Seit ePO 5.3.2 können erhaltene Bedrohungsereignisse direkt an einen Syslog-Server weitergeleitet werden, der in ePO als registrierter Server definiert ist. In diesem Artikel werden Sie durch die Einrichtung eines Syslog-Servers in einer Windows-Umgebung zu Testzwecken geleitet.

HINWEIS: Dieser Artikel ist noch nicht abgeschlossen. Es gibt viele unterschiedliche Syslog-Implementierungen in Windows und verschiedene UNIX-Typen. Dieser Artikel ist als Kurzanleitung für ePO-Administratoren gedacht, die eine Windows-Syslog-Umgebung zu Testzwecken einrichten möchten.

Voraussetzungen
Bevor Sie beginnen, muss ePO 5.9 oder ePO 5.3.2 mit angewendetem HotFix 1185471 installiert sein. Wenn HotFix 1185471 für ePO 5.3.2 nicht angewendet wurde, können Sie die Installation des Syslog-Servers zwar abschließen, aber ePO wird nicht mit dem Syslog-Server kommunizieren können.

WICHTIG: Wenn Sie ePO 5.3.2 verwenden, HotFix 1185471 angewendet wurde und Sie weitere Agenten-Handler haben, ist im Agenten-Handler zum Entfernen von zwei Dateien durch die HotFix-Versionen aus dem ePO-Server ein zusätzlicher Schritt erforderlich. Weitere Informationen finden Sie in KB87469.

HINWEIS: Die ePO-Plattform bietet die technischen Mechanismen zur Unterstützung der Integration von Syslog-Servern anderer Hersteller. Die Einrichtung, Konfiguration und Problemumgehung von Syslog-Servern anderer Hersteller wird jedoch nicht unterstützt.



Für diesen Artikel wird folgende Software benötigt:

• Bitnami Elk Stack: Ein Implementierungspaket aus drei Syslog-Komponenten:
  
  https://bitnami.com/stack/elk
  
  Zum Zeitpunkt der Erstellung des Artikels ist die aktuelle Version 5.6.3.0.


• OpenSSL: Erforderlich zum Generieren von Zertifikaten, da SSL von ePO nur zur Kommunikation mit dem Syslog-Server genutzt werden kann:
  
  https://slproweb.com/products/Win32OpenSSL.html

Auf dem System, das den Syslog-Server hostet:

1. Installieren Sie OpenSSL, und akzeptieren Sie die Standardoptionen (z. B. das Speichern der Installation im Standardverzeichnis: C:\OpenSSL-Win32).
2. Installieren Sie Bitnami Elk Stack, und akzeptieren Sie die Standardoptionen (z. B. das Speichern der Installation im Standardverzeichnis: C:\Bitnami\elk-5.6.3-0).
3. Wählen Sie am Ende der Installation die Option Launch Bitnami Elk Stack (Bitnami Elk Stack starten), und klicken Sie auf OK.
   Ein Web-Browser und das Bitnami Elk Stack-Verwaltungs-Tool öffnen sich.
4. Schließen Sie den Web-Browser. Klicken Sie im Verwaltungs-Tool auf die Registerkarte Manage Servers (Server verwalten), und klicken Sie auf Stop All (Alle beenden), um die Elk Stack-Dienste zu beenden.
5. Generieren Sie für den Syslog-Server ein selbstsigniertes Zertifikat:
   1. Öffnen Sie die Eingabeaufforderung als Administrator.
   2. Ändern Sie das Verzeichnis (cd) zu C:\OpenSSL-Win32\bin.
   3. Führen Sie folgenden Befehl aus:
      openssl req -newkey rsa:2048 -nodes -keyout C:\syslogselfsigned.key -x509 -days 365 -out C:\syslogselfsigned.crt -config openssl.cfg
      HINWEIS: Falls nötig, können Sie Pfad und Dateinamen für -keyout und -out ändern. Außerdem können Sie die Option -days anpassen, die die Gültigkeitslänge des Zertifikats bestimmt. In diesem Beispiel beträgt sie 365 Tage.
   
   
6. Geben Sie nach Aufforderung die entsprechenden Informationen ein, z. B. den Ländercode. Geben Sie als allgemeinen Namen den vollqualifizierten Domänennamen des Syslog-Servers ein.
   Durch diesen Schritt sollten C:\syslogselfsigned.crt und C:\syslogselfsigned.key generiert werden.
7. Erstellen Sie in C:\Bitnami\elk-5.6.3-0\logstash einen Ordner mit dem Namen SSL.
8. Kopieren (oder verschieben) Sie C:\syslogselfsigned.crt und C:\syslogselfsigned.key in den Ordner C:\Bitnami\elk-5.6.3-0\logstash\SSL.
9. Bearbeiten Sie C:\Bitnami\elk-5.6.3-0\logstash\conf\logstash.conf. Ersetzen Sie den Inhalt durch folgenden, und speichern Sie die Datei:
   
   input {
   tcp {
   port => 6514
   ssl_cert => 'c:\bitnami\elk-5.6.3-0\logstash\ssl\syslogselfsigned.crt'
   ssl_key => 'c:\bitnami\elk-5.6.3-0\logstash\ssl\syslogselfsigned.key'
   ssl_enable => true
   ssl_verify => false
   }
   }
   
   output {
   elasticsearch {
   hosts => ["127.0.0.1:9200"]
   }
   }
10. Falls Sie in Schritt 4 den Namen des Zertifikats oder der Schlüsseldatei geändert haben, vergewissern Sie sich, dass in logstash.conf die richtigen Werte eingesetzt sind. Falls Sie keinen Namen geändert haben, fahren Sie mit dem nächsten Schritt fort.
11. Klicken Sie im Elk Stack-Verwaltungs-Tool auf die Registerkarte Manage Servers (Server verwalten) und dann auf Start All (Alle Starten), um die Dienste zu starten.
12. Klicken Sie auf die Registerkarte Welcome (Begrüßung) und dann auf Go To Application (Zu Applikation wechseln). Dadurch wird die Elk-Konsole in einem Web-Browser gestartet. Klicken Sie auf Access ELK (Auf ELK zugreifen), und geben Sie die bei der Installation angegebenen Anmeldeinformationen ein. Die Kibana-Oberfläche wird angezeigt.
    Die Nachricht Configure an index pattern (Konfigurieren Sie ein Indexmuster) wird angezeigt.
13. Erstellen Sie zu Testzwecken ein allgemeines Muster. Heben Sie dazu die Auswahl für die Option Index contains time-based events (Index enthält zeitbasierte Ereignisse) auf, und geben Sie im Feld Index name or pattern (Indexname oder -muster) einen Stern * ein.
    Die Schaltfläche Create (Erstellen) wird angezeigt.
14. Klicken Sie auf Create (Erstellen), um ein Muster mit dem Namen * zu erstellen.
15. Klicken Sie auf der linken Optionsleiste, auf der alle Ereignisse angezeigt werden, auf die Registerkarte Discover (Erkennung). Dort wird wahrscheinlich nur ein einziger Eintrag vorhanden sein.

Auf dem ePO-Server:

1. Legen Sie bei der Konfiguration Ihres ePO-Servers die Verwendung des neu erstellten Syslog-Servers fest:
   1. Fügen Sie einen neuen registrierten Server über Registrierter Server hinzu, und wählen Sie als Typ Syslog aus.
   2. Geben Sie den vollqualifizierten Domänennamen des Syslog-Servers ein.
   3. Geben Sie als Port 6514 ein (oder den entsprechenden Port aus logstash.conf, falls dieser geändert wurde).
2. Wählen Sie Ereignisweiterleitung aktivieren aus.
3. Klicken Sie auf Verbindung testen.
   Jetzt sollte die Meldung Syslog connection success (Syslog-Verbindung wurde erfolgreich hergestellt) erscheinen. Wenn Sie die Kibana-Konsole auf dem Syslog-Server aktualisieren, sollte außerdem das Testereignis vom ePO-Server empfangen werden.
4. Klicken Sie auf dem ePO-Server auf Speichern, um den registrierten Syslog-Server zu speichern.
   
   Alle von ePO empfangenen Bedrohungsereignisse sollten jetzt automatisch an den Syslog-Server weitergeleitet werden.