|
<< Click to Display Table of Contents >> Интеграция с SIEM |
Интеграция с SIEM
Интеграция с SIEM системами организуется через отправку событий с помощью протокола syslog (UDP).
Для отправки интервенций необходимо в конфигурационном файле /etc/default/waf-ilogger сервиса waf-ilogger добавить/изменить следующую переменную окружения:
ILOGGER_SYSLOG_ADDRESS=<ip>:<port> # 192.168.1.2:514
где:
•<ip> - IP адрес коллектора событий безопасности;
•<port> - UDP порт коллектора событий безопасности.
Перезапустить сервис waf-ilogger:
systemctl restart waf-ilogger
Ниже представлен пример события безопасности:
{
"id": "31830f46-dc87-df2b-f811-99e4f5b6cfd2",
"timestamp": 1760371406,
"clusterId": 7052,
"clusterName": "cluster_test",
"serverAlias": "a9c80e7f-04ad-4155-a634-4bfc28222f91",
"instanceId": "f1d78b0975282b6e95503423ebecffa8",
"requestId": "a4e3e54b588660a3ac8da2ffb8a11e55",
"clientAddress": "45.82.152.169",
"isPassive": false,
"isBlocked": false,
"status": 403,
"severity": 5,
"httpVersion": 3,
"method": "POST",
"hostname": "demo.weblock.ru",
"uri": "/wp-cron.php?doing_wp_cron=1760371406.4627768993377685546875",
"userAgent": "WordPress/6.6.4; https://demo.weblock.ru",
"bodySize": 0,
"headers": [
"Host: demo.weblock.ru",
"User-Agent: WordPress/6.6.4; https://demo.weblock.ru",
"Accept-Encoding: deflate;q=1.0, compress;q=0.5, gzip;q=0.5",
"Content-Length: 0",
"Content-Type: application/x-www-form-urlencoded; charset=UTF-8",
"Connection: Close"
],
"rulesFingerprint": "enTejTEtZj1AAmxd",
"interventions": [
{
"id": "3fdf3de5-43be-4d5a-af68-4733a35b007c",
"InsertedAt": "0001-01-01T00:00:00Z",
"ruleId": "31900066",
"tag": "01K78ZTJJ59HYTM97G1NCFDR82",
"data": "",
"message": "Request Missing an Accept Header",
"hostname": "10.50.2.105",
"uri": "/wp-cron.php",
"severity": 5,
"tags": [
"GRS_v4.5.1",
"GRS_Date:2025-09-08",
"id1510212",
"attack-protocol"
]
}
]
}