Загрузка аудитных логов в MaxPatrol SIEM с помощью консоли управления или Yandex Cloud CLI

MaxPatrol SIEM позволяет читать аудитные логи Yandex Cloud из потока данных Yandex Data Streams. Для полного прохождения руководства у вас должен быть доступ к экземпляру MaxPatrol SIEM.

Чтобы настроить экспорт аудитных логов с помощью консоли управления или Yandex Cloud CLI:

1. Подготовьте облако к работе.
2. Подготовьте окружение.
3. Создайте трейл, который отправляет логи в поток данных Data Streams.
4. Настройте в MaxPatrol SIEM задачу по сбору данных из потока Data Streams.

Если созданные ресурсы вам больше не нужны, удалите их.

Перед началом работыПеред началом работы

Зарегистрируйтесь в Yandex Cloud и создайте платежный аккаунт:

1. Перейдите в консоль управления, затем войдите в Yandex Cloud или зарегистрируйтесь.
2. На странице Yandex Cloud Billing убедитесь, что у вас подключен платежный аккаунт, и он находится в статусе ACTIVE или TRIAL_ACTIVE. Если платежного аккаунта нет, создайте его и привяжите к нему облако.

Если у вас есть активный платежный аккаунт, вы можете создать или выбрать каталог, в котором будет работать ваша инфраструктура, на странице облака.

Подробнее об облаках и каталогах.

Необходимые платные ресурсыНеобходимые платные ресурсы

В стоимость поддержки создаваемой инфраструктуры входят:

• использование потока данных (см. тарифы Data Streams).
• использование Yandex Managed Service for YDB в бессерверном режиме (см. тарифы Managed Service for YDB).

Подготовьте окружениеПодготовьте окружение

Создайте сервисные аккаунтыСоздайте сервисные аккаунты

От имени сервисного аккаунта maxpatrol-sa трейл будет собирать логи всех ресурсов организации и выгружать их в поток данных Data Streams. От имени сервисного аккаунта maxpatrol-reader-sa MaxPatrol SIEM будет загружать аудитные логи из потока данных.

Создайте сервисные аккаунты в том же каталоге, в котором будете создавать трейл, например, в каталоге example-folder:

Назначьте роли сервисным аккаунтамНазначьте роли сервисным аккаунтам

Назначьте сервисным аккаунтам недостающие роли:

Создайте статический ключ доступа для MaxPatrol SIEMСоздайте статический ключ доступа для MaxPatrol SIEM

MaxPatrol SIEM использует статические ключи доступа для авторизации запросов к потоку данных Data Streams.

Создайте статический ключ доступа для сервисного аккаунта maxpatrol-reader-sa:

yc iam access-key create \
  --service-account-name maxpatrol-reader-sa

access_key:
id: aje38c5mjq11********
service_account_id: ajegtlf2q28a********
created_at: "2026-03-18T17:39:41.851532824Z"
key_id: YCAJEnmnfsV8GpAMk********
secret: YCMVxx-n0t8Y6s48zJDdKw9lWMB1iGU-********

Создайте бессерверную БД YDBСоздайте бессерверную БД YDB

База данных необходима для потока данных Data Streams.

Создайте поток данныхСоздайте поток данных

В этот поток данных трейл будет загружать логи ресурсов организации.

Создайте трейлСоздайте трейл

Трейл будет собирать аудитные логи уровня конфигурации всех ресурсов вашей организации и загружать их в поток данных maxpatrol-stream.

yc audit-trails trail create \
  --name maxpatrol-trail \
  --service-account-id <идентификатор_сервисного_аккаунта> \
  --destination-yds-stream maxpatrol-stream \
  --destination-yds-database-id <идентификатор_базы_данных_YDS> \
  --filter-all-organisation-id <идентификатор_организации>

done (1s)
id: cnpvbmk64136********
folder_id: b1g5bhjofg7o********
created_at: "2026-03-18T10:57:33.322Z"
updated_at: "2026-03-18T10:57:33.322Z"
name: maxpatrol-trail
destination:
  data_stream:
    database_id: etn5bfdglcn8********
    stream_name: maxpatrol-stream
    codec: RAW
service_account_id: aje1jot7q7eh********
status: ACTIVE
cloud_id: b1gj9ja2h4ct********
filtering_policy:
  management_events_filter:
    resource_scopes:
      - id: bpfaidqca8vd********
        type: organization-manager.organization

Подробнее о создании трейла см. в разделе Создание трейла для загрузки аудитных логов.

Настройте MaxPatrol SIEMНастройте MaxPatrol SIEM

Создайте учетные записиСоздайте учетные записи

Учетные записи можно использовать как хранилища секретов. Создайте учетные записи static-key-id и static-key-private, чтобы сохранить в них полученные ранее идентификатор и секретный ключ статического ключа доступа, созданного для сервисного аккаунта maxpatrol-reader-sa:

1. Войдите в веб-интерфейс MaxPatrol SIEM.
2. В разделе Сбор данных нажмите Учетные записи.
3. Нажмите Добавить учетную запись → Пароль и укажите параметры:
   • Название — static-key-id;
   • Пароль — идентификатор статического ключа;
   • Подтверждение пароля — повторите идентификатор статического ключа.
4. Нажмите Сохранить.

Аналогично создайте учетную запись static-key-private, содержащую секретный ключ.

Создайте задачу на сбор данныхСоздайте задачу на сбор данных

Создайте и запустите задачу на сбор данных с профилем Yandex Data Streams:

1. Войдите в веб-интерфейс MaxPatrol SIEM.
2. В разделе Сбор данных нажмите Задачи.
3. На странице Задачи по сбору данных:
   1. На панели инструментов нажмите Создать задачу.
   2. Нажмите Сбор данных.
4. На странице Создание задачи на сбор данных укажите параметры:
   1. Название — YDS-logs-task.
   2. Профиль — Yandex Data Streams.
   3. В иерархическом списке выберите Запуск сценария.
   4. В блоке Подключение укажите:
      • Учетная запись — static-key-id;
      • Учетная запись для повышения привилегий — static-key-private.
   5. Параметры запуска сценария:
      • database — <идентификатор_БД_maxpatrol-db>;
      • folder — <идентификатор_облака_для_каталога_example-folder>;
      • region_name — ru-central1;
      • stream_name — maxpatrol-stream.
   6. На панели Цели сбора данных:
      1. Выберите вкладку Включить.
      2. В поле Сетевые адреса укажите yandex-cloud.
   7. Нажмите Сохранить и запустить.

Чтобы просмотреть логи, перейдите на страницу просмотра событий:

1. Перейдите на страницу Задачи по сбору данных.
2. Нажмите на задачу YDS-logs-task.
3. Нажмите Собранные события → Перейти.

Как удалить созданные ресурсыКак удалить созданные ресурсы

Удалите ресурсы, которые вы больше не будете использовать, чтобы за них не списывалась плата:

• удалите поток данных maxpatrol-stream;
• удалите базу данных maxpatrol-db.

См. такжеСм. также

• Загрузка аудитных логов в MaxPatrol SIEM с помощью Terraform