ID статьи: 1216
Последнее обновление: 24 янв, 2024
Documentation: Product: LogAn, SIEM Version: 7.1.0
ОписаниеUserID агент предназначен для осуществления прозрачной аутентификации на выбранных устройствах UserGate. В качестве источника данных аутентификации используются журналы Microsoft Active Directory (посредством протокола WMI) и Syslog (посредством стандартизированного протокола syslog RFC 3164, RFC 5424, RFC 6587). Схема работыUserID агент периодически делает запрос в базу данных для поиска событий входов/выходов пользователей. Поиск происходит только среди записей, полученных при помощи источников UserID, то есть другие записи (полученные через WMI сенсоры, конечные устройства, сборщики логов) игнорируются. По полученным данным происходит поиск пользователя в каталогах пользователей источника логов. Если пользователь найден, то данные для авторизации пользователя отправляются на все устройства NGFW, указанные в профиле редистрибуции источника. Таким образом производится авторизация пользователя на всех указанных устройствах. В случае выхода пользователя ситуация аналогична (за исключением Microsoft Active Directory, где данные о выходе пользователя на данный момент не обрабатываются). Информация о входе/выходе/ошибке сохраняется в журнал UserID. ПримечаниеСобытия, полученные с источников, будут отображены в журналах UserID на рабочем столе Журналы и отчёты.
НастройкаВ общем случае для настройки сбора информации с источников необходимо выполнить следующее:
При настройке агента необходимо заполнить следующие поля:
ПримечаниеПри подключении NGFW к Log Analyzer возможна одновременная работа агентов UserID, настроенных на обоих устройствах. Агенты устройств будут работать независимо друг от друга. События журналов агента UserID, полученные NGFW, как и события других журналов, будут переданы на LogAn.
Microsoft Active DirectoryВ случае, если в качестве источника информации выступает Microsoft Active Directory необходимо:
При использовании серверов AD в качестве источников событий UserGate выполняет WMI-запросы для поиска событий, связанных с успешным входом в систему (идентификатор события 4624), событий Kerberos (события с номерами: 4768, 4769, 4770) и события членства в группах (идентификатор события 4627). Периодичность выполнения запросов регулируется настройками агента UserID (параметр Интервал опроса). Найденные события отображаются на рабочем столе Журналы и отчёты, в разделе Журналы → Конечные устройства → Журнал событий. При добавлении источника событий типа Microsoft Active Directory необходимо указать следующие данные:
SyslogПримечаниеДля корректной работы сборщика логов UserID, необходимо настроить сервер Syslog для отправки журналов на адрес агента UserID. Подробнее см. документацию Syslog.
Для настройки источника событий необходимо выполнить следующие действия:
При добавлении источника событий типа Syslog необходимо указать следующие параметры:
Найденные события отображаются на рабочем столе Журналы и отчёты, в разделе Журналы ➜ Агент UserID ➜ Syslog.
Эта статья была:
Полезна |
Не полезна
Сообщить об ошибке
ID статьи: 1216
Последнее обновление: 24 янв, 2024
Ревизия: 3
Просмотры: 419
Комментарии: 0
|