Перейти к содержанию

Micro Focus ArcSight Logger через Logstash

Обзор примера

Вебхуки могут использоваться как один из источников логов в системе. Общее количество подобных источников зависит от сложности системы: чем больше компонентов в системе, тем больше количество источников и объем логов. Наиболее распространенная схема логирования в сложных системах состоит из компонентов:

  • Сборщик логов: принимает логи от нескольких источников и выгружает логи в SIEM-систему.

  • SIEM-система: используется для анализа логов и мониторинга состояния системы.

В приведенном примере уведомления о событиях отправляются через вебхуки в сборщик логов Logstash и выгружаются в систему ArcSight Logger.

Движение вебхука

Интеграция с Enterprise‑версией SIEM‑системы ArcSight ESM

Чтобы настроить отправку логов в Enterprise‑версию SIEM‑системы ArcSight ESM через Logstash, рекомендуется настроить Syslog Connector для обработки логов по стандарту Syslog на стороне ArcSight и отправлять логи из Logstash на порт настроенного коннектора. Для получения более подробной информации о коннекторах, скачайте SmartConnector User Guide из официальной документации на коннекторы ArcSight.

Используемые ресурсы

Настройка ArcSight Logger

На стороне ArcSight Logger настроен получатель логов Wallarm Logstash logs:

  • Принимает логи по протоколу UDP (Type = UDP Receiver)

  • Слушает порт 514

  • Применяет к логам парсер syslog

  • Использует остальные настройки по умолчанию

Настройка получателя логов ArcSight Logger

Для получения более подробной информации о настройке получателя логов, скачайте Logger Installation Guide подходящей версии из официальной документации на ArcSight Logger.

Настройка Logstash

Настройка Logstash описана в конфигурационном файле logstash-sample.conf:

  • Обработка входящих вебхуков настроена в секции input:

    • Весь HTTP и HTTPS‑трафик поступает на порт Logstash 5044
    • SSL‑сертификат для HTTPS‑подключения расположен в файле /etc/pki/ca.pem
  • Отправка логов в ArcSight Logger и вывод логов настроены в секции output:

    • Логи всех событий из Logstash отправляются в ArcSight Logger по IP‑адресу https://192.168.1.73:514
    • Логи из Logstash в ArcSight Logger отправляются в формате JSON по стандарту Syslog
    • Соединение с ArcSight Logger выполняется по протоколу UDP
    • Логи Logstash дополнительно выводятся в командную строку (15 строка кода). Настройка используется для проверки, что события записываются в логи Logstash
input {
  http { # input‑плагин для HTTP и HTTPS‑трафика
    port => 5044 # порт для входящих запросов
    ssl => true # обработка HTTPS‑трафика
    ssl_certificate => "/etc/pki/ca.pem" # сертификат для HTTPS‑подключения
  }
}
output {
  syslog { # output‑плагин для отправки логов из Logstash по стандарту Syslog
    host => "192.168.1.73" # IP‑адрес, на который отправляются логи
    port => "514" # порт, на который отправляются логи
    protocol => "udp" # протокол соединения
    codec => json # формат отправки логов
  }
  stdout {} # output‑плагин для вывода логов Logstash в командную строку
}

Более подробное описание конфигурационного файла доступно в официальной документации Logstash.

Тестирование настроек Logstash

Чтобы протестировать запись логов в Logstash и выгрузку данных в ArcSight Logger, можно отправить POST‑запрос в Logstash.

Пример запроса:

curl -X POST 'https://192.168.1.65:5044' -H "Content-Type: application/json" -d '{"key1":"value1", "key2":"value2"}'

Логи Logstash:

Логи Logstash

Событие в ArcSight Logger:

Логи ArcSight Logger

Настройка webhook‑интеграции

  • Вебхуки отправляются на https://192.168.1.65:5044

  • Для отправки вебхуков используются запросы типа POST

  • В запросе передается дополнительный параметр аутентификации X-Auth-Token

  • Вебхуки отправляют на Webhook URL все доступные события: хиты, системные события, уязвимости, изменения сетевого периметра

Webhook-интеграция с Logstash

Тестирование примера

Для тестирования настроек в Консоли управления Валарм добавляется новый пользователь:

Добавление пользователя

В логах Logstash появится запись:

Запись о новом пользователе в логах Logstash

В событиях ArcSight Logger появится запись:

Карточка о новом пользователе Logstash в ArcSight Logger