收集 SonicWall 記錄

本文說明如何使用 Google Security Operations 轉送器收集 SonicWall 記錄。

詳情請參閱「將資料擷取至 Google Security Operations」。

擷取標籤會識別剖析器，該剖析器會將原始記錄資料正規化為具結構性的 UDM 格式。本文件中的資訊適用於具有 SONIC_FIREWALL 攝入標籤的剖析器。

設定 SonicWall 安全設備

1. 登入 SonicWall 控制台。
2. 依序前往「記錄」>「系統記錄」。
3. 在「Syslog servers」(系統記錄伺服器) 部分，按一下「Add」(新增)。系統會隨即顯示「新增系統記錄伺服器」視窗。
4. 在「名稱」或「IP 位址」欄位中，提供 Google Security Operations 轉送器主機名稱或 IP 位址。
5. 如果系統記錄設定未使用預設的 514 連接埠，請在「連接埠號碼」欄位中指定連接埠號碼。
6. 按一下 [確定]。
7. 按一下「接受」，儲存所有系統記錄檔伺服器設定。

設定 Google Security Operations 轉送器和系統記錄，以便擷取 SonicWall 記錄

1. 依序前往「SIEM 設定」>「轉送器」。
2. 按一下「新增轉寄者」。
3. 在「轉寄者名稱」欄位中，輸入轉寄者的專屬名稱。
4. 按一下「提交」。轉送器新增完成後，系統會顯示「新增收集器設定」視窗。
5. 在「Collector name」(收集器名稱) 欄位中輸入名稱。
6. 選取「SonicWall」做為「記錄類型」。
7. 選取「Syslog」做為「收集器類型」。
8. 設定下列必要輸入參數：
   • 通訊協定：指定收集器用來監聽系統記錄資料的連線通訊協定。
   • 地址：指定收集器所在位置的目標 IP 位址或主機名稱，並監聽系統記錄資料。
   • 通訊埠：指定收集器所在位置的目標通訊埠，並監聽系統記錄資料。
9. 按一下「提交」。

如要進一步瞭解 Google Security Operations 轉送器，請參閱 Google Security Operations 轉送器說明文件。

如要瞭解各轉送器類型的相關規定，請參閱「依類型設定轉送器」。

如果在建立轉寄者時遇到問題，請與 Google Security Operations 支援團隊聯絡。

欄位對應參考資料

這個剖析器會從 SonicWall 防火牆系統記錄訊息中擷取鍵/值配對，將時間戳記、IP 位址和連接埠等各種欄位標準化，並對應至 UDM 格式。這項工具可處理 IPv4 和 IPv6 位址，區分允許和封鎖的事件，並擷取規則名稱和說明等安全性相關詳細資料。

支援的 SonicWall 範例記錄

• 標準防火牆事件

  {
    "type": "SONIC_FIREWALL",
    "log": "<134> id=SONICWALL_FIREWALL\n"
           "      sn=DEADD00D1234\n"
           "      time=\"2020-04-08 13:28:45\"\n"
           "      fw=192.0.2.1\n"
           "      pri=6\n"
           "      c=1024\n"
           "      gcat=2\n"
           "      m=97\n"
           "      msg=\"Web site hit\"\n"
           "      srcMac=00:00:5E:00:53:01\n"
           "      src=192.0.2.10:12345:X0\n"
           "      srcZone=LAN\n"
           "      natSrc=192.0.2.10:12345\n"
           "      dstMac=00:00:5E:00:53:02\n"
           "      dst=198.51.100.20:443:X0\n"
           "      dstZone=WAN\n"
           "      natDst=198.51.100.20:443\n"
           "      proto=tcp/https\n"
           "      sent=1247\n"
           "      rcvd=59996\n"
           "      rule=\"14 (LAN->WAN)\"\n"
           "      app=49175\n"
           "      appName=\"General HTTP\"\n"
           "      op=1\n"
           "      dstname=sanitized-host.com\n"
           "      arg=/sanitized/path/file.cab?id=REDACTED\n"
           "      code=27\n"
           "      Category=\"Information Technology/Computers\"\n"
           "      n=3451648"
  }
  

• SSL-VPN 工作階段事件

  {
    "type": "SONIC_FIREWALL",
    "log": "<181>SSLVPN: id=sslvpn\n"
           "      sn=DEADD00D1234\n"
           "      time=\"2020-04-10 10:07:11\"\n"
           "      vp_time=\"2020-04-10 08:07:11 UTC\"\n"
           "      fw=192.0.2.1\n"
           "      pri=5\n"
           "      m=2\n"
           "      c=102\n"
           "      src=203.0.113.50\n"
           "      dst=192.0.2.1\n"
           "      user=\"internal_user@company.com\"\n"
           "      usr=\"internal_user@company.com\"\n"
           "      msg=\"NetExtender disconnected\"\n"
           "      rule=access-policy\n"
           "      duration=731\n"
           "      bytesIn=47360\n"
           "      bytesOut=10\n"
           "      agent=\"SonicWALL NetExtender for Windows (REDACTED)\""
  }
  

• 進階威脅/應用程式控制項

  {
    "type": "SONIC_FIREWALL",
    "log": "<129> id=PD_Firewall sn=DEADD00D1234 time=\"2024-03-06 12:33:40\"\n"
           "      fw=192.0.2.1 pri=1 c=0 m=1154 msg=\"Application Control Detection\n"
           "      Alert: PROTOCOLS DNS Protocol -- Standard Query A\" sid=5183\n"
           "      appcat=\"PROTOCOLS DNS Protocol -- Standard Query A\" appid=1283 catid=74\n"
           "      n=3235773 src=192.0.2.15:58482:X0 dst=203.0.113.1:53:X2\n"
           "      srcMac=00:00:5E:00:53:03 dstMac=00:00:5E:00:53:04 proto=udp/dns\n"
           "      fw_action=\"NA\""
  }
  

UDM 對應表

變更記錄

查看這個剖析器的變更記錄

還有其他問題嗎？向社群成員和 Google SecOps 專業人員尋求答案。