Интеграция с SIEM#

Для интеграции с SIEM необходимо выполнить следующие действия:

Выставить тип логирования syslog.
Перенаправить логирование в хранилище при помощи файла конфигурации Rsyslog:
```
/etc/rsyslog.conf
```
Если используется протокол udp, то рекомендуется снять комментарии со следующих строк в секции MODULES:
```
$ModLoad imudp
$UDPServerRun 514
```
Необходимо снять комментарии со следующих строк:
```
$ModLoad imtcp
$InputTCPServerRun 514
```

Важно соблюдать порядок расположения настроек в rsyslog.conf. В варианте, представленном ниже, сообщения вначале попадают в хранилище, а затем в локальный syslog. Syslog обрабатывает записи в конфигурационном файле в порядке их указания.

В секции RULES описаны действия для логирования:

#### RULES ####
  
# Log sowa-config messages to a local specific file.
...
if $programname == 'sowa-config' then @@XXX.XXX.XXX.XXX:XXX
# Log messages from all sowa-* apps to Qradar.
if $programname == 'sowa_nginx' or $programname == 'sowa-modsecurity' then @@XXX.XXX.XXX.XXX:XXX
  
...

@ - udp-протокол;

@@ - tcp-протокол;

sowa_config - логирование сообщений о конфигурировании;

sowa_nginx - логирование служебных сообщений nginx;

sowa-modsecurity - логирование сообщений об атаках и/или срабатываниях детектора вредоносного контента.

После внесения изменений в rsyslog.conf обязательно требуется перезагрузить rsyslog с помощью команды:

sudo systemctl restart rsyslog