Configurar un servidor Syslog remot
Un cop configurat, Cyberwatch enviarà cada hora les últimes CVE detectades al servidor Syslog remot.
- Feu clic a Administració
- Feu clic a Eines externes
- Feu clic a la pestanya Servidor Syslog remot
Configuració bàsica
- Adreça: adreça del servidor Syslog remot
- Port: port que s’utilitza per comunicar-se amb el servidor Syslog remot
- Protocol: protocol que s’utilitza per comunicar-se amb el servidor Syslog remot
- Format de la capçalera: RFC 3164 (BSD, valor per defecte) o RFC 5424. El cos del missatge no canvia, només canvia la capçalera
En TCP, cada missatge acaba amb un salt de línia (enquadrament «non-transparent framing» de l’RFC 6587). El servidor Syslog remot ha d’acceptar aquest enquadrament, com ara la font network() de syslog-ng o el mòdul imtcp de rsyslog. En canvi, la font syslog() de syslog-ng espera missatges prefixats amb la seva longitud i els rebutja.
Paràmetres avançats
- Mida del paquet: mida màxima del paquet que s’envia al servidor Syslog remot
- Cos de la sol·licitud: el missatge que conté les dades que cal enviar. Compatible amb les plantilles
Exemple de registre
El registre següent el genera el botó Prova de la configuració de syslog.
Oct 3 12:02:32 Cyberwatch Detection: node='master',active='true',computer_category='desktop',computer_criticality='criticality_medium',
computer_id='0',computer_name='test_syslog',computer_os='',computer_os_arch='',computer_os_name='',computer_project='test_project',
created_at='2022-10-03 14:02:32 +0200',cve_code='CVE-XXXX-XXXX',cve_level='high',cve_prioritized='true',cve_published_at='2022-10-03 14:02:32 +0200'
,cve_score='10.0',epss='0.90484',cve_exploit_code_maturity='functional',cve_catalogs='CISA KEV,BSI',cve_status='ignored',cvss_vector='CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:N/A:L',fixed_at='',
groups='berlin,development',ignored='true',ip='127.0.0.1',source_node='cyberwatch',triage_status='under_review',
updated_at='2022-10-03 14:02:32 +0200'
Segons el format de capçalera triat, el missatge enviat comença així:
RFC 3164 : <13>Oct 3 12:02:32 Cyberwatch Detection: node='master',active='true',...
RFC 5424 : <13>1 2022-10-03T12:02:32.692508Z Cyberwatch Detection - - - node='master',active='true',...
Amb l’RFC 5424, la marca de temps és en UTC, Cyberwatch és el nom d’amfitrió i Detection, el nom de l’aplicació. Els camps PROCID, MSGID i STRUCTURED-DATA són buits (-).
Plantilles
Cyberwatch utilitza el motor de plantilles Liquid per donar format al cos de les sol·licituds syslog. La seva documentació està disponible en anglès a l’adreça https://shopify.dev/docs/api/liquid.
Hi ha disponibles les variables de dades de Cyberwatch següents:
| Variable | Descripció | Exemples de valors possibles |
|---|---|---|
| active | Indica si la vulnerabilitat està present actualment a l'actiu | true |
| computer_category | Distingeix les estacions de treball dels servidors | server, desktop |
| computer_criticality | Criticitat de l'actiu tal com està definida a Cyberwatch | Medium |
| computer_id | Identificador de l'actiu | 255 |
| computer_name | Nom d'amfitrió de l'actiu | server01 |
| computer_os | Nom únic del sistema operatiu per a Cyberwatch. | debian_9_64, windows_2008... |
| computer_os_arch | Arquitectura del sistema operatiu | AMD64, x86_64, i3686... |
| computer_os_name | Sistema operatiu tal com el comunica l'actiu | Debian GNU/Linux 9 (stretch), Microsoft® Windows Server® 2008 Standard... |
| computer_project | Projecte al qual pertany l'actiu a Cyberwatch | test_project |
| created_at | Creació a Cyberwatch | 2022-10-03 14:08:25 +0200 |
| cve_code | Identificador únic de la vulnerabilitat | CVE-2020-0850 |
| cve_level | Nivell de gravetat de la vulnerabilitat tal com està configurat a Cyberwatch | level_medium |
| cve_prioritized | Indica si la vulnerabilitat està prioritzada a l'actiu | true, false |
| cve_published_at | Publicació de la CVE | 2020-03-12 17:15:00 +0100 |
| cve_score | Puntuació CVSS de la vulnerabilitat | 7.6 |
| cve_status | Estat de la vulnerabilitat a l'actiu afectat | active, active_with_exploits, fixed, ignored |
| cvss_vector | Vector CVSS v3 o CVSS v4 | CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:N/A:L |
| epss | Puntuació EPSS | 0.7850 |
| cve_exploit_code_maturity | Maduresa dels exploits de la vulnerabilitat | proof_of_concept, functional, unproven, high |
| cve_catalogs | Catàlegs en què figura la vulnerabilitat | CISA KEV, BSI |
| fixed_at | Data de correcció de la vulnerabilitat a l'actiu | 2022-10-03 14:08:25 +0200 |
| groups | Llista dels grups de l'actiu | production, Paris |
| ignored | Indica que la vulnerabilitat s'ha ignorat a l'actiu | false |
| ip | Adreça IP de l'actiu | 127.0.0.1 |
| source_node | Nom del node que supervisa l'actiu | cyberwatch |
| triage_status | Indica l'estat d'anàlisi de la vulnerabilitat a l'actiu | under_review |
| updated_at | Última actualització | 2022-10-03 14:08:25 +0200 |