SIEM и Syslog

Шлюз SPZGate передаёт события почтовой системы и действия администраторов на внешний syslog-сервер. Подойдёт любая SIEM-система или лог-коллектор, который принимает syslog.

Что отправляется

В «Настройки → SIEM / Syslog» можно включить четыре независимых источника событий:

Параметр в панели	События
Журналировать события очереди	Очередь и доставка (qmail-send)
Журналировать события SMTP	Входящие SMTP-сессии (qmail-smtpd)
Журналировать события Спаморез	Решения фильтрации шлюза
Журналировать события веб-панели	Входы в панель, изменения настроек, действия с записями

Подключение

Подготовьте приёмник

Настройте на стороне SIEM приём syslog. Стандартный порт — 514.

Укажите адрес в панели

В поле «Публикация событий в SIEM» введите адрес сервера (имя хоста или IP-адрес). Можно указать порт в виде host:порт. Шлюз сам настроит пересылку и перезапустит службу rsyslog.

Выберите источники

Отметьте нужные виды событий и сохраните настройки.

По умолчанию события передаются по UDP. Чтобы использовать TCP, добавьте перед адресом символ @, например @siem.example.com.

Формат событий веб-панели

События веб-панели передаются с именем программы spz-web в категории mail в виде пар «ключ=значение»:

action=login module=auth user=admin ip=203.0.113.10 recid= rec= status=success

action=integrations_save module=integrations user=admin ip=203.0.113.10 recid= rec= status=success

Поле	Описание
`action`	Действие: `login`, `saveconfig`, `license_update`, `regen_metrics_token`, `integrations_save` и другие
`module`	Раздел панели, в котором выполнено действие
`user`, `ip`	Администратор и его IP-адрес
`recid`, `rec`	Идентификатор и название изменённой записи
`status`	`success` или `fail…`. Неудачные действия приходят с приоритетом WARNING, остальные — INFO
`params`	Дополнительные параметры (необязательно)