הזרמת אירועי ביקורת ל-SIEM
הגדירו מקלט HTTPS או Splunk HEC ובדקו מסירה ושחזור.
חיבור מקלט
פתחו ״ארגון ← שירותים מחוברים ← SIEM״ כבעלים או כמנהל מערכת. הוסיפו שם, כתובת HTTPS ציבורית של המקלט ואסימון. עבור HTTPS כללי בחרו מערך JSON או NDJSON. עבור Splunk השתמשו באסימון HEC ובנקודת הקצה לאירועים שמסתיימת ב-/services/collector/event. שמרו את היעד, בדקו מסירה והפעילו הזרמה לאחר שהבדיקה התקבלה.
הבנת האירועים
הזרם שולח כל אירוע שנרשם סופית ביומן ביקורת הממשל של הדייר, כולל החלטות, תוצאות ביצוע ואירועי ניהול שמתועדים בו. הוא מכיל מזהים ומטא-נתונים של ביקורת, ללא הודעות שנלכדו, ארגומנטים גולמיים או פרטי גישה. היסטוריית משתמשים שהרשאותיהם נשללו נשארת גלויה. יומני ביקורת נפרדים של ספקים ושל מישור הבקרה אינם נכללים אוטומטית.
ניטור המסירה
בדקו את מספר האירועים הממתינים, שהתקבלו, שנכשלו ושפגו, את האירוע הממתין הוותיק ביותר שהוקצה ואת הקבלה האחרונה. כשלים זמניים נשלחים שוב במשך שבעה ימים ממועד האירוע. פרטי גישה לא תקינים משהים מסירה. רישומי מסירה במצב סופי והמונים נשמרים לשלושים יום מההקצאה או מהשליחה החוזרת כדי לאפשר חקירת פערים. ליומן המקור מדיניות שמירה נפרדת.
השהיה, החלפת פרטי גישה או שליחה חוזרת
השהיה שומרת עבודה בתוך חלון השחזור. החלפת פרטי גישה משהה את ההזרמה עד שהאסימון החדש עובר בדיקה. השתמשו ב״שחזור ואישורים״ כדי לבקש שליחה חוזרת של אירועי ביקורת שמורים בטווח UTC. השליחה החוזרת שומרת על מזהי האירועים המקוריים ועלולה לשכפל אירועים שכבר התקבלו. בקשות שכבר נשלחו יכולות להסתיים לאחר ההשהיה.
פתרון בעיות
המסירה הושהתה או הפסיקה להתקדם
בדקו את מספר השגיאות והאירועים הממתינים של היעד. אם פרטי הגישה לא תקינים, החליפו את האסימון, בדקו אותו והפעילו שוב את ההזרמה. בכשלים זמניים בדקו את זמינות המקלט. שלחו שוב אירועים שמורים כדי לשחזר מסירות שנכשלו או פגו.
שאלות נפוצות
האם ההזרמה כוללת אירועים מלפני ההפעלה?
ההפעלה הראשונה מתחילה באירועי ביקורת חדשים. כדי לשלוח אירועים ישנים יותר, בקשו שליחה חוזרת של טווח UTC שעדיין נשמר. מזהי האירועים נשמרים, ולכן מקלטים חייבים לטפל בכפילויות.