配置与 SIEM 系统的集成
卡巴斯基容器安全允许连接到
以发送事件消息进行分析并随后对潜在威胁做出响应。这些消息包含与安全事件日志中记录的相同类型和类别的事件的数据。集群节点监控事件数据的传输也是通过与 SIEM 系统集成并将代理组链接到它们来实现的。消息以
格式发送到 SIEM 系统，例如：CEF:0|Kaspersky|Kaspersky Container Security|2.0|PM-002|Process management|7|dpid=1846367 spid=1845879 flexString2=0ce05246346b6687cb754cf716c57f20f226e159397e8e5985e55b448cb92e3f flexString2Label=Container ID cs6=alpine cs6Label=Container name outcome=Success
传输的消息由以下几部分组成：
- 标头，指定日期、时间和主机名。
- 前缀和 CEF 版本号。
- 设备供应商。
- 解决方案名称。
- 解决方案版本。
- 解决方案生成的唯一事件类型代码。
- 事件描述。
- 事件严重性评估。
- 附加信息，例如设备 IP 地址、事件原因、事件结果以及事件状态。
有关组件的更多详细信息，请参阅 CEF 消息值匹配表。
匹配 CEF 消息字段
CEF 消息用英文发送。
下表列出了卡巴斯基容器安全发送的 CEF 消息的标头和正文的主要组成部分。
CEF 消息组件的组成部分和值
|
组件 |
值 |
示例 |
|---|---|---|
|
CEF 消息的标准标头（syslog 标头） |
标头以以下格式发送： |
|
|
CEF 格式前缀和版本 |
|
|
|
事件 ID |
设备供应商 设备产品 设备版本 |
|
|
事件类型的唯一 ID（签名 ID） |
卡巴斯基容器安全可发送以下事件类型 ID：
|
解决方案发送的某些事件类型 ID：
|
|
事件描述（名称） |
描述必须用户可读且与事件类型 ID 有关。例如，'Administration' 对于 ADM，或者 '进程管理' 对于 PM。 |
解决方案发送的某些事件名称：
|
|
事件的重要性（严重性） |
事件的严重性从 0 到 10，确定如下：
事件的严重性分数取决于事件类型和状态（成功或失败）。 |
例如，严重性分数可以确定如下：
|
|
关于事件的其他信息（扩展名） |
其他信息可能包括一个或者多个键值对集。 |
下面提供了关于卡巴斯基容器安全传输的键值对的信息。 |
创建与 SIEM 系统的集成
要添加 SIEM 集成：
- 在管理→集成→ SIEM部分中，单击添加 SIEM。
一个侧栏将显示，您可以在其中输入 SIEM 系统的参数。
- 在常规选项卡上，指定以下必需参数：
- SIEM 系统的名称。
- 连接 SIEM 系统的协议。默认选择TCP。
- SIEM 系统服务器的地址采用以下格式之一：
- IPv4
- IPv6
- FQDN
- 用于连接 SIEM 系统的端口。您可以指定端口 1 到 65535。默认设置为 514。
- 您想要将消息导出到 SIEM 系统的事件类别。要进行此项配置，请从以下列表中选中一个或多个事件类别旁边的复选框：
- 管理。
- 警报。
- CI/CD。
- 策略。
- 资源。
- 扫描器。
- 准入控制器。
- 取证数据。
- API。
查看资源、扫描仪、准入控制器和取证数据类别中的事件需要高级授权许可。
默认选择所有状态。
有关选定事件类别的消息将被发送到指定的 SIEM 系统，无论它是否链接到代理组。
- 在代理组日志选项卡上，选中一个或多个事件类型旁边的复选框作为运行时节点监控的一部分。
被发送到运行时环境的事件消息日志可能非常大，这会影响可用磁盘空间和网络负载。
- 如果您想验证指定的 SIEM 集成参数的正确性，请单击测试连接。
如果选择了 TCP 连接协议，该解决方案将测试与 SIEM 系统的连接。如果选择了 UDP 连接协议，则测试连接按钮将被禁用。
- 单击“保存”。
将代理组与 SIEM 系统链接起来
您可以在组件 → 代理部分中创建代理组或编辑其参数时将代理组链接到 SIEM 系统。
要在卡巴斯基容器安全中链接代理组，您必须拥有足够的权限来管理代理组；您还必须创建并配置至少一个 SIEM 集成。
页首查看和编辑 SIEM 集成设置
要查看 SIEM 集成：
- 在管理→集成→ SIEM部分打开 SIEM 集成列表。
- 单击集成列表中的集成名称。
要编辑 SIEM 集成设置：
- 在管理→集成→ SIEM 部分中，单击集成列表中的集成名称。
- 如有必要，在显示的侧栏中，按如下方式编辑集成参数：
- 在常规选项卡上，编辑以下必需参数：
- SIEM 系统的名称
- 连接 SIEM 系统的协议
- SIEM 系统服务器地址
- SIEM 系统连接端口
- 要导出的事件类别
- 如有必要，您可以在代理组日志选项卡上编辑为运行时选择的网络节点监视事件类型的列表。
- 在常规选项卡上，编辑以下必需参数：
- 如果使用 TCP 连接，请单击测试连接以查看是否可以建立与 SIEM 系统的连接。
- 单击“保存”。
删除与 SIEM 系统的集成
要删除 SIEM 集成：
- 在管理→集成→ SIEM部分打开 配置的 SIEM 集成列表。
- 通过选中集成名称行中的复选框来选择要删除的集成。
- 单击表格上方的删除。
选择一个或多个集成后， “删除”按钮将变为启用状态。
- 在打开的窗口中，确认删除。