность настройки. В результате тестовой операции отобразится одно из двух сообщений:

    • Если тест выполнен успешно, т.е. пробное сообщение отправлено с настроенными для него параметрами, сообщение будет следующим: "Тестовый алерт Syslog успешно отправлен."

    • Если тест не выполнен, т.е. пробное сообщение отправить не удалось, сообщение будет следующим: "Тестовый алерт Syslog не был отправлен из-за ошибки: <описание ошибки>."