Přeskočit obsah

LogMan.io Correlator Configuration

Nejprve je potřeba specifikovat, z které knihovny načíst deklarace, což může být buď ZooKeeper, nebo File.

Model

Chcete-li aplikaci spustit, zahrňte ji do modelu a klikněte na tlačítko Použít.

/Site/model.yaml
define:
  type: rc/model

services:
  lmio-correlator:
    instances:
      <tenant>-1:  # Replace with name of your tenant
        node: <node>  # Replace with name of the node
        asab:
          config:
            tenant:
              name: <tenant>  # Replace with name of your tenant
            correlator:
              groups:  # Specify paths for correlations, each on a separate line
                /Correlations/Bitdefender/
                /Correlations/Complex/
                /Correlations/Firewall/
                /Correlations/Fortinet/
                /Correlations/Microsoft/

Nájemce Rex (automatické modely)

Na clusterech, které používají LogMan.io Tenant Rex (lmio-trex), jsou instance korelátoru generovány automaticky z výběru Detections nájemce.

Úplné chování (umístění, rozdělení zpoždění, HA, čištění Kafka, konfigurace) je zdokumentováno v Tenant Rex.

Příklad

[library]
providers=zk://library

Vrstva knihovny ZooKeeper vyžaduje konfigurační sekci zookeeper.

[zookeeper]
servers=zookeeper-1:2181,zookeeper-2:2181,zookeeper-3:2181

Také každý běžící proces parseru musí vědět, které skupiny načíst z knihoven a ke kterému nájemci patří, viz níže:

[tenant]
ids=mytenant

[declarations]
groups=Firewall Common Authentication

# Complex event lane (optional)
[eventlane]
path=/EventLanes/mytenant/complex.yaml
  • groups - názvy skupin, které mají být použity z knihovny, oddělené mezerami; pokud se skupina nachází ve podsložce složky, použijte jako oddělovač lomítko, například /Correlators/Firewall

Dále je třeba vědět, které Kafka témata použít na výchozím záložním vstupu a výstupu (pokud není uvedeno v korelacích v sekci zdrojů záznamů a složité událostní trase).

Připojení k Kafka musí být také nakonfigurováno, aby vědělo, k jakým serverům Kafka se má připojit.

# Kafka connection
[kafka]
bootstrap_servers=lm1:19092;lm2:29092;lm3:39092

# The default Kafka topic to read from when no logsource is specified in the correlation rule (optional)

[pipeline:CorrelatorsPipeline:KafkaSource]
topic=lmio-events
group_id=lmio_correlator_firewall

# The default kafka topic for event trigger unless there is a complex event specified (optional)

[pipeline:OutputPipeline:KafkaSink]
topic=lmio-output

Poslední povinná sekce specifikuje, která nastavení Elasticsearch umožňují práci s vyhledáváními (Lookups). Pro více informací viz sekce Lookups.

# Lookup persistent storage

[elasticsearch]
url=http://elasticsearch:9200

Docker Compose

docker-compose.yaml
services:
  lmio-correlator:
    image: docker.teskalabs.com/lmio/lmio-correlator:VERSION
    volumes:
    - ./lmio-correlator:/conf
    - /data/ssd/lookups:/lookups
    - /data/hdd/log/lmio-correlator:/log
    - /data/ssd/correlators/lmio-correlator:/data

Nahraďte lmio-correlator názvem instance korelátoru.

Korelator potřebuje znát svou konfigurační cestu, cestu k vyhledávacím tabulkám (složka může být prázdná, záleží na tom, zda se vyhledávací tabulky používají), cestu pro logování a cestu pro ukládání svých dat.

Varování

Cesta k datům je povinná a musí být umístěna na rychlém disku, tedy SSD.