Kayıtları Forsenti SIEM'e İletme

Adım adım

1. 1

   Forsenti tarafında kaynağı tanımlayın

   Forsenti panelinde Agentlar → Collector kaynakları ekranını açın ve LogSpot cihazınızın IP adresini /32 olarak kiracınıza ekleyin (ör. 10.0.0.20/32, kaynak tipi syslog). Bu eşleme yapılmazsa gönderilen kayıtlar kiracınıza düşmez. Forsenti collector'ı hem standart 514 hem 25514 portunu dinler; adres ve portu Agentlar → Kurulum → Switch / güvenlik duvarı (syslog) sekmesinden okuyabilirsiniz.

2. 2

   LogSpot'ta SIEM iletimini açın

   Sistem & Yönetim → SIEM İletimi ekranında SIEM forward etkin kutusunu işaretleyin. Hedef alanına Forsenti collector adresini adres:port biçiminde yazın (ör. 10.0.0.50:514). Protokol olarak kayıp istemiyorsanız TCP, düşük yük istiyorsanız UDP seçin. Kaydedin; değişiklik en geç 10 saniye içinde devreye girer, yeniden başlatma gerekmez.

3. 3

   Güvenlik duvarında yolu açın

   LogSpot cihazından Forsenti collector adresine seçtiğiniz port ve protokolle (ör. TCP 514) çıkışa izin verildiğini doğrulayın. Yol kapalıysa LogSpot kayıtları saklamaya devam eder, yalnız dışarıya kopya gidemez; LS-VERI-12012 uyarısı bu durumu gösterir.

4. 4

   Forsenti'de akışı doğrulayın

   Birkaç dakika sonra Forsenti Olaylar sayfasında tags:logspot ya da labels.logspot_tenant:* ile arayın. Kayıtlar firewall markanıza göre sınıflanmış gelir (örneğin FortiGate için event.source_type:fortigate); LogSpot'un kiracı, lokasyon ve kullanıcı bilgisi her kayıtta labels.logspot_tenant, labels.logspot_location ve user.name alanlarında taşınır. Forsenti'nin tanımadığı bir marka ise kayıt event.source_type:logspot altında, LogSpot'un izin/engel kararı event.action olarak görünür.

5. 5

   Ne iletilir, ne iletilmez

   İletilen içerik toplanan firewall kayıtlarıdır; her satır RFC 5424 syslog olarak, LogSpot'un kiracı/lokasyon/üretici/kullanıcı etiketleriyle gider. 5651 imzalama, zaman damgası ve WORM arşiv LogSpot'ta kalır; SIEM tarafındaki kopya delil niteliği taşımaz. İletim ayrı bir kuyruktan beslenir: SIEM yavaş ya da kapalı olsa bile LogSpot'un kendi arşivi etkilenmez.