Micro Focus ArcSight Logger через Logstash¶

В этой инструкции описан пример интеграции Вебмониторэкс с Micro Focus ArcSight Logger через промежуточный коллектор логов Logstash.

Схема логирования событий в комплексных системах может состоять из нескольких компонентов, например:

• Коллектор логов: принимает логи от нескольких источников и выгружает логи в SIEM-систему.

• SIEM-система или другая система управления логами: используется для анализа логов и мониторинга состояния системы.

Чтобы логировать события Вебмониторэкс в Logstash → ArcSight Logger таким образом, ознакомьтесь с приведенным примером интеграции.

Используемые ресурсы¶

• ArcSight Logger 7.1, установленный на CentOS 7.8, с веб‑интерфейсом на URL https://192.168.1.73:443

• Logstash 7.7.0, установленный на Debian 11.x (bullseye) и доступный по адресу https://logstash.example.domain.com

• Доступ администратора к Консоли управления Вебмониторэкс для настройки интеграции с Logstash

Ссылки на сервисы ArcSight Logger и Logstash приведены в документации в качестве примера и недоступны для внешнего использования.

Настройка ArcSight Logger¶

На стороне ArcSight Logger настроен получатель логов Вебмониторэкс Logstash logs:

• Принимает логи по протоколу UDP (Type = UDP Receiver)

• Слушает порт 514

• Применяет к логам парсер syslog

• Использует остальные настройки по умолчанию

Для получения более подробной информации о настройке получателя логов, скачайте Logger Installation Guide подходящей версии из официальной документации на ArcSight Logger.

Настройка Logstash¶

Вебмониторэкс отправляет логи в промежуточный коллектор логов через вебхуки. Поэтому для корректной интеграции конфигурация Logstash должна соответствовать следующим требованиям:

• Принимать POST- или PUT-запросы

• Принимать запросы по протоколу HTTPS

• Иметь публичный URL

• Выводить логи в ArcSight Logger, в примере для этого используется плагин syslog

Пример настройки Logstash описан в конфигурационном файле logstash-sample.conf:

• Обработка входящих вебхуков настроена в секции input:

  • Трафик поступает на порт 5044
  • Logstash обрабатывает только HTTPS‑соединения
  • TLS-сертификат для Logstash расположен в файле /etc/server.crt
  • Приватный ключ сертификата расположен в файле /etc/server.key

• Отправка логов в ArcSight Logger и вывод логов настроены в секции output:

  • Логи всех событий из Logstash отправляются в ArcSight Logger по IP‑адресу https://192.168.1.73:514
  • Логи из Logstash в ArcSight Logger отправляются в формате JSON по стандарту Syslog
  • Соединение с ArcSight Logger выполняется по протоколу UDP
  • Логи Logstash дополнительно выводятся в командную строку (15 строка кода). Настройка используется для проверки, что события записываются в логи Logstash

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17

input {
  http { # input‑плагин для HTTP и HTTPS‑трафика
    port => 5044 # порт для входящих запросов
    ssl => true # обработка HTTPS‑соединения
    ssl_certificate => "/etc/server.crt" # TLS-сертификат для Logstash
    ssl_key => "/etc/server.key" # приватный ключ сертификата
  }
}
output {
  syslog { # output‑плагин для отправки логов из Logstash по стандарту Syslog
    host => "192.168.1.73" # IP‑адрес, на который отправляются логи
    port => "514" # порт, на который отправляются логи
    protocol => "udp" # протокол соединения
    codec => json # формат отправки логов
  }
  stdout {} # output‑плагин для вывода логов Logstash в командную строку
}

Более подробное описание конфигурационного файла доступно в официальной документации Logstash.

Тестирование настроек Logstash

Чтобы протестировать запись логов в Logstash и выгрузку данных в ArcSight Logger, можно отправить POST‑запрос в Logstash.

Пример запроса:

curl -X POST 'https://logstash.example.domain.com' -H "Content-Type: application/json" -d '{"key1":"value1", "key2":"value2"}'

Логи Logstash:

Событие в ArcSight Logger:

Настройка интеграции с Logstash¶

• Вебхуки отправляются на https://logstash.example.domain.com

• Для отправки вебхуков используются запросы типа POST

• В расширенных настройках интеграции заданы значения по умолчанию

• Вебхуки отправляют на Webhook URL все доступные события: хиты, системные события, уязвимости, изменения сетевого периметра

Подробнее о настройке интеграции с Logstash

Тестирование примера¶

Для тестирования настроек в Консоли управления Вебмониторэкс добавляется новый пользователь:

В логах Logstash появится запись:

В событиях ArcSight Logger появится запись: