Загрузка аудитных логов в SIEM ArcSight и поиск событий

С помощью сервиса Cloud Audit и VK Object Storage можно настроить передачу аудитных логов платформы VK Cloud в SIEM-систему ArcSight для соответствия требованиям политик безопасности (PCI DSS, GDPR, 152-ФЗ). Сервис Cloud Audit собирает события безопасности от облачных сервисов и виртуальных машин VK Cloud — как управляющего слоя (кто создал бакет, кто изменил настройки), так и слоя данных — и передает их в ArcSight в формате CEF (Common Event Format).

Для примера далее используются следующие данные:

• IP-адрес развренутого экземпляра системы ArcSight: 192.168.1.100
• Порт ArcSight для приема сообщений: 514
• Название подключения: ArcSight-Production
• Протокол передачи данных: TCP over TLS
• Тестовый адрес пользователя: admin@example.com
• Тестовый IP-адрес пользователя: 203.0.113.50

1. Убедитесь, что у вас есть доступ к личному кабинету VK Cloud с одной из ролей: Владелец проекта, Суперадминистратор, Администратор проекта или Наблюдатель.

2. Создайте аккаунт для сервиса VK Object Storage, если это еще не сделано:

   1. Перейдите в личный кабинет VK Cloud.

   2. Выберите проект.

   3. Перейдите в раздел Object Storage → Аккаунты.

   4. Нажмите кнопку Добавить аккаунт или Добавить.

   5. Задайте имя аккаунта.

   6. Нажмите кнопку Создать.

   7. В открывшемся окне скопируйте и сохраните идентификатор ключа доступа (Access Key ID) и секретный ключ (Secret Key).

3. Убедитесь, что SIEM-система ArcSight развернута и доступна для сетевого подключения со стороны VK Cloud.

4. Откройте порт вашей SIEM-системы на прием сообщений от VK Cloud. Подробнее о необходимых настройках в официальной документации ArcSight.

5. (Опционально) Создайте бакет в VK Object Storage, если требуется хранить архив аудитных логов. Для обеспечения неизменяемости логов включите блокировку объектов в строгом режиме (COMPLIANCE).

1. Перейдите в личный кабинет VK Cloud.

2. Перейдите в раздел Мониторинг → Журнал событий.

3. Нажмите кнопку Настройки и перейдите на вкладку SIEM.

4. Нажмите кнопку Создать подключение.

5. Укажите параметры подключения:

   • Название: ArcSight-Production.
   • Точка подключения: 192.168.1.100:514 — IP-адрес вашей SIEM-системы ArcSight и порт, открытый для приема сообщений от VK Cloud.
   • Протокол передачи данных: выберите TCP over TLS для шифрования передаваемых данных.
   • Ключ для TLS: вставьте значение ключа для TLS от вашего провайдера в формате PEM.
   • Формат сообщения: выберите CEF (Common Event Format) — стандартный формат для передачи событий безопасности в SIEM-системы, включая ArcSight. Альтернативно доступен формат RAW (Syslog RFC5424).

6. (Опционально) Настройте фильтрацию сообщений, чтобы передавать в ArcSight только релевантные события:

   • Отключено — получать информацию обо всех событиях.
   • Системные фильтры — выбрать события по параметрам Статус или Источник. Доступные значения: Отсылать только выбранное, Отсылать все кроме.
   • Свой запрос — создать фильтр с помощью языка поисковых запросов.

7. Нажмите кнопку Создать.

8. Дождитесь окончания проверки подключения и нажмите кнопку Активировать.

После активации подключения в VK Cloud события начнут поступать в ArcSight в формате CEF через протокол TCP over TLS.

Для приема событий в ArcSight настройте SmartConnector (или аналогичный приемник) на прослушивание TCP-трафика в формате CEF на порту 514. Конкретные шаги зависят от версии ArcSight и описаны в документации Micro Focus.

Чтобы сократить объем передаваемых данных и получать в ArcSight только события, релевантные требованиям комплаенса, настройте фильтрацию с помощью языка поисковых запросов Cloud Audit.

1. Перейдите в раздел Мониторинг → Журнал событий.

2. Нажмите кнопку Настройки и перейдите на вкладку SIEM.

3. Нажмите для подключения ArcSight-Production и выберите пункт Настроить.

4. В разделе Тип фильтрации выберите Свой запрос и укажите фильтр. Например, чтобы передавать только события, связанные с VK Object Storage и критические события:

    
   resource.type: "s3" OR severity >= WARNING

   Доступные параметры фильтрации:

   Параметр	Описание
   action	Тип события
   severity	Серьезность события: DEFAULT, DEBUG, INFO, NOTICE, WARNING, ERROR, CRITICAL, ALERT, EMERGENCY
   source.id	Идентификатор источника события
   source.address	IP-адрес источника события
   subject.user_id	Идентификатор пользователя
   subject.address	IP-адрес пользователя
   subject.metadata.email	Email пользователя
   resource.id	Идентификатор ресурса
   resource.type	Тип ресурса
   resource.metadata.service_id	Имя сервиса
   resource.metadata.stream_id	Имя объекта
   status.code	Код статуса выполнения операции

5. Нажмите кнопку Сохранить изменения.

6. Дождитесь окончания проверки подключения и нажмите кнопку Активировать.

Сервис Cloud Audit предоставляет язык поисковых запросов для поиска подозрительной активности в журнале событий. Используйте поисковые запросы в личном кабинете VK Cloud для расследования инцидентов, выявленных в ArcSight, или для самостоятельного анализа.

1. Перейдите в раздел Мониторинг → Журнал событий.
2. Нажмите кнопку Поиск и фильтры.
3. В поле поиска укажите запрос и нажмите кнопку Найти.

Примеры поисковых запросов для выявления подозрительной активности:

Для предоставления отчетов по соблюдению стандартов безопасности выгрузите отфильтрованные события из журнала.

1. Перейдите в раздел Мониторинг → Журнал событий.

2. Настройте содержание списка с помощью поискового запроса и фильтров.

3. (Опционально) Отсортируйте список по времени регистрации события.

4. Нажмите кнопку Скачать.

   Будет скачан файл формата TSV. Записи в файле будут располагаться в порядке, который определяется применением поискового запроса, фильтров и сортировки.

1. Выполните любое действие в VK Cloud — например, создайте тестовый бакет или загрузите объект в существующий бакет.

2. Перейдите в раздел Мониторинг → Журнал событий и убедитесь, что новое событие появилось в журнале.

3. Проверьте, что событие поступило в ArcSight: откройте консоль ArcSight ESM и найдите соответствующую запись в формате CEF.

4. Убедитесь, что параметры события (IP-адрес пользователя, тип действия, время) корректно отображаются в ArcSight.

Созданные ресурсы тарифицируются. Если они вам больше не нужны:

1. Удалите SIEM-подключение ArcSight-Production, если оно больше не требуется.

2. Если для хранения архивных логов создавался бакет в VK Object Storage, удалите бакет. Перед удалением убедитесь, что хранящиеся в нем данные больше не нужны.