收集 Fortinet FortiEDR 日志

解析器版本：8.0

本文档介绍了如何使用 Google Cloud Storage V2 或 Bindplane 代理将 Fortinet FortiEDR 日志注入到 Google Security Operations。

Fortinet FortiEDR 是一种端点检测和响应解决方案，可为整个组织的端点提供实时保护、自动化突发事件响应和威胁情报。

收集方法差异

本指南提供了两种收集方法：

• 选项 1：通过 Bindplane 代理发送 Syslog：FortiEDR 将 Syslog 消息发送到 Bindplane 代理，后者将日志转发到 Google SecOps。建议用于以最少的基础设施实时提取日志。
• 选项 2：通过 Cloud Functions 将 Syslog 传输到 GCS：FortiEDR 将 Syslog 消息发送到 Cloud Function，后者将日志写入 GCS 以供 Google SecOps 提取。建议用于集中式日志存储和批处理。

选择最符合您的基础设施和要求的方法。

方法 1：使用 Bindplane 代理收集 Fortinet FortiEDR 日志

准备工作

确保您满足以下前提条件：

• Google SecOps 实例
• Windows Server 2016 或更高版本，或者具有 systemd 的 Linux 主机
• Bindplane 代理与 Fortinet FortiEDR Central Manager 之间的网络连接
• 如果通过代理运行，请确保防火墙端口根据 Bindplane 代理要求处于开放状态
• 对 Fortinet FortiEDR 管理控制台的特权访问权限
• FortiEDR 5.0 版或更高版本

获取 Bindplane 代理的 Google SecOps 凭据

如需向 Google SecOps 验证 Bindplane 代理，请选择以下方法之一：

• 新部署：使用 Chronicle API（选项 1）。
• 旧版部署：继续使用提取身份验证文件（方法 2），直到提取 API 于 2027 年 7 月 20 日停用。

方法 1：为 Chronicle API 创建服务账号（推荐）

1. 登录 Google Cloud 控制台，然后选择与您的 Google SecOps 实例关联的 Google Cloud 项目。
2. 前往 IAM 和管理 > 服务账号。
3. 点击创建服务账号。
4. 提供以下配置详细信息：
   • 服务账号名称：输入账号的名称（例如 bindplane-ingest）。
   • 服务账号说明：输入说明（例如 Bindplane agent log ingestion）。
5. 点击创建并继续。
6. 在向此服务账号授予对项目的访问权限部分，点击选择角色，然后选择 Chronicle Editor。
7. 点击继续，然后点击完成。
8. 点击您创建的服务账号，然后前往密钥标签页。
9. 依次点击添加密钥> 创建新密钥。
10. 选择 JSON，然后点击创建。密钥文件会下载到您的计算机上。
11. 将密钥文件另存为 Bindplane 收集器目录（在 Linux 上为 /opt/observiq-otel-collector/ingestion-auth.json，在 Windows 上为 C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json）中的 ingestion-auth.json，或更新 config.yaml 中的 creds_file_path 以与您保存密钥文件的路径相匹配。
12. 前往 IAM 和管理 > 设置，然后复制项目编号。您需要此信息才能配置导出器。

方法 2：下载数据注入身份验证文件（旧版）

1. 登录 Google SecOps 控制台。
2. 前往 SIEM 设置> 收集代理。
3. 下载数据注入身份验证文件。
4. 将文件安全地保存在将要安装 Bindplane 代理的系统上。

获取 Google SecOps 客户 ID

1. 登录 Google SecOps 控制台。
2. 依次前往 SIEM 设置 > 配置文件。

3. 复制并保存组织详细信息部分中的客户 ID。

安装 Bindplane 代理

根据以下说明，在 Windows 或 Linux 操作系统上安装 Bindplane 代理。

Windows 安装

1. 以管理员身份打开命令提示符或 PowerShell。

2. 运行以下命令：

   msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet
   

3. 等待安装完成。

4. 运行以下命令，验证安装是否成功：

   sc query observiq-otel-collector
   

该服务应显示为 RUNNING。

Linux 安装

1. 打开具有 root 或 sudo 权限的终端。

2. 运行以下命令：

   sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh
   

3. 等待安装完成。

4. 运行以下命令，验证安装是否成功：

   sudo systemctl status observiq-otel-collector
   

该服务应显示为 active (running)。

其他安装资源

如需了解其他安装选项和问题排查信息，请参阅 Bindplane 代理安装指南。

配置 Bindplane 代理以注入 syslog 并将其发送到 Google SecOps

找到配置文件

Linux：

sudo nano /opt/observiq-otel-collector/config.yaml

Windows：

notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"

修改配置文件

将 config.yaml 的全部内容替换为以下配置：

receivers:
  tcplog:
    listen_address: "0.0.0.0:514"

exporters:
  chronicle/fortiedr:
    protocol: https
    # Region of your instance, for example us, europe, asia-southeast1
    location: <LOCATION>
    # Project number of the Google Cloud project linked to the instance
    project: '<PROJECT_NUMBER>'
    compression: gzip
    creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
    customer_id: 'YOUR_CUSTOMER_ID'
    endpoint: chronicle.googleapis.com
    log_type: FORTINET_FORTIEDR
    raw_log_field: body
    ingestion_labels:
      env: production

service:
  pipelines:
    logs/fortiedr_to_chronicle:
      receivers:
        - tcplog
      exporters:
        - chronicle/fortiedr

配置参数

替换以下占位符：

接收器配置：

• listen_address：要监听的 IP 地址和端口。使用 0.0.0.0:514 监听端口 514 上的所有接口。

导出器配置：

• creds_file_path：服务账号 JSON 密钥文件的完整路径（选项 1）：
  • Linux：/opt/observiq-otel-collector/ingestion-auth.json
  • Windows：C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
• customer_id：上一步中的客户 ID。
• location：将 <LOCATION> 替换为 Google SecOps 实例的区域（例如 us、europe 或 asia-southeast1）。导出器会使用此值作为 chronicle.googleapis.com 的前缀。如需查看完整列表，请参阅区域级端点。
• project：将 <PROJECT_NUMBER> 替换为 IAM 和管理 > 设置中的项目编号。
• endpoint：保持设置为 chronicle.googleapis.com。
• ingestion_labels：YAML 格式的可选标签。

旧版提取 API 导出工具

• 如果您使用选项 2 中的提取身份验证文件，请将 exporters 代码块替换为以下内容。将 creds_file_path 设置为数据注入身份验证文件的路径，如果您的实例位于美国境外，请将 malachiteingestion-pa.googleapis.com 替换为您的区域端点（例如 europe-malachiteingestion-pa.googleapis.com）。

  exporters:
    chronicle/fortiedr:
      compression: gzip
      creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
      customer_id: 'YOUR_CUSTOMER_ID'
      endpoint: malachiteingestion-pa.googleapis.com
      log_type: FORTINET_FORTIEDR
      raw_log_field: body
      ingestion_labels:
        env: production
  

保存配置文件

修改后，保存文件：

• Linux：依次按 Ctrl+O、Enter 和 Ctrl+X
• Windows：依次点击文件 > 保存

重启 Bindplane 代理以应用更改

• Linux

  sudo systemctl restart observiq-otel-collector
  

  1. 验证服务是否正在运行：

     sudo systemctl status observiq-otel-collector
     

  2. 检查日志中的错误：

     sudo journalctl -u observiq-otel-collector -f
     

• Windows

  请从下列选项中选择一项：

  • 以管理员身份使用命令提示符或 PowerShell：

    net stop observiq-otel-collector && net start observiq-otel-collector
    

  • 使用“服务”控制台：

    1. 按 Win+R，输入 services.msc，然后按 Enter。
    2. 找到 observIQ OpenTelemetry 收集器。

    3. 右键点击并选择重启。

    4. 验证服务是否正在运行：

       sc query observiq-otel-collector
       

    5. 检查日志中是否存在错误：

       type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"
       

配置 Fortinet FortiEDR syslog 转发

配置 syslog 目标位置

1. 登录 FortiEDR Central Manager 控制台。
2. 依次前往 Administration（管理）> Export Settings（导出设置）> Syslog。
3. 点击 Define New Syslog 按钮。
4. 在 Syslog 名称字段中，输入一个描述性名称（例如 Chronicle-Integration）。
5. 在主机字段中，输入 Bindplane 代理主机 IP 地址。
6. 在端口字段中，输入 514。
7. 在协议下拉菜单中，选择 TCP。
8. 在格式下拉菜单中，选择分号（默认格式，字段以分号分隔）。
9. 点击测试按钮，测试与 Bindplane 代理的连接。
10. 验证测试是否成功。
11. 点击保存按钮以保存 syslog 目标。

按事件类型启用 syslog 通知

1. 在 Syslog 页面中，选择您刚刚创建的 syslog 目标行。
2. 在右侧的通知窗格中，使用滑块按事件类型启用或停用目的地：
   • 系统事件：启用后，系统会发送 FortiEDR 系统健康状况事件。
   • 安全性事件：启用此选项可发送安全性事件汇总。
   • 审核跟踪记录：启用此选项可发送审核日志事件。
3. 对于每种已启用的事件类型，请点击相应事件类型右侧的按钮。
4. 选中您要包含在 syslog 消息中的字段对应的复选框。
5. 点击保存。

配置 playbook 通知

系统仅针对分配给启用了发送 Syslog 通知 选项的 Playbook 政策的设备上发生的安全性事件发送 Syslog 消息。

1. 前往安全设置 > Playbook。
2. 选择适用于您要监控的设备的 playbook 政策（例如 Default Playbook）。
3. 在通知部分，找到 Syslog 行。
4. 通过选中要发送的事件分类对应的复选框，启用发送 Syslog 通知选项：
   • 恶意：归类为恶意的安全事件。
   • 可疑：被归类为可疑的安全性事件。
   • PUP：可能不需要的程序。
   • 无法判定：分类结果无法判定的事件。
   • 可能安全：被归类为可能安全的事件（可选）。

5. 点击保存。

方法 2：使用 GCS 收集 Fortinet FortiEDR 日志

准备工作

确保您满足以下前提条件：

• Google SecOps 实例
• 启用了 Cloud Storage API 的 GCP 项目
• 创建和管理 GCS 存储桶的权限
• 管理 GCS 存储桶的 IAM 政策的权限
• 创建 Cloud Run 服务、Pub/Sub 主题和 Cloud Scheduler 作业的权限
• 对 Fortinet FortiEDR 管理控制台的特权访问权限
• FortiEDR 5.0 版或更高版本

创建 Google Cloud Storage 存储桶

1. 前往 Google Cloud 控制台。
2. 选择您的项目或创建一个新项目。
3. 在导航菜单中，前往 Cloud Storage > 存储桶。
4. 点击创建存储分区。

5. 提供以下配置详细信息：

   设置	值
   指定存储桶的名称	输入一个全局唯一的名称（例如 fortiedr-logs）
   位置类型	根据您的需求进行选择（单区域、双区域、多区域）
   位置	选择位置（例如 us-central1）
   存储类别	标准（推荐用于频繁访问的日志）
   访问权限控制	均匀（推荐）
   保护工具	可选：启用对象版本控制或保留政策

6. 点击创建。

为 Cloud Run 函数创建服务账号

Cloud Run 函数需要一个服务账号，该账号应具有向 GCS 存储桶写入数据的权限，并且可由 Pub/Sub 调用。

创建服务账号

1. 在 GCP 控制台中，依次前往 IAM 和管理 > 服务账号。
2. 点击创建服务账号。
3. 提供以下配置详细信息：
   • 服务账号名称：输入 fortiedr-syslog-collector-sa。
   • 服务账号说明：输入 Service account for Cloud Run function to collect FortiEDR syslog logs。
4. 点击创建并继续。
5. 在为此服务账号授予项目访问权限部分，添加以下角色：
   1. 点击选择角色。
   2. 搜索并选择 Storage Object Admin。
   3. 点击 + 添加其他角色。
   4. 搜索并选择 Cloud Run Invoker。
   5. 点击 + 添加其他角色。
   6. 搜索并选择 Cloud Functions Invoker。
6. 点击继续。
7. 点击完成。

以下操作需要这些角色：

• Storage Object Admin：将日志写入 GCS 存储桶并管理状态文件
• Cloud Run Invoker：允许 Pub/Sub 调用函数
• Cloud Functions Invoker：允许调用函数

授予对 GCS 存储桶的 IAM 权限

向服务账号授予对 GCS 存储桶的写入权限：

1. 前往 Cloud Storage > 存储桶。
2. 点击您的存储桶名称。
3. 前往权限标签页。
4. 点击授予访问权限。
5. 提供以下配置详细信息：
   • 添加主账号：输入服务账号邮箱（例如 fortiedr-syslog-collector-sa@PROJECT_ID.iam.gserviceaccount.com）。
   • 分配角色：选择 Storage Object Admin。
6. 点击保存。

创建 Pub/Sub 主题

创建一个 Pub/Sub 主题，供 Cloud Scheduler 发布消息，并供 Cloud Run 函数订阅。

1. 在 GCP 控制台中，前往 Pub/Sub > 主题。
2. 点击创建主题。
3. 提供以下配置详细信息：
   • 主题 ID：输入 fortiedr-syslog-trigger。
   • 其他设置均保留默认值。
4. 点击创建。

创建 Cloud Run 函数以接收 syslog

Cloud Run 函数将通过 HTTP 从 FortiEDR 接收 syslog 消息，并将其写入 GCS。

1. 在 GCP 控制台中，前往 Cloud Run。
2. 点击创建服务。
3. 选择函数（使用直接修改器创建函数）。

4. 在配置部分中，提供以下配置详细信息：

   设置	值
   Service 名称	fortiedr-syslog-collector
   区域	选择与您的 GCS 存储桶匹配的区域（例如 us-central1）
   运行时	选择 Python 3.12 或更高版本

5. 在触发器（可选）部分中：

   1. 点击 + 添加触发器。
   2. 选择 HTTPS。
   3. 在身份验证中，选择允许未通过身份验证的调用。
   4. 点击保存。

6. 滚动到容器、网络、安全性并将其展开。

7. 前往安全标签页：

   • 服务账号：选择服务账号 (fortiedr-syslog-collector-sa)。

8. 前往容器标签页：

   1. 点击变量和密钥。

   2. 为每个环境变量点击 + 添加变量：

      变量名称	示例值	说明
      GCS_BUCKET	fortiedr-logs	GCS 存储桶名称
      GCS_PREFIX	fortiedr-syslog	日志文件的前缀

9. 在变量和 Secret 部分中，滚动到请求：

   • 请求超时：输入 60 秒。

10. 前往设置标签页：

    • 在资源部分中：
      • 内存：选择 256 MiB 或更高值。
      • CPU：选择 1。

11. 在修订版本伸缩部分中：

    • 实例数下限：输入 0。
    • 实例数上限：输入 10（或根据预期负载进行调整）。

12. 点击创建。

13. 等待服务创建完成（1-2 分钟）。

14. 创建服务后，系统会自动打开内嵌代码编辑器。

添加函数代码

1. 在入口点字段中输入 main。

2. 在内嵌代码编辑器中，创建两个文件：

   • 第一个文件：main.py:：

   import functions_framework
   from google.cloud import storage
   import json
   import os
   from datetime import datetime, timezone
   from flask import Request
   
   # Initialize Storage client
   storage_client = storage.Client()
   
   # Environment variables
   GCS_BUCKET = os.environ.get('GCS_BUCKET')
   GCS_PREFIX = os.environ.get('GCS_PREFIX', 'fortiedr-syslog')
   
   @functions_framework.http
   def main(request: Request):
       """
       Cloud Run function to receive syslog messages from FortiEDR and write to GCS.
   
       Args:
           request: Flask Request object containing syslog message
       """
   
       if not GCS_BUCKET:
           print('Error: Missing GCS_BUCKET environment variable')
           return ('Missing GCS_BUCKET environment variable', 500)
   
       try:
           # Get request body
           request_data = request.get_data(as_text=True)
   
           if not request_data:
               print('Warning: Empty request body')
               return ('Empty request body', 400)
   
           # Parse syslog messages (one per line)
           lines = request_data.strip().split('\n')
   
           if not lines:
               print('Warning: No syslog messages found')
               return ('No syslog messages found', 400)
   
           # Get GCS bucket
           bucket = storage_client.bucket(GCS_BUCKET)
   
           # Write to GCS as NDJSON
           now = datetime.now(timezone.utc)
           timestamp = now.strftime('%Y%m%d_%H%M%S_%f')
           object_key = f"{GCS_PREFIX}/logs_{timestamp}.ndjson"
           blob = bucket.blob(object_key)
   
           # Convert each line to JSON object with raw syslog message
           records = []
           for line in lines:
               if line.strip():
                   records.append({'raw': line.strip(), 'timestamp': now.isoformat()})
   
           ndjson = '\n'.join([json.dumps(record, ensure_ascii=False) for record in records]) + '\n'
           blob.upload_from_string(ndjson, content_type='application/x-ndjson')
   
           print(f"Wrote {len(records)} records to gs://{GCS_BUCKET}/{object_key}")
   
           return (f"Successfully processed {len(records)} records", 200)
   
       except Exception as e:
           print(f'Error processing syslog: {str(e)}')
           return (f'Error processing syslog: {str(e)}', 500)
   

   • 第二个文件：requirements.txt:：

   functions-framework==3.*
   google-cloud-storage==2.*
   flask==3.*
   

3. 点击部署以保存和部署函数。

4. 等待部署完成（2-3 分钟）。

5. 部署后，前往触发器标签页，然后复制触发器网址（例如 https://fortiedr-syslog-collector-abc123-uc.a.run.app）。

配置 Fortinet FortiEDR 系统日志转发到 Cloud Function

配置 syslog 目标位置

1. 登录 FortiEDR Central Manager 控制台。
2. 依次前往管理 > 导出设置 > Syslog。
3. 点击 Define New Syslog 按钮。
4. 在 Syslog 名称字段中，输入一个描述性名称（例如 Chronicle-GCS-Integration）。
5. 在主机字段中，输入 Cloud Function 触发器网址的主机名（例如 fortiedr-syslog-collector-abc123-uc.a.run.app）。
6. 在端口字段中，输入 443。
7. 在协议下拉菜单中，选择 TCP。
8. 在格式下拉菜单中，选择分号（默认格式，字段以分号分隔）。
9. 点击测试按钮，测试与 Cloud Function 的连接。
10. 验证测试是否成功。

11. 点击保存按钮，保存 syslog 目标。

按事件类型启用 syslog 通知

1. 在 Syslog 页面中，选择您刚刚创建的 syslog 目标行。
2. 在右侧的通知窗格中，使用滑块按事件类型启用或停用目的地：
   • 系统事件：启用后，系统会发送 FortiEDR 系统健康状况事件。
   • 安全性事件：启用此选项可发送安全性事件汇总。
   • 审核跟踪记录：启用此选项可发送审核日志事件。
3. 对于每种已启用的事件类型，请点击相应事件类型右侧的按钮。
4. 选中您要包含在 syslog 消息中的字段对应的复选框。
5. 点击保存。

配置 playbook 通知

系统仅针对分配给启用了发送 Syslog 通知 选项的 Playbook 政策的设备上发生的安全性事件发送 Syslog 消息。

1. 前往安全设置 > Playbook。
2. 选择适用于您要监控的设备的 playbook 政策（例如默认 playbook）。
3. 在通知部分，找到 Syslog 行。
4. 通过选中要发送的事件分类对应的复选框，启用发送 Syslog 通知选项：
   • 恶意：归类为恶意的安全事件。
   • 可疑：被归类为可疑的安全性事件。
   • PUP：可能不需要的程序。
   • 无法判定：分类结果无法判定的事件。
   • 可能安全：被归类为可能安全的事件（可选）。

5. 点击保存。

测试集成

1. 在 FortiEDR Central Manager 控制台中，依次前往 Administration（管理）> Export Settings（导出设置）> Syslog。
2. 选择 syslog 目标行。
3. 点击测试按钮以发送测试消息。
4. 在 GCP Console 中，前往 Cloud Run > 服务。
5. 点击函数名称 (fortiedr-syslog-collector)。
6. 点击日志标签页。

7. 验证函数是否已成功执行。查找：

   Wrote X records to gs://fortiedr-logs/fortiedr-syslog/logs_YYYYMMDD_HHMMSS_MMMMMM.ndjson
   Successfully processed X records
   

8. 前往 Cloud Storage > 存储桶。

9. 点击您的存储桶名称。

10. 前往前缀文件夹 (fortiedr-syslog/)。

11. 验证是否已创建具有当前时间戳的新 .ndjson 文件。

如果您在日志中看到错误，请执行以下操作：

• 请求正文为空：FortiEDR 未向 Cloud Function 发送数据
• 缺少 GCS_BUCKET 环境变量：检查是否已设置环境变量
• 权限遭拒：验证服务账号是否对存储桶拥有 Storage Object Admin 角色

检索 Google SecOps 服务账号

Google SecOps 会使用一个专属服务账号从您的 GCS 存储桶中读取数据。您必须向此服务账号授予对您的存储桶的访问权限。

在 Google SecOps 中配置 Feed 以注入 Fortinet FortiEDR 日志

1. 前往 SIEM 设置 > Feed。
2. 点击添加新 Feed。
3. 点击配置单个 Feed。
4. 在 Feed 名称字段中，输入 Feed 的名称（例如 FortiEDR Syslog Logs）。
5. 选择 Google Cloud Storage V2 作为来源类型。

6. 选择 Fortinet FortiEDR 作为日志类型。

7. 点击获取服务账号。

8. 系统会显示一个专属的服务账号邮箱，例如：

   chronicle-12345678@chronicle-gcp-prod.iam.gserviceaccount.com
   

9. 复制此邮箱。您将在下一步骤中用到它。

10. 点击下一步。

11. 为以下输入参数指定值：

    • 存储桶网址：输入带有前缀路径的 GCS 存储桶 URI：

      gs://fortiedr-logs/fortiedr-syslog/
      

      将

      • fortiedr-logs：您的 GCS 存储桶名称。
      • fortiedr-syslog：存储日志的可选前缀/文件夹路径（留空表示根目录）。

    • 来源删除选项：根据您的偏好选择删除选项：

      • 永不：转移后永不删除任何文件（建议在测试时使用）。
      • 删除已转移的文件：在成功转移后删除文件。
      • 删除已转移的文件和空目录：在成功转移后删除文件和空目录。

    • 文件存在时间上限：包含在过去指定天数内修改过的文件。默认值为 180 天。

    • 资源命名空间：资源命名空间。

    • 注入标签：要应用于此 Feed 中的事件的标签。

12. 点击下一步。

13. 在最终确定界面中查看新的新闻信息流配置，然后点击提交。

向 Google SecOps 服务账号授予 IAM 权限

Google SecOps 服务账号需要您的 GCS 存储桶的 Storage Object Viewer 角色。

1. 前往 Cloud Storage > 存储桶。
2. 点击您的存储桶名称。
3. 前往权限标签页。
4. 点击授予访问权限。
5. 提供以下配置详细信息：
   • 添加主账号：粘贴 Google SecOps 服务账号电子邮件地址。
   • 分配角色：选择 Storage Object Viewer。

6. 点击保存。

UDM 映射表

更新日志

查看相应解析器的更新日志

需要更多帮助？获得社区成员和 Google SecOps 专业人士的解答。