Управление интеграцией с SIEM
В СМ «Пульт» модуль Управление интеграцией с SIEM настраивает экспорт событий журнала аудита во внешнюю SIEM/SOC-систему.
Раздел появляется в меню после активации модуля в Администрирование → Общие → Модули (см. pult-siem).
Открыть раздел: Администрирование → Управление интеграцией с SIEM.
Список интеграций
На главной странице отображаются настроенные интеграции и состояние сервиса экспорта.
Для каждой интеграции в карточке показаны:
| Элемент | Описание |
|---|---|
| Название | Имя интеграции (например, Localhost SIEM). |
| Протокол | TCP или UDP. |
| Адрес | Точка подключения Syslog/SIEM: хост:порт. |
| Статус | Активно — интеграция включена и используется экспортёром. |
| Дата | Время последней передачи или связанного события (по данным статуса интеграции). |
Под списком — блок Exporter со статусом фонового сервиса экспорта (например, RUNNING), временем последнего LISTEN / NOTIFY и индикатором ошибок. Наведите курсор на индикатор у карточки интеграции, чтобы увидеть подробности: статус, последнюю передачу, время последнего события, последний auditid, текст ошибки.
Справа в заголовке страницы — кнопка Настройки (общие параметры экспортёра и управление интеграциями).
Настройки экспортёра
Нажмите Настройки на странице Управление интеграцией с SIEM.
Параметры SIEM
| Параметр | Описание |
|---|---|
| Имя хоста (SIEM) | Идентификатор источника в сообщениях Syslog (hostname отправителя). |
| Таймаут соединения (сек) | Таймаут установки соединения с SIEM. |
| Таймаут отправки (сек) | Таймаут отправки пакета. |
| Количество повторов | Число повторных попыток при ошибке доставки. |
| Пауза между повторами (сек) | Интервал между повторами. |
После изменения общих параметров нажмите Сохранить.
Список интеграций в настройках
В блоке Интеграции отображаются все записи с адресом и протоколом. Для каждой строки доступны действия:
| Действие | Описание |
|---|---|
| Добавить (+) | Создать новую интеграцию. |
| Тест | Проверить доступность точки подключения. |
| Вкл/выкл | Включить или отключить интеграцию без удаления. |
| Редактировать | Открыть форму изменения параметров и правил фильтрации. |
| Удалить | Удалить интеграцию (с подтверждением). |
Добавление интеграции
- На странице Управление интеграцией с SIEM нажмите Настройки.
- В блоке Интеграции нажмите Добавить (+).
- В окне Новая интеграция заполните поля:
| Поле | Описание |
|---|---|
| SIEM | Название интеграции. |
| Хост | IP-адрес или DNS-имя Syslog/SIEM-сервера (обязательное). |
| Порт | Порт Syslog-сервера, 1–65535 (обязательное). |
| Протокол | TCP или UDP (обязательное). |
| Включено | Включить интеграцию сразу после сохранения. |
| Вендор | Поле CEF Device Vendor (например, Лаборатория Числитель). |
| Продукт | Поле CEF Device Product (например, Пульт). |
- При необходимости настройте правила фильтрации.
- Нажмите Сохранить.
Перед отправкой на сервер выполняется проверка на стороне интерфейса: обязательные поля, формат IP/DNS, диапазон порта. После успешного сохранения окно закрывается, список интеграций обновляется, новая запись отображается на главной странице.
Изменение интеграции
- Откройте Настройки → в блоке Интеграции выберите нужную строку и нажмите Редактировать.
- В окне Редактировать интеграцию измените параметры подключения, переключатель Включено, поля Вендор / Продукт или правила фильтрации.
- Нажмите Сохранить.
Изменения применяются после успешной серверной проверки; список на главной странице и в настройках обновляется.
Удаление интеграции
- Откройте Настройки → в блоке Интеграции нажмите Удалить у нужной строки.
- Подтвердите удаление в диалоге.
- После успешного ответа сервера запись исчезает из списка.
Правила фильтрации событий
В форме создания и редактирования интеграции задаётся, какие события журнала аудита отправлять в SIEM.
По умолчанию — политика для событий, не попавших ни под одно правило:
| Значение | Поведение |
|---|---|
| Запретить | Событие не экспортируется. |
| Разрешить | Событие экспортируется. |
Нажмите Добавить правило, чтобы создать строку фильтра. Для каждого правила укажите:
| Поле | Описание |
|---|---|
| Название | Произвольное имя правила. |
| Поле | Атрибут события аудита: username, action, resourcetype, ip, resourcename. |
| Оператор | Равно, Не равно, В списке, Не в списке, Содержит, Не содержит, Существует, Не существует, Regex. |
| Значение | Значение для сравнения (для операторов, где оно требуется). |
Порядок правил меняется перетаскиванием. Отдельным переключателем можно включить или выключить правило без удаления.
Дополнительно:
- Шаблон — скачать шаблон JSON правил фильтрации;
- Скачать правила / Загрузить — экспорт и импорт правил (загрузка доступна после сохранения интеграции);
- Удалить правила — очистить набор правил у сохранённой интеграции.
Все изменения в форме интеграции сохраняются одной кнопкой Сохранить внизу окна.