「配置指引」深信服安全态势感知与火山安全智能体对接syslog

一、对接前准备
确认设备与版本支持：
确保深信服安全态势感知平台（SIP）版本支持syslog外发功能。
确认火山安全智能体支持接收syslog日志，并了解其对syslog协议、端口、格式等的要求。
获取必要信息：
从火山安全智能体管理员处获取syslog服务器的IP地址/域名、端口号（通常为514）、通信协议（如UDP或TLS）、Syslog协议版本（如RFC5424或RFC3164）、编码格式（如UTF-8或GBK）等。
如果使用TLS协议，需要获取syslog服务器的信任证书。
二、SIP配置
登录SIP控制台：
使用管理员账号登录深信服安全态势感知平台（SIP）的控制台。
进入syslog配置页面：
在控制台中找到并点击【系统设置】-【开放共享】-【第三方平台】-新增。
配置syslog转发规则：
启用上报：选择“启用”以开启syslog转发功能。
配置协议：根据火山安全智能体的要求，选择合适的通信协议（如TLS或UDP）。如果选择TLS，需要导入syslog服务器的信任证书。

配置Syslog协议：选择上报Syslog的协议版本（如RFC5424或RFC3164）。
配置编码格式：选择合适的编码格式（如UTF-8或GBK）。
配置上报日志类型：根据需求选择需要上报的日志类型，如操作日志、安全日志、系统日志等。
配置告警上报：如果需要上报告警信息，可以启用告警上报功能，并选择需要上报的告警级别、告警ID、分组等。
保存配置：
完成上述配置后，点击“保存”按钮以保存配置。
三、火山安全智能体配置
登录火山安全智能体管理界面：
使用管理员账号登录火山安全智能体的管理界面。
配置syslog接收规则：
根据火山安全智能体的要求，配置syslog接收规则，包括允许接收的IP地址、端口号、日志格式等。
启用syslog接收服务：
确保火山安全智能体的syslog接收服务已启用，并能够正常接收来自SIP的syslog日志。
四、测试验证
生成测试日志：
在SIP控制台中执行一些操作，如登录、配置变更等，以生成测试日志。
检查火山安全智能体接收情况：
登录火山安全智能体的管理界面，检查是否已成功接收到来自SIP的syslog日志。
验证日志内容：
验证接收到的syslog日志内容是否完整、准确，是否符合预期。