Использование формата CEF

Termidesk также поддерживает запись каждого события аудита в формате Common Event Format (CEF).

Формат CEF описывается следующим набором обязательных полей:

  • Version - версия формата CEF;
  • Device Vendor, Device Product и Device Version - однозначная идентификация источника события;
  • Signature ID - уникальный идентификатор типа события;
  • Name - понятное описание события;
  • Severity - важность события (от 0 до 10);
  • Extension - набор пар «ключ - значение».

Формат регистрации события в Termidesk приведен в подразделе Форматы регистрируемых событий аудита и их примеры.

Для использования формата CEF нужно включить использование CEF в «Портале администратора» (см. подраздел Системные параметры аудита).

Для того чтобы события в формате CEF корректно сохранялись в локальный файл журнала, нужно:

  • включить сохранение событий в файл (см. подраздел Системные параметры аудита);
  • отредактировать шаблон отправки сообщений в каталоге /etc/opt/termidesk-vdi/templates:
    • закомментировать:
template t_termidesk_audit { template("[$ISODATE] $MESSAGE\n"); };
BASH

    • раскомментировать:

template t_termidesk_audit { template("$MESSAGE\n"); };
BASH
  • выполнить:
sudo /opt/termidesk/sbin/termidesk-config update_logger_config
BASH