Средство пересылки системного журнала

Если в вашей сети есть сервер системного журнала, можно экспортировать журналы в системный журнал, чтобы получать определенные события (событие обнаружения, агрегированное событие файервола, агрегированное событие системы HIPS и т. д.) с клиентских компьютеров, на которых работает решение ESET Endpoint Security.

Вы можете создать несколько конфигураций Syslog и назначить их определенным клиентам.

В Marketplace найдите Syslog Forwarder и нажмите Connect. Укажите следующие общие параметры:

1.В разделе Общие настройки укажите следующие поля:

•Выбрать компанию— выберите компанию, для которой настраивается интеграция. Это поле отображается только для пользователей MSP.

•Имя — введите имя конфигурации.

•Описание—Введите описание.

•Формат полезных данных: выберите JSON, LEEF или CEF.

•Формат конверта журнала: выберите BSD (спецификация), системный журнал (спецификация).

•Минимальный уровень журналирования—Information, Warning, Error, Critical или 6514.

•Целевой IP-адрес или полное доменное имя совместимого с TLS сервера системного журнала: введите публичный IPv4-адрес или имя хоста назначения для сообщений системного журнала.

•Порт — выберите порт для сообщений Syslog.

•Кадрирование с подсчётом октетов — выбрано по умолчанию. Отключайте этот переключатель только в том случае, если он не поддерживается вашей системой syslog.

2.Нажмите кнопку Продолжить.

3.В разделе Настройки журнала и сертификат укажите:

•Типы событий для записи в журнал: выберите тип журналов, который желаете добавить (Защита от вирусов, Система HIPS, Файервол, Защита доступа в Интернет, Журнал аудита, Заблокированные файлы, Оповещения ESET Inspect, Инциденты).

•Проверить корневые сертификаты ЦС для TLS-подключений: щелкните переключатель, чтобы включить проверку сертификата для подключения между сервером системного журнала и ESET PROTECT. После включения проверки появится новое текстовое поле, в котором можно скопировать и вставить нужную цепочку сертификатов. Сертификат сервера должен соответствовать следующим требованиям:

oВся цепочка сертификатов в формате PEM передается и сохраняется в конфигурации экспорта системного журнала (сюда входит и корневой ЦС, поскольку нет встроенных доверенных сертификатов);

oСертификат сервера системного журнала предоставляет расширение альтернативного имени субъекта (DNS=/IP=), в котором как минимум одна запись соответствует конфигурации имени хоста FQDN/IP.

4.Нажмите кнопку Продолжить.

5.Просмотрите сводку. После внесения соответствующих изменений:

•либо нажмите Тестовый журнал, чтобы запустить тестовый журнал перед завершением и убедиться, что конфигурация настроена правильно

•или нажмите кнопку Завершить.

Конфигурация вступит в силу через 10 минут.