收集 Cisco Firepower NGFW 記錄

剖析器版本：31.0

支援語言：

本文說明如何使用 Bindplane 代理程式，將 Cisco Firepower NGFW 記錄檔擷取至 Google Security Operations。

Cisco Firepower Next-Generation Firewall 會產生網路連線、入侵事件、檔案和惡意軟體事件，以及安全情報的記錄。剖析器會使用 grok 模式擷取欄位，並將這些欄位對應至統合式資料模型 (UDM)。

事前準備

請確認您已完成下列事前準備事項：

  • Google SecOps 執行個體
  • Windows Server 2016 以上版本，或搭載 systemd 的 Linux 主機
  • Bindplane 代理程式與 Cisco Firepower 裝置之間的網路連線
  • 如果透過 Proxy 執行，請確保防火牆通訊埠已根據 Bindplane 代理程式需求開啟
  • Cisco Firepower 裝置的特殊存取權

取得 Google SecOps 擷取驗證檔案

  1. 登入 Google SecOps 控制台。
  2. 依序前往「SIEM 設定」>「收集代理程式」。
  3. 下載擷取驗證檔案

  4. 將檔案安全地儲存在要安裝 Bindplane 代理程式的系統上。

取得 Google SecOps 客戶 ID

  1. 登入 Google SecOps 控制台。
  2. 依序前往「SIEM 設定」>「設定檔」。

  3. 複製並儲存「機構詳細資料」部分中的客戶 ID。

安裝 Bindplane 代理程式

請按照下列操作說明，在 Windows 或 Linux 作業系統上安裝 Bindplane 代理程式。

Windows 安裝

  1. 以管理員身分開啟「命令提示字元」或「PowerShell」。

  2. 執行下列指令：

    msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

  3. 等待安裝完成。

  4. 執行下列指令，確認安裝成功：

    sc query observiq-otel-collector

    服務應顯示為「RUNNING」(執行中)。

Linux 安裝

  1. 開啟具有根層級或 sudo 權限的終端機。

  2. 執行下列指令：

    sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

  3. 等待安裝完成。

  4. 執行下列指令，確認安裝成功：

    sudo systemctl status observiq-otel-collector

    服務應顯示為有效 (執行中)。

其他安裝資源

如需其他安裝選項和疑難排解資訊，請參閱 Bindplane 代理程式安裝指南。

設定 Bindplane 代理程式，擷取系統記錄檔並傳送至 Google SecOps

找出設定檔

  • Linux：

    sudo nano /etc/bindplane-agent/config.yaml

  • Windows：

    notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"

編輯設定檔

  • 將 config.yaml 的全部內容替換為下列設定：

    receivers:
    udplog:
        listen_address: "0.0.0.0:514"

exporters:
    chronicle/cisco_firepower_firewall:
        compression: gzip
        creds_file_path: '/etc/bindplane-agent/ingestion-auth.json'
        customer_id: '<customer_id>'
        endpoint: malachiteingestion-pa.googleapis.com
        log_type: CISCO_FIREPOWER_FIREWALL
        raw_log_field: body

service:
    pipelines:
        logs/cisco_firepower_firewall_to_chronicle:
            receivers:
                - udplog
            exporters:
                - chronicle/cisco_firepower_firewall

設定參數

替換下列預留位置：

  • 接收器設定：

    • listen_address：要接聽的 IP 位址和通訊埠：
      • 0.0.0.0，監聽所有介面 (建議)
      • 通訊埠 514 是標準的系統記錄通訊埠 (在 Linux 上需要根層級權限；非根層級權限請使用 1514)

  • 匯出工具設定：

    • creds_file_path：擷取驗證檔案的完整路徑：
      • Linux：/etc/bindplane-agent/ingestion-auth.json
      • Windows：C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
    • customer_id：從 Google SecOps 控制台複製的客戶 ID
    • endpoint：區域端點網址：
      • 美國：malachiteingestion-pa.googleapis.com
      • 歐洲：europe-malachiteingestion-pa.googleapis.com
      • 亞洲：asia-southeast1-malachiteingestion-pa.googleapis.com
      • 如需完整清單，請參閱「區域端點」

儲存設定檔

  • 編輯完成後，請儲存檔案：
    • Linux：依序按下 Ctrl+O、Enter 和 Ctrl+X
    • Windows：依序點選「檔案」 > 「儲存」

重新啟動 Bindplane 代理程式，以套用變更

  • 如要在 Linux 中重新啟動 Bindplane 代理程式，請執行下列指令：

    sudo systemctl restart observiq-otel-collector

    1. 確認服務正在執行：

      sudo systemctl status observiq-otel-collector

    2. 檢查記錄中是否有錯誤：

      sudo journalctl -u observiq-otel-collector -f

  • 如要在 Windows 中重新啟動 Bindplane 代理程式，請選擇下列其中一個選項：

    • 以管理員身分開啟命令提示字元或 PowerShell：

      net stop observiq-otel-collector && net start observiq-otel-collector

    • 服務控制台：

      1. 按下 Win+R，輸入 services.msc，然後按下 Enter 鍵。
      2. 找出 observIQ OpenTelemetry Collector。
      3. 按一下滑鼠右鍵，然後選取「重新啟動」。

      4. 確認服務正在執行：

        sc query observiq-otel-collector

      5. 檢查記錄中是否有錯誤：

        type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"

在 Cisco Firepower 裝置上設定系統記錄

  1. 登入 Firepower 裝置管理工具網頁 UI。
  2. 依序前往「系統設定」>「記錄設定」。
  3. 將「資料記錄」切換鈕撥為「啟用」。
  4. 按一下「系統記錄伺服器」下方的「+」圖示。
  5. 按一下「建立新的系統記錄檔伺服器」 (或者，在「物件」 > 系統記錄檔伺服器」中建立系統記錄檔伺服器)。
  6. 請提供下列設定詳細資料：
    • IP 位址：輸入 Bindplane 代理程式 IP 位址。
    • 通訊協定類型：選取「UDP」。
    • 「通訊埠編號」：輸入 Bindplane 代理程式通訊埠編號。
    • 選取「資料介面」或「管理介面」。
  7. 按一下 [確定]。
  8. 從清單中選取新建立的「Syslog 伺服器」，然後按一下「確定」。
  9. 按一下「篩選所有事件的嚴重程度等級」，然後從清單中選取「資訊」記錄等級。
  10. 按一下 [儲存]。
  11. 依序點選「部署新設定」圖示 >「立即部署」。
  12. 按一下畫面頂端的「政策」。
  13. 將指標懸停在 ACP 規則側邊，然後按一下「編輯」。
  14. 前往「記錄」分頁。
  15. 選取「連線結束時」。
  16. 開啟「Select a Syslog Alert Configuration」(選取 Syslog 警報設定) 清單。
  17. 選取 Bindplane Syslog 伺服器。
  18. 按一下 [確定]。
  19. 依序點選「部署新設定」圖示 >「立即部署」。

UDM 對應表

記錄欄位 UDM 對應 邏輯
target_user event.idm.read_only_udm.target.userid 從變更記錄對應
device_ids event.idm.read_only_udm.additional.fields 從變更記錄對應
src_ip event.idm.read_only_udm.principal.asset.ip 從變更記錄對應
tar_ip event.idm.read_only_udm.target.ip 從變更記錄對應
tar_ip event.idm.read_only_udm.target.asset.ip 從變更記錄對應
src_nat_ip event.idm.read_only_udm.principal.nat_ip 從變更記錄對應
src_nat_port event.idm.read_only_udm.principal.nat_port 從變更記錄對應
dst_nat_ip event.idm.read_only_udm.target.nat_ip 從變更記錄對應
dst_nat_port event.idm.read_only_udm.target.nat_port 從變更記錄對應
interface event.idm.read_only_udm.additional.fields 從變更記錄對應
dest_interface event.idm.read_only_udm.additional.fields 從變更記錄對應
session_id event.idm.read_only_udm.network.session_id 從變更記錄對應
protocol event.idm.read_only_udm.network.ip_protocol 從變更記錄對應
int_IP1 event.idm.read_only_udm.target.ip 從變更記錄對應
int_IP2 event.idm.read_only_udm.principal.ip 從變更記錄對應
int_IP3 event.idm.read_only_udm.target.nat_ip 從變更記錄對應
crypto_map event.idm.read_only_udm.additional.fields 從變更記錄對應
int_IP1 event.idm.read_only_udm.target.nat_ip 從變更記錄對應
int_IP3 event.idm.read_only_udm.target.ip 從變更記錄對應
hostname event.idm.read_only_udm.principal.hostname 從變更記錄對應
hostname event.idm.read_only_udm.principal.asset.hostname 從變更記錄對應
appname event.idm.read_only_udm.principal.application 從變更記錄對應
facility event.idm.read_only_udm.security_result.detection_fields 從變更記錄對應
proc_id event.idm.read_only_udm.security_result.detection_fields 從變更記錄對應
message event.idm.read_only_udm.security_result.description 從變更記錄對應
priority event.idm.read_only_udm.security_result.priority_details 從變更記錄對應
process_name event.idm.read_only_udm.principal.process.file.names 從變更記錄對應
process_id event.idm.read_only_udm.principal.process.pid 從變更記錄對應
AccessControlRuleReason event.idm.read_only_udm.security_result.description 從變更記錄對應
Client event.idm.read_only_udm.network.http.user_agent 從變更記錄對應
IPSCount event.idm.read_only_udm.security_result.detection_fields 從變更記錄對應
ConnectionDuration event.idm.read_only_udm.security_result.detection_fields 從變更記錄對應
ReferencedHost event.idm.read_only_udm.principal.ip 和 event.idm.read_only_udm.principal.asset.ip 從變更記錄對應
UserAgent event.idm.read_only_udm.network.http.user_agent 從變更記錄對應
UserAgent event.idm.read_only_udm.network.http.parsed_user_agent 從變更記錄對應
event_id additional.fields 從變更記錄對應
path principal.process.file.full_path 從變更記錄對應
event_name metadata.product_event_type 從變更記錄對應
description metadata.description 從變更記錄對應
host principal.hostname 從變更記錄對應
srcuser principal.user.userid 從變更記錄對應
src_ip principal.ip 從變更記錄對應
src_port principal.port 從變更記錄對應
username2 target.user.userid 從變更記錄對應
pwd target.file.full_path 從變更記錄對應
command target.process.command_line 從變更記錄對應
username principal.user.userid 從變更記錄對應
action metadata.ingestion_labels 從變更記錄對應
bytes_transferred network.sent_bytes 從變更記錄對應
HTTP_Hostname target.resource.attribute.labels 從變更記錄對應
HTTP_URI target.resource.attribute.labels 從變更記錄對應
InlineResult security_result.action_details 從變更記錄對應
user_id_field principal.user.userid 從變更記錄對應
http_method network.http.method 從變更記錄對應
HTTPReferer network.http.referral_url 從變更記錄對應
HTTPResponse network.http.response_code 從變更記錄對應
event_description metadata.description 從變更記錄對應
event_summary security_result.summary 從變更記錄對應
userId principal.user.userid 從變更記錄對應
sourceIpAddress principal.ip 從變更記錄對應
sourcePortOrIcmpType principal.port 從變更記錄對應
@computed.sensor principal.hostname 從變更記錄對應
@computed.user principal.user.user_display_name 從變更記錄對應
@computed.clientApplication principal.application 從變更記錄對應
@computed.ingressInterface principal.asset.attribute.labels 從變更記錄對應
@computed.sourceIpCountry principal.location.country_or_region 從變更記錄對應
destinationIpAddress target.ip 從變更記錄對應
destinationPortOrIcmpType target.port 從變更記錄對應
@computed.destinationIpCountry target.location.country_or_region 從變更記錄對應
ipProtocolId network.ip_protocol 從變更記錄對應
httpResponse network.http.response_code 從變更記錄對應
@computed.applicationProtocol network.application_protocol 從變更記錄對應
ruleId security_result.rule_id 從變更記錄對應
priorityId security_result.priority_details 從變更記錄對應
@computed.priority security_result.priority 從變更記錄對應
@computed.firewallPolicy security_result.rule_name 從變更記錄對應
@computed.message security_result.threat_name 從變更記錄對應
iocNumber security_result.detection_fields 從變更記錄對應
recordLength security_result.detection_fields 從變更記錄對應
@computed.recordTypeDescription metadata.description 從變更記錄對應
@computed.recordTypeCategory metadata.product_event_type 從變更記錄對應
user_name principal.user.email_addresses 從變更記錄對應
src_interface_name","dst_interface_name metadata.ingestion_labels 從變更記錄對應
category security_result.threat_name 從變更記錄對應
Classification security_result.threat_name 從變更記錄對應
DeviceUUID principal.resource.id 從變更記錄對應
記錄欄位 UDM 對應 備註
act security_result.action_details 活動 ID 313001、746014。
Addr principal.ip principal.asset.ip 活動 ID 734001。
address principal.ip principal.asset.ip 活動 ID 746014。
action metadata.ingestion_labels 活動 ID 313001、746014。
ap metadata.ingestion_labels
api metadata.ingestion_labels
Assigned Ip principal.ip principal.asset.ip 適用於事件 ID 109201、109210、109207。
assigned_ip principal.ip principal.asset.ip 適用於事件 ID 109201、109210、109207。
bytes network.received_bytes
centry_addr metadata.ingestion_labels
Client network.http.parsed_user_agent
client_ip principal.ip principal.asset.ip
COMMAND principal.process.command_line 適用於 useradd 記錄類型，也就是事件 ID 199017。
command_line principal.process.command_line
connection_type metadata.ingestion_labels 活動 ID 734001。
ConnectionID network.session_id
ConnectType metadata.ingestion_labels
cribl_pipe additional.fields
DE metadata.ingestion_labels
desc metadata.description 適用於事件 ID 109201、109210、109207。
desc1 metadata.description
desc_data metadata.description
description metadata.description
dest_addr target.ip target.asset.ip 活動 ID 602101。
device_uuid metadata.product_log_id 從 JSON 記錄中擷取，表示產品 ID 詳細資料。
DeviceUUID principal.resource.product_object_id 從系統記錄檔擷取，其中包含資源 ID。
direction network.direction 活動 ID 302020。
DNSResponseType network.dns.response_code
DNSSICategory security_result.category_details
dpt target.port
dst management IP target.ip target.asset.ip 活動 ID 418001。
dst management Port target.port 活動 ID 418001。
DstIP target.ip 活動 ID 713906。
dst_ip_range target.network.ip_subnet_range 如為事件 ID 418001，750001、750003、751002、750014。
DstPort target.port 活動 ID 713906。
duration network.session_duration.seconds 幾秒內即可存取。
euid metadata.ingestion_labels
event_name metadata.product_event_type
eventId metadata.ingestion_labels
metadata.product_event_type
exe principal.process.command_line
exitcode metadata.ingestion_labels
faddr target.ip (外送)
principal.ip (內送)		 活動 ID 302020。
fdqn principal.hostname 活動 ID 746014。
firewall principal.ip
principal.asset.ip
flag metadata.ingestion_labels 活動 ID 500003。
fport target.port (外送)
principal.port (內送)		 活動 ID 302020。
from network.email.from 適用於 useradd 記錄類型，也就是事件 ID 199017。
fromIP principal.ip
principal.asset.ip		 活動 ID 500003。
fromPort principal.port 活動 ID 500003。
gaddr target.nat_port (外送)
principal.nat_port (內送)		 活動 ID 302020。
GID target.group.product_object_id 適用於 useradd 記錄類型，也就是事件 ID 199017。
group_id target.group.group_display_name
hdrlen metadata.ingestion_labels 活動 ID 500003。
home metadata.ingestion_labels 適用於 useradd 記錄類型，也就是事件 ID 199017。
host principal.ip/hostname
principal.hostname
principal.asset.hostname
host_name principal.hostname
HTTP_Hostname target.resource.attribute.labels
HTTP_URI target.resource.attribute.labels
icmp_code metadata.ingestion_labels 活動 ID 313001。
icmp_type metadata.ingestion_labels 活動 ID 313001。
interface metadata.ingestion_labels 活動 ID 313004。
interface_name metadata.ingestion_labels 活動 ID 313001、500003。
intermediary_host intermed.hostname
intermed.asset.hostname
intermediary_ip intermediary.ip 活動 ID 713906。
ipp principal.ip
IPReputationSICategory security_result.category_details
kernel_value additional.fields
laddr principal.ip (外送)
target.ip (內送)		 事件 ID 302020，並根據方向 (進站或出站) 對應。
laddr principal.ip
principal.asset.ip		 活動 ID 313004。
Local principal.ip
principal.asset.ip		 適用於事件 ID 750001、750003、751002、750014。
Local_port principal.port 適用於事件 ID 750001、750003、751002、750014。
mailsize network.sent_bytes
msgid metadata.ingestion_labels
mtu_size metadata.ingestion_labels 活動 ID 602101。
name target.user.user_display_name 適用於 useradd 記錄類型，也就是事件 ID 199017。
NETWORK_SUSPICIOUS SecCategory (security_result.category) 活動 ID 430001。
os principal.platform_version
osuser principal.user.user_display_name
packet_size metadata.ingestion_labels 活動 ID 602101。
path principal.process.file.full_path
pid principal.process.pid
pktlen metadata.ingestion_labels 活動 ID 500003。
Policy security_result.rule_labels
prin_ip principal.ip
principal.asset.ip		 從 desc_data 擷取 (使用以下邏輯：
"desc_data" => "(?P<desc>.* %{IP:prin_ip}.*)")。
prin_user principal.user.userid
product security_result.summary 活動 ID 430002、430003。
prot network.ip_protocol 活動 ID 602101。
Protocol network.ip_protocol 如為事件 ID 302020、313001、313004、418001，
protocol network.app_protocol 活動 ID 713906。
protocol network.ip_protocol
network.application_protocol		 記錄欄位值為應用程式或 IP 通訊協定時。
PWD principal.process.file.full_path 適用於 useradd 記錄類型，也就是事件 ID 199017。
reason security_result.detection_fields
recipients network.email.to
Remote target.ip
target.asset.ip		 適用於事件 ID 750001、750003、751002、750014。
Remote_port target.port 適用於事件 ID 750001、750003、751002、750014。
Revision security_result.detection_fields
sec_desc security_result.description
SecIntMatchingIP metadata.ingestion_labels
SecRuleName security_result.rule_name 活動 ID 734001。
seq_num security_result.detection_fields
Session network.session_id 適用於事件 ID 109201、109210、109207。
session_id network.session_id
severity security_result.summary 活動 ID 430002、430003。
shell metadata.ingestion_labels 適用於 useradd 記錄類型，也就是事件 ID 199017。
Sinkhole metadata.ingestion_labels
smtpmsg network.smtp.server_response
smtpstatus network.http.response_code
sourceIpAddress principal.ip 活動 ID 713906。
source_ip principal.ip
principal.asset.ip
spt principal.port
src management IP principal.ip
principal.asset.ip		 活動 ID 418001。
src management Port principal.port 活動 ID 418001。
src_addr principal.ip
principal.asset.ip		 活動 ID 602101。
src_app principal.application
src_fwuser principal.hostname 適用於 src_fwuser 採用 host 格式的情況。
src_fwuser principal.administrative_domain
principal.hostname		 如果 src_fwuser 採用 domain 或 host 格式，請使用這個屬性。
src_host principal.hostname
principal.asset.hostname
src_interface_name metadata.ingestion_labels
SrcIP principal.ip 活動 ID 713906。
src_ip principal.ip
principal.asset.ip
src_ip_range principal.network.ip_subnet_range 適用於事件 ID 750001、750003、751002、750014。
src_port principal.port
SrcPort principal.port 活動 ID 713906。
srcuser principal.user.userid
principal.user.user_display_name metadata.event_type		 metadata.event_type 的值為 USER_UNCATEGORIZED。
sshd principal.application
syslog_msg_id 活動 ID 716001。
syslog_msg_text security_result.description
tag security_result.detection_fields
tar_ip target.ip target.asset.ip
tar_port target.port
TCPFlags metadata.ingestion_labels
thread metadata.ingestion_labels
timezoneadjustment metadata.ingestion_labels
tls network.smtp.is_tls
to target.ip target.asset.ip 活動 ID 313004。
toIP target.ip target.asset.ip 活動 ID 500003。
TRUE is_significant 活動 ID 430001。
toPort target.port 活動 ID 500003。
ts metadate.event_timestamp
ts_year metadate.event_timestamp 活動 ID 430001。
tty metadata.ingestion_labels
TTY metadata.ingestion_labels 適用於 useradd 記錄類型，也就是事件 ID 199017。
uid metadata.ingestion_labels
UID target.user.userid 適用於 useradd 記錄類型，也就是事件 ID 199017。
URLSICategory security_result.category_details
USER target.user.userid 適用於 useradd 記錄類型，也就是事件 ID 199017。
USER principal.user.userid 適用於 useradd 記錄類型以外的所有記錄類型。
User target.user.userid 適用於事件 ID 109201、109210、109207、734001。
user principal.user.userid
user_name principal.user.email_addresses
UserAgent network.http.user_agent
network.http.parsed_user_agent
Username principal.user.userid 適用於事件 ID 750001、750003、751002、750014。
username target.user.userid
username_Id target.user.userid
version metadata.ingestion_labels

UDM 對應差異參考資料

Google SecOps 於 2025 年 11 月 6 日發布新版 Cisco Firepower NGFW 剖析器，其中包含 Cisco Firepower NGFW 記錄欄位對應至 UDM 欄位的重大變更，以及事件類型對應的變更。

記錄欄位對應差異

下表列出 2025 年 11 月 6 日前後，Cisco Firepower NGFW 記錄檔對應至 UDM 欄位的差異 (分別列於「舊版對應」和「目前對應」欄)。

記錄欄位 舊對應 目前對應
act security_result.description security_result.action_details
action product_event_type metadata.ingestion_labels
DeviceUUID principal.resource.id principal.resource.product_object_id
dpt security_result.detection_fields target.port
flag about.labels metadata.ingestion_labels
pid principal.port principal.process.pid
Revision security_result.about.labels security_result.detection_fields
spt security_result.detection_fields principal.port
username principal.user.userid target.user.userid

事件類型對應差異

先前分類為一般事件的多個事件，現在會正確分類為有意義的事件類型。

下表列出 2025 年 11 月 6 日前後，Cisco Firepower NGFW 事件類型處理方式的差異 (分別列於「舊 event_type」和「目前 event_type」欄中)。

記錄中的事件 ID 舊 event_type 目前的 event_type
113003 GENERIC_EVENT USER_UNCATEGORIZED
113009 GENERIC_EVENT STATUS_UPDATE
113010 GENERIC_EVENT USER_LOGIN
113039 GENERIC_EVENT USER_LOGIN
302020 STATUS_UPDATE NETWORK_CONNECTION
313001 GENERIC_EVENT STATUS_UPDATE
313004 GENERIC_EVENT NETWORK_CONNECTION
430002 NETWORK_CONNECTION NETWORK_DNS
430003 NETWORK_CONNECTION NETWORK_DNS
500003 GENERIC_EVENT NETWORK_CONNECTION
602101 STATUS_UPDATE NETWORK_CONNECTION
713906 STATUS_UPDATE NETWORK_CONNECTION
722051 GENERIC_EVENT STATUS_UPDATE
750003 STATUS_UPDATE NETWORK_CONNECTION
msmtp STATUS_UPDATE EMAIL_TRANSACTION

變更記錄

查看這個剖析器的變更記錄

還有其他問題嗎？向社群成員和 Google SecOps 專業人員尋求解答。