配置 Kaspersky Security Center 以导出事件到 SIEM 系统

扩展所有 | 折叠所有

本文介绍如何配置导出事件到 SIEM 系统。

要在 Kaspersky Security Center Web Console 中配置到 SIEM 系统的导出：

1. 在主菜单中，转到“控制台设置 → 整合”。
2. 在“整合 ”选项卡上，选择“SIEM”区域。
3. 单击“设置”链接。

   “导出设置”区域将打开。

4. 在“导出设置”区域指定设置：
   • SIEM 系统服务器地址

     安装了当前使用的 SIEM 系统的服务器的 IP 地址。在您的 SIEM 系统设置中检查此值。

   • SIEM 系统端口

     用于建立 Kaspersky Security Center 和您的 SIEM 系统服务器之间连接的端口号。您在 Kaspersky Security Center 设置中和您 SIEM 系统的接收设置中指定该值。

   • 协议

     选择该协议用于传输消息到 SIEM 系统。您可以选择 TCP/IP、UDP 或 TLS over TCP 协议。

     如果选择 TLS over TCP 协议，则指定以下 TLS 设置：

     • 服务器身份验证

       在“服务器身份验证”字段中，可以选择值“受信任证书”或“SHA 指纹”：

       • 受信任证书。您可以接收含有受信任证书颁发机构 (CA) 的证书列表的文件，并将该文件上传到 Kaspersky Security Center。Kaspersky Security Center 会检查 SIEM 系统服务器的证书是否也具有受信任 CA 的签名。

         要添加受信任证书，请单击“浏览 CA 证书文件”按钮，然后上传证书。

       • SHA 指纹。您可以在 Kaspersky Security Center 中指定 SIEM 系统证书的 SHA-1 指纹。要添加 SHA-1 指纹，请在“指纹”字段中输入，然后单击“添加”按钮。

       使用“添加客户端身份验证”设置，可以生成证书来对 Kaspersky Security Center 进行身份验证。因此，您将使用 Kaspersky Security Center 颁发的自签名证书。在这种情况下，您可以同时使用受信任证书和 SHA 指纹来对 SIEM 系统服务器进行身份验证。

     • 添加主题名称/主题备选名称

       主题名称是接收证书的域名。如果 SIEM 系统服务器的域名与 SIEM 系统服务器证书的主题名称不匹配，Kaspersky Security Center 将无法连接到 SIEM 系统服务器。但是，SIEM 系统服务器的域名在证书中发生变化，则可以更改该域名。在这种情况下，您可以在“添加主题名称/主题备选名称”字段中指定主题名称。如果任一指定主题名称与 SIEM 系统证书的主题名称匹配，Kaspersky Security Center 将验证 SIEM 系统服务器证书。

     • 添加客户端身份验证

       对于客户端身份验证，可以插入证书或在 Kaspersky Security Center 中生成证书。

       • 插入证书。您可以使用从任何来源（例如，从任何受信任 CA）收到的证书。您必须指定以下证书类型之一的证书及其私钥：
         • X.509 证书 PEM。在“证书文件”字段中上传包含证书的文件，并在“密钥文件”字段中上传包含私钥的文件。这两个文件不相互依赖，文件的加载顺序也不重要。上传这两个文件后，在“密码或证书验证”字段中指定用于解码私钥的密码。如果私钥未编码，则密码可以为空值。
         • X.509 证书 PKCS12 。在“证书文件”字段中上传包含证书及其私钥的单个文件。上传该文件后，在“密码或证书验证”字段中指定用于解码私钥的密码。如果私钥未编码，则密码可以为空值。
       • 生成密钥。您可以在 Kaspersky Security Center 中生成自签名证书。结果是，Kaspersky Security Center 将存储生成的自签名证书，您可以将证书的公共部分或 SHA1 指纹传递给 SIEM 系统。
   • 数据格式

     您可以选择 Syslog、CEF 或 LEEF 格式，具体取决于 SIEM 系统的要求。

   如果选择 Syslog 格式，则必须指定：

   • 事件消息的最大大小（字节）

     指定 SIEM 系统消息的最大大小。每个事件被一条消息转发。如果消息的精确长度超过指定值，消息被截断且数据可能丢失。默认大小是 2048 字节。仅当在“协议”字段中选择了 Syslog 格式后，该字段才可用。

5. 将选项切换到“自动导出事件至 SIEM 系统数据库已启用”位置。
6. 单击“保存”按钮。

到 SIEM 系统的导出已配置。