ePO 5.3.2 introduceerde de mogelijkheid om ontvangen bedreigingen direct naar een syslog-server door te sturen, die is gedefinieerd in ePO als geregistreerde server. Dit artikel leidt u door de installatie van een syslog-server in een Windows-omgeving voor gebruik in een test.

OPMERKING: dit artikel is niet definitief. Er zijn veel verschillende syslog-implementaties op Windows en diverse typen van UNIX; dit artikel is bedoeld als verkorte handleiding om ePO-beheerders te helpen bij het installeren van een Windows-syslog-omgeving voor testen.

Voorwaarden
Voordat u begint moet u ePO 5.9 of ePO 5.3.2 installeren met Hotfix 1185471 toegepast. Zonder Hotfix 1185471 toegepast op ePO 5.3.2 kunt u de installatie van de syslog-server voltooien, maar zal ePO niet kunnen communiceren met de syslog-server.

BELANGRIJK: als u ePO 5.3.2 met Hotfix 1185471 gebruikt en u aanvullende agenthandlers hebt, is een extra stap nodig om twee bestanden op de agenthandler te vervangen door de Hotfix-versies afkomstig van de ePO server. Zie KB87469 voor meer informatie.

OPMERKING: het ePO-platform biedt het technisch mechanisme om de integratie van syslog-servers van derde partijen te ondersteunen, maar de installatie, configuratie of probleemoplossing wordt niet ondersteund.



Voor de doeleinden van dit artikel is de volgende software nodig:

• Bitnami Elk Stack: Een gebundelde implementatie van drie syslog-componenten:
  
  https://bitnami.com/stack/elk
  
  De huidige versie is op het moment van publicatie van dit artikel 5.6.3.0.


• OpenSSL: vereist om een certificaat te genereren, omdat ePO alleen SSL kan gebruiken om met de syslog-server te communiceren:
  
  https://slproweb.com/products/Win32OpenSSL.html

Op het systeem dat de syslog-server zal hosten:

1. Installeer OpenSSL en accepteer de standaardinstellingen (installeer bijvoorbeeld in de standaardmap C:\OpenSSL-Win32).
2. Installeer Bitnami Elk Stack en accepteer de standaardinstellingen (installeer bijvoorbeeld in de standaardmap C:\Bitnami\elk-5.6.3-0).
3. Selecteer aan het einde van de installatie de optie Bitnami Elk Stack starten en klik op OK.
   Een webbrowser en het beheerhulpmiddel Bitnami Elk Stack worden geopend.
4. Sluit de webbrowser. Klik in het beheerhulpmiddel op het tabblad Servers beheren en klik op Alles stoppen om de Elk Stack-services te stoppen.
5. Een zelfondertekend certificaat voor de syslog-server genereren:
   1. Open een beheeropdrachtprompt.
   2. Wijzig de directory (cd) in: C:\OpenSSL-Win32\bin
   3. Voer de volgende opdracht uit:
      openssl req -newkey rsa:2048 -nodes -keyout C:\syslogselfsigned.key -x509 -days 365 -out C:\syslogselfsigned.crt -config openssl.cfg
      OPMERKING: u kunt het pad en de bestandsnamen wijzigen voor -keyout en -out, indien nodig. U kunt ook de optie -days aanpassen, waarmee wordt gedefinieerd hoe lang het certificaat geldig is. Voor dit voorbeeld is dit ingesteld op 365 dagen.
   
   
6. Voer de relevante informatie in, zoals de landcode, wanneer hier om wordt gevraagd. Voer voor de gedeelde naam de FQDN (Fully Qualified Domain Name) van de syslog-server in.
   Met deze stap worden C:\syslogselfsigned.crt en C:\syslogselfsigned.key gegenereerd.
7. Maak een map met de naam SSL in C:\Bitnami\elk-5.6.3-0\logstash.
8. Kopierer (of verplaats) C:\syslogselfsigned.crt en C:\syslogselfsigned.key naar de map C:\Bitnami\elk-5.6.3-0\logstash\SSL.
9. Bewerk C:\Bitnami\elk-5.6.3-0\logstash\conf\logstash.conf. Vervang de bestaande inhoud met het volgende en sla het bestand op:
   
   input {
   tcp {
   port => 6514
   ssl_cert => 'c:\bitnami\elk-5.6.3-0\logstash\ssl\syslogselfsigned.crt'
   ssl_key => 'c:\bitnami\elk-5.6.3-0\logstash\ssl\syslogselfsigned.key'
   ssl_enable => true
   ssl_verify => false
   }
   }
   
   output {
   elasticsearch {
   hosts => ["127.0.0.1:9200"]
   }
   }
10. Als u de naam van het certificaat of sleutelbestanden in stap 4 hebt gewijzigd, moet u controleren of u de correcte waarden hebt ingesteld in logstash.conf. Als u de naam niet hebt gewijzigd, gaat u naar de volgende stap.
11. Klik in het beheerhulpmiddel Elk Stack op het tabblad Servers beheren en klik op Alles starten om de services te starten.
12. Klik op het tabblad Welkom en daarna op Ga naar toepassing. Met deze stap wordt de Elk-console in een webbrowser gestart. Klik op ELK openen en voer de aanmeldingsgegeven in die u tijdens de installatie hebt opgegeven. De Kibana-interface wordt weergegeven.
    Het bericht Een indexpatroon configureren wordt weergegeven.
13. Maak voor het testen een "alles"-patroon door de optie Index bevat tijdgebaseerde gebeurtenissen uit te schakelen en voer een asterisk * in het veld Indexnaam of patroon in.
    De knop Maken wordt nu weergegeven.
14. Klik op Maken om een patroon te maken met de naam *.
15. Klik op het tabblad Detecteren op de linkeroptiebalk waarop alle gebeurtenissen worden weergegeven. Er zal waarschijnlijk slechts één vermelding zijn.

Op de ePO-server:

1. Configureer uw ePO-server om de nieuw gemaakte syslog-server te gebruiken:
   1. Voeg een nieuwe geregistreerde server toe en selecteer Syslog voor het type.
   2. Voer de FQDN van de syslog-server in.
   3. Voer 6514 in voor de poort (of de poort die is opgegeven in logstash.conf, indien deze is gewijzigd).
2. Selecteer Gebeurtenis doorsturen inschakelen.
3. Klik op Verbinding testen.
   Er moet nu het bericht Syslog-verbinding geslaagd worden weergegeven. Als u de Kibana-console op de syslog-server vernieuwt, moet u ook zien dat de testgebeurtenis van de ePO-server is ontvangen.
4. Klik op de ePO-server op Opslaan om de geregistreerde syslog-server op te slaan.
   
   Alle bedreigingsgebeurtenissen die door ePO zijn ontvangen moeten nu automatisch worden doorgestuurd naar de syslog-server.