o ePO pode encaminhar eventos de ameaça recebidos diretamente para um syslog servidor, que é definido no ePO como um servidor registrado. Este artigo o guiará na configuração de um syslog ambiente para uso no teste.

Nota: Este artigo não se destina à solução de problemas durante o encaminhamento de eventos para um servidor syslog existente. Em vez disso, o objetivo é ajudar a configurar um ambiente de syslog simples e gratuito para fins de teste e avaliação.

Pré-requisitos
Antes de começar, é necessário ter o ePO 5.9.0 ou posterior instalado.

O seguinte software é necessário:

• Um hipervisor capaz de executar a máquina virtual, como VMWare Player ou VirtualBox .
• Bitnami Elk Stack:Uma implementação em pacotes de três syslog componentes, fornecida como uma máquina virtual (VM).
  
  Notas:
  • O link acima tem apenas a versão Linux do Bitnami Elk Stack.
  • A partir de 25 de setembro de 2020, a versão atual do Bitnami é 7.9.1 -0.
  • Alteramos recentemente a tecnologia que usamos para criar os ativos do ELK. Era necessário descartar o suporte para os instaladores Linux, Windows e Mac OS X e é por isso que você não consegue encontrá-los em bitnami.com. Para esses usuários, continuamos publicando as VMs que você pode usar localmente para distribuir o ELK em seu computador.

A) distribuição e configuração da Bitnami ELK VM:

• Faça download da VM e distribua-a Bitnami Elk Stack em seu ambiente.
• Ative a VM.
• Na tela de logon, o nome de usuário e a senha gerados aleatoriamente para o usuário padrão Kibana são exibidos. Anote a senha, conforme necessário posteriormente.
• Por padrão, o endereço IP é definido por meio de DHCP. Anote o endereço IP que será exibido na tela de logon.
• Entre na VM usando o nome de usuário padrão. A senha é bitnami .
• Você será solicitado a escolher uma nova senha para o bitnami usuário. Escolha uma senha segura.

Etapas opcionais:
Embora você não precise executar essas etapas, elas podem tornar as coisas mais simples se você precisar editar ou solucionar problemas na VM de syslog.

1. Para ativar o acesso à raiz, execute o comando a seguir e, em seguida, a tecla Enter e confirme uma nova senha segura:
   
   sudo passwd root
   
2. Para ativar o ssh, execute os seguintes comandos:

2. Ativar acesso de SSH à raiz:
   1. Editar /etc/ssh/sshd_config .
   2. Localize a linha que será iniciada PermitRootLogin .
   3. Remova o # no início e mude prohibit_password para yes . A linha final tem a seguinte aparência:
      
      PermitRootLogin yes
      
   4. Salvar o arquivo
   5. Para reiniciar o servidor SSH, execute o seguinte comando:
      
      sudo systemctl restart ssh

1. Edite /etc/hostname e atualização-o com o nome de host necessário.
2. Edite /etc/hosts e atualização-o com o nome de host necessário para as 127.0.0.1 entradas.
3. Para reinicializar a VM e aplicar as alterações, execute o seguinte comando:
   
   sudo shutdown -r now

Para usar um receptor syslog com o ePO, é necessário usar o TCP e o TLS. Para este artigo, criamos e usamos um certificado autoassinado.

1. Execute os seguintes comandos:
   
   sudo mkdir /opt/bitnami/logstash/ssl
   cd /opt/bitnami/logstash/ssl
   sudo openssl req -x509 -days 3650 -nodes -newkey rsa:2048 -keyout logstash-remote.key -out logstash-remote.crt
   
2. Quando solicitado, insira os detalhes do certificado. Defina o nome comum para o nome de domínio totalmente qualificado (FQDN) da VM.
3. Para alterar as permissões na chave arquivo e permitir logstash sua leitura, digite o comando a seguir:
   
   sudo chmod 644 logstash-remote.key

1. Editar o arquivo /opt/bitnami/logstash/pipeline/logstash.conf.
2. Edite a seção da tcp seguinte forma:

3. Edite a seção da output seguinte forma:
   
   output

4. Salve o arquivo.
5. Digite o seguinte para abrir a logstash porta no firewall do sistema:
   
   sudo ufw allow 6514/tcp

1. Conforme mencionado anteriormente, quando você instala a VM, ela é configurada com uma senha aleatória para a conta de usuário padrão. Se desejar alterar a senha, execute o seguinte comando:
   
   sudo /opt/bitnami/apache2/bin/htpasswd -c /opt/bitnami/kibana/conf/password user
   
2. Digite uma nova senha quando solicitado
3. Para reiniciar logstash , digite o seguinte comando:
   
   sudo /opt/bitnami/ctlscript.sh restart logstash

1. Entre no console do ePO.
2. Navegue até menu, configuração, servidores registrados.
3. Clique em Novo servidor.
4. No menu tipo de servidor, na página descrição, selecione servidor syslog.
5. Especifique um nome exclusivo e todos os detalhes e clique em Avançar.
6. Na página Construtor de servidores registrados, defina as seguintes configurações:
   • Nome do servidor -digite o endereço IP do servidor syslog.
   • Número de porta TCP -Enter 6514 .
   • Encaminhamento de evento ativar -essa opção permite que o encaminhamento de evento do manipulador de agentes para o servidor syslog.
     
7. Clique em Conexão de teste. Esta ação verifica a conexão com o servidor syslog. Agora, você verá a seguinte mensagem:
   
   Syslog connection success
   
8. Clique em Salvar.

E) agora é possível acessar o servidor syslog usando um navegador da Web.

1. Insira o endereço IP indicado na etapa A, no URL do navegador.
2. Você será solicitado a efetuar logon. Use o usuário padrão para o nome e a senha aleatórias, observados na etapa A.
   
   Nota: Se você redefiniu a senha na etapa 3 opcional, certifique-se de usar essa senha, não a que Random observou no início.
   
   A página inicial elástica é exibida.
   
3. Para exibir eventos de syslog recebidos:
   1. Clique no objeto Discover .
      
      Nota: Antes de poder exibir eventos, você precisa configurar um padrão de índice.
      
   2. Clique em criar índice padrão.
   3. No campo nome do padrão do índice , digite um único asterisco (*) e clique em Avançar etapa.
   4. Na lista suspensa campo de hora , selecione @timestamp e clique em. Create Index Pattern
   5. Agora, no menu no canto superior esquerdo, selecione descobrir.
      
      Agora, você verá pelo menos um evento exibido, com a seguinte mensagem:
      
      Congratulations! You have now set up a simple syslog environment for use with ePO.
      
      Se você conseguir ver os itens acima, o ePO testou com êxito a conexão com o receptor de syslog.