Общие сведения о лог-коллекторе
Лог-коллектор (RADAR LOG-COLLECTOR) предназначен для организации сбора событий от источников событий ИБ. Лог-коллектор позволяет организовать различные схемы сбора событий от источников, участвующих в сетевом взаимодействии и создающих журналы событий.
Основные функции лог-коллектора:
-
сбор событий локально и удаленно;
-
отправка событий в другие системы;
-
обработка событий перед отправкой;
-
пересылка событий в зашифрованном виде и со сжатием;
-
накопление событий при разрыве соединения и отправка после восстановления.
Сценарии сбора событий
В зависимости от расположения источника и способа получения событий поддерживаются следующие основные сценарии сбора:
-
Активный локальный сбор – лог-коллектор установлен на том же узле, где расположен источник событий, и получает события непосредственно с локального источника;
-
Активный удаленный сбор – лог-коллектор установлен отдельно от источника и самостоятельно обращается к удаленному источнику для получения событий;
-
Пассивный локальный сбор – лог-коллектор принимает события от источника, расположенного на том же узле;
-
Пассивный удаленный сбор – лог-коллектор принимает события, которые передаются ему удаленным источником.
Таким образом, при активном сборе получение событий инициируется лог-коллектором, а при пассивном сборе события передаются источником в лог-коллектор.
Работа через промежуточный лог-коллектор не используется.
Работа с лог-коллектором включает в себя следующие процессы: