Сначала зафиксируйте версию и маршрут событий
Нарисуйте путь от NGFW до хранилища SIEM: устройство, промежуточный коллектор, парсер, очередь и корреляция. Для каждого узла назначьте ответственного и точку проверки. Отметьте, где сообщение преобразуется и где может появиться дубликат.
В документации Ideco NGFW Novum 22 описаны Syslog и представление полей в CEF. В более новых ветках расположение настроек и состав журналов могут отличаться. Перед внедрением сверяйте руководство именно установленной версии и её changelog, а не переносите путь меню из старой инструкции.
Согласуйте полезные категории событий
Начните с сценариев SOC: неуспешный вход, изменение конфигурации, сетевое срабатывание и диагностика доступа. Для каждого сценария определите, какое событие должно появиться и какие поля нужны аналитику. Объём подробных журналов оцените на пилоте.
Отдельно определите правила доступа и срок хранения. Журналы могут содержать идентификаторы пользователей и сведения о сетевой активности; доступ к ним предоставляют по роли и рабочей задаче. Список получателей и срок хранения согласуют с владельцем данных.
- Категория и действие события
- Время и часовой пояс
- Устройство, контекст и площадка
- Источник, назначение и результат обработки
- Поле для связи с пользователем, если оно доступно
Проверьте нормализацию на контролируемом событии
Создайте согласованное безопасное действие на тестовом стенде, например разрешённый вход администратора или изменение тестового правила. Сохраните исходное сообщение и результат разбора SIEM. Сопоставьте каждое значимое поле.
Убедитесь, что время не сдвигается дважды, адреса попадают в правильные поля, действие не теряется и одинаковые события с разных устройств различаются. Если поле отсутствует в исходном журнале, зафиксируйте ограничение вместо заполнения вымышленным значением.
Измеряйте доставку отдельно от распознавания
Согласуйте контрольное окно и сопоставьте число сформированных тестовых событий, принятых сообщений и распознанных записей. Рассмотрите задержку, повторы и ошибки парсера по отдельности. TCP сам по себе не подтверждает обработку события конечной SIEM.
На испытательном контуре проверьте недоступность коллектора и восстановление. Наличие буферизации, её размер и поведение после заполнения подтверждайте наблюдением и документацией версии. Не предполагайте, что любой отправитель воспроизводит пропущенные сообщения.
Подготовьте эксплуатационный контроль
Создайте проверку прекращения потока, роста задержки и ошибок разбора. Порог тишины выбирайте по обычной активности источника: для редкого журнала универсальное значение будет давать ложные сигналы.
Если журналы проходят через Ideco Center, отдельно проверьте совместимость версий. Производитель указывает для NGFW Novum 22.4 и новее обновление Center до 22.6 для корректной передачи журналов. Это условие относится к указанной связке версий, а не заменяет проверку всей интеграции.
Что передать смене SOC
Передайте схему, владельцев, версию парсера, примеры контролируемых событий и инструкцию проверки каждой точки пути. Опишите безопасный порядок возврата к предыдущей конфигурации экспорта.
При обновлении NGFW или SIEM повторяйте контрольный набор событий. Изменение формата должно обнаруживаться до того, как аналитик столкнётся с пропуском важных полей в реальном расследовании.
Рабочая таблица проекта
Заполните таблицу для своей инфраструктуры. Значения и допустимые отклонения согласуйте до начала испытаний; готовый результат можно приложить к запросу конфигурации.
| Проверка | Свидетельство | Условие приёмки |
|---|---|---|
| Формат | Исходное сообщение и разобранная запись | Значимые поля совпадают |
| Время | Часы источника и SIEM | Смещение в согласованных пределах |
| Объём | Контрольный набор событий | Нет необъяснённых пропусков |
| Отказ коллектора | Журнал испытания и восстановление | Поведение описано и принято |
| Мониторинг | Проверка тишины и ошибок парсера | Ответственный получает рабочий сигнал |
Практический результат
Результат — заполненная таблица и программа проверки с измеримыми условиями приёмки. По ним можно сравнить варианты на одинаковом профиле нагрузки и согласовать конфигурацию с инженером.