Skip to main content

АПКШ Континент 3.9

Информация, приведенная на данной странице, является дополнением к официальной статье по Настройке получения событий АПКШ Континент. ЯвляетсяСтатья разработкойразработана командыкомандой pre-sales и НЕ является официальной рекомендацией вендора.

Подготовительные действия для получения событий АПКШ Континент

Создание учётнойроли записибазы в СУБД MS SQLданных

Для получения событий АПКШ Континент 3.9 из MS SQL требуется учетная запись с минимальным набором прав для подключения и чтения данных в таблицах: ALERTLOG, SERVERACCESSLOG, SYSTEMLOG, PACKETLOG, FILTERS. Чтобы создать учетную записьроль для работыдоступа ск MSтаблицам SQLБД АПКШ Континент выполните следующие действия:

  • Войдите на сервер с установленной MS SQL.
  • С помощью SQL Server Management Studio подключитесь к MS SQL под учетной записью с правами администратора.

image175.png

  • В панели Object Explorer (Обозревательраскройте объектов)вкладку БД АПКШ Континент и далее вкладку Security.
Во вкладке Roles нажмите правой кнопкой мыши на папку Database Roles и в контекстном меню выберите New Database Role.

image.png

    В появившемся окне Database Role - New на вкладке General укажите :
      Имя роли (Role Name); Владельца (Owner);

      image.png

        На вкладке Защищаемые объекты (Securables) добавьте защищаемые объекты (таблицы ALERTLOG, SERVERACCESSLOG, SYSTEMLOG, PACKETLOG, FILTERS) и разрешения к ним согласно скриншотам ниже:

        image.png

        image.png

        image.png

        image.png

        image.png

        image.png

          После добавления таблиц нажмите ОК для создания роли.

          Создание учётной записи в СУБД MS SQL

          Чтобы создать учетную запись для работы с MS SQL выполните следующие действия:

            В панели Object Explorer раскройте разделвкладку Security (Безопасность)Security.. Нажмите правой кнопкой мыши на папку Logins (Пользователи) и в контекстном меню выберите New Login (Новый пользователь)Login..

              image.png

              • Откроется окно Login - New.
              На вкладке General (Общие) нажмите на кнопку Search (Поиск) рядом с полем Login name.
              6.    Откроется окно Select User or Group.
              7.    В поле Enter the object name to select (examples) укажите имя учетной записи, с помощью которой будет осуществляться доступ к БД, и нажмите ОК.

               

                Раскройте папку Roles (Роли). Нажмите правой кнопкой мыши на папку (Database Roles) Роли базы данных и в контекстном меню выберите New Database Role (Новая роль базы данных).

                image.png

                  Откроется окно Login - New.

                   

                  Создание коллектора KUMA

                  Для приема и обработки событий Check Point NGFW необходимо создать сервис коллектора в KUMA. Для этого в веб-интерфейсе перейдите в раздел Ресурсы и нажмите на кнопку Подключить источник.General: В появившемся окне Создание коллектора:

                    На шаге Подключение источников укажите Название коллектора и Тенант, которому будет принадлежать создаваемый коллектор

                    image.png

                      На шаге Транспорт укажите Тип коннектора и URL (порт, выделенный сервису) 

                      Для распределенной инсталяции укажите hostname:port сервера коллектора в поле URL

                      Указанные параметры должны соответствовать настройкам на стороне Check Point

                      image.png

                        На шаге Парсинг событий нажмите Добавить парсинг событий и укажите нормализатор.
                        Рекомендуется создать и использовать в качестве нормализатора для событий Check Point дубликат предустановленного нормализатора [OOTB] CEF.image.pngВ параметрах нормализатора перейдите в окно Основной парсинг событий и выберите вкладку Обогащение.  На вкладке  Обогащение нажмите Добавить обогащение и настройте параметры обогащения согласно скриншоту ниже для корректной работы SOC и Community корреляционных правил.

                        image.png

                        image.png

                          Шаги мастера настройки с четвертого по шестой (Фильтрация событий, Агрегация событий и Обогащение событий) можно пропустить и вернуться к их настройке позднее. На седьмом шаге Маршрутизация задайте точки назначения. Для хранения событий добавьте точку назначения типа Хранилище (Storage). В случае если предполагается также анализ потока событий правилами корреляции добавьте точку назначения типа Коррелятор (Correlator).

                          image.png

                            На завершающем шаге Проверка параметров нажмите на кнопку Сохранить и создать сервис. После чего появится команда установки сервиса, которую необходимо скопировать для дальнейшей установки.

                            image.png

                            Также после выполнения вышеуказанных действий в разделе Ресурсы > Активные сервисы появится созданный сервис коллектора.

                            image.png

                            Установка коллектора KUMA

                            Выполните подключение к CLI сервера KUMA (установка сервиса коллектора выполняется с правами root).

                            Для установки сервиса коллектора выполните команду, скопированную на прошлом шаге.

                            image.png

                            При необходимости добавьте порт коллектора в исключения фаервола и обновите параметры службы.

                            firewall-cmd --add-port=<порт, выбранный для коллектора>/tcp –permanent
firewall-cmd --reload

                            После успешной установки сервиса его статус в веб-интерфейсе KUMA изменится на Вкл с зеленой индикацией.

                            image.png

                            Настройка Check Point NGFW

                            Отправка событий Check Point NGFW осуществляется средствами Log Exporter с Management Server/Log Server. Настройку конфигурации Log Exporter можно выполнить двумя способами:

                              С помощью SmartConsole (начиная с версии R81) В CLI

                              SmartConsole

                                Создайте новый объект Log Exporter/SIEM:
                                • Выберите ObjectsSQL Server authentication >для использования внутренней системы аутентификации SQL Server - другими словами, локальной учетной записи. Если необходимо можно использовать доменную учетную запись - для этого выберите вариант MoreWindows objectAuthentication. typesДалее >рассматривается вариант с использованием SQL Server > Log Exporter/SIEMauthentication.
                                • В поле ObjectLogin Name введитеукажите имя длясоздаваемой создаваемогоучетной объекта Log Exporter
                                Перейдите во вкладку General:
                                  В секции Export Configuration активируйте флаг Enabled В секции Server Configuration:
                                    В поле Target Server укажите IP-адрес или FQDN сервера коллектора KUMAзаписи (FQDNнапример, поддерживается, начиная с R81 SmartConsole Build 569)kuma). В поле Target PortPassword и Confirm Password укажите порт,пароль указанныйдля насоздаваемой шагеучетной Транспорт при создании сервиса коллекторазаписи. ВОпционально полеактивируйте ProtocolEnforce password policy выберитеи протоколостальные (TCPпараметры, илисвязанные UDP),с указанныйпаролем научетной шаге Транспорт при создании сервиса коллектора записи. В Перейдите во вкладкукачестве DataDefault Manipulation:database (база данных по умолчанию) выберите базу данных, используемую АПКШ Континент.

                                    image.png

                                      На вкладке User Mapping настройте права для учетной записи:
                                      • В полеразделе FormatUsers mapped to this login выберите CommonБД, Eventиспользуемую FormatАПКШ (CEF)Континент.
                                      • (Опционально)В активируйте флагразделе AggregateDatabase logrole updatesmembership before export для экспорта событий, содержащих полные данные, а не только изменения, произошедшие с момента последнего лога для одного и того же события.
                                      (Опционально) Перейдите во вкладку Attachments:for
                                        установите Активируйтефлажок флагивозле
                                          ранее Addсозданной linkроли to(в Logнашем Detailsпримере in SmartView Add link to Log Attachment in SmartView Add Log Attachment ID Нажмите ОКkuma_log_access).

                                          image.pngimage.pngimage.png

                                          • ВыполнитеНа настройку параметров объектавкладке ManagementStatus Serverнастройте илиправа Dedicatedдля Logподключения Serverучетной /записи SmartEventк Server:базе данных:
                                            • В навигационнойразделе панелиPermission слеваto connect to database engine выберите Gateways & ServersGrant.
                                            • ОткройтеВ объектразделе ManagementLogin Server or Dedicated Log Server / SmartEvent Server
                                          • Слева выберите Logs Enabled> Export.
                                          • Нажмите [+]ОК и выберите объект Log Exporter / SIEM, созданный ранее
                                          Нажмите OK. Нажмите Menu > Install database Выберите все объекты Нажмите Install

                                          CLI

                                            Подключитесь к Management Server / Log Server Перейдите в режим Expert Настройте параметры Log Exporter 
                                            cp_log_export add name <Наименование конфигурации Log Exporter> target-server <IP-адрес или FQDN сервера коллектора KUMA> target-port <Порт, указанный на шаге Транспорт при создании сервиса коллектора> protocol {tcp | udp} format cef
                                              Запустите новый инстанс Log Exporter 
                                              cp_log_export restart name <Наименование конфигурации>

                                              Проверка поступления событий Check Point NGFW в KUMA

                                              Для проверки, что сбор событий с Check Point NGFW успешно настроен перейдите в Ресурсы > Активные сервисы > выберите ранее созданный коллектор Check Point NGFW > ПКМ > Перейти к событиям.

                                              image.png

                                              В открывшемся окне События убедитесь, что присутствуют события Check Point NGFW.

                                              image.pngimage.png

                                                ПолезныеНастройка ссылкиутилиты kuma-kont

                                                Создание конфигурационного файла kuma-kont-config.yaml

                                                НастройкаПример отправкиконфигурационного событийфайла Checkkuma-kont-config.yaml:

                                                Point с помощью Log Exporter -

                                                https://support.checkpoint.com/results/sk/sk122323image.png

                                                ОписаниеЕсли полейпри событийзапуске Checkутилиты Pointkuma-kont -присутствуют https://support.checkpoint.com/results/sk/sk144192ошибки вида "Unsupported TLS version..." и нет возможности включить поддержку TLS 1.2 на стороне сервера MS SQL, добавьте параметр ";encrypt=disable" к имени БД. Рекомендуется установить соотвествующие обновления для сервера MS SQL в целях поддержки TLS 1.2. Вариант с отключением шифрования не рекомендуется к использованию, так данные буду передаваться в открытом виде.

                                                Back to top