AlienVault-Einrichtung und -Konfiguration Verwenden von Syslog für den Netzwerkverkehr

394
harri

Ich versuche, eine AlienVault-Instanz bereitzustellen, und bin etwas verwirrt darüber, wie der Verkehr verfolgt wird. Ich kann sehen, dass ich Richtlinien und Alarme einstellen kann, die auf bestimmten Ereignissen basieren, und dass ich denke, dass ich meinen Hauptport auf meinen Switch portieren und diesen in meinen AlienVault-Sensor schieben muss. Ich habe auch drahtlos und daher bin ich etwas verwirrt, wie das mit meinem Draytek 2960 funktionieren würde, da 2 Vlans in den AP gehen und Port-Mirroring mit Tagging nicht möglich ist, glaube ich nicht und würde auch 2 Netzwerkschnittstellen usw. benötigen.

Ich frage mich, ob Sie Syslog from router verwenden, um alle Zugriffsprotokolle an mein AlienVault zu senden. Wenn Sie diese Informationen weitergeben, können Sie keine ähnlichen Informationen verfolgen und über diese Alarme und Richtlinien auslösen. Syslog-Einträge werden jedoch nur als Quelle angezeigt, jedoch als Router und als Daten nur UserData1 und UserData2 und fragen sich, wie

Nov 22 09:18:33 192.168.1.254 Vigor2960: Local User: (MAC=XX:XX:XX:XX:XX:XX) XXX.XXX.1.70:54686 -> XX.XX.XX.XX:443 (TCP)

Das Format ist ähnlich wie oben, also brauche ich nur ein paar hübsche Regex. Ich hoffe, dass ich daraus die Daten machen kann, die ich brauche, wenn möglich?

0

0 Antworten auf die Frage

Verwandte Probleme