收集 Sophos Firewall (SFOS) 記錄

支援的國家/地區：

Google SecOps SIEM

本文說明如何使用 Bindplane，將 Sophos Firewall 記錄檔擷取至 Google Security Operations。Sophos Firewall (SFOS) 是新一代防火牆，可提供網路安全、網頁篩選、應用程式控管、IPS、VPN 和進階威脅防護功能。SFOS 可在 Sophos XGS 系列硬體裝置、虛擬和雲端部署環境中執行，並產生防火牆規則、網頁篩選、IPS 事件、驗證、VPN 連線和系統活動的詳細記錄。

詳情請參閱「收集 Sophos 防火牆記錄」。

事前準備

請確認您已完成下列事前準備事項：

Google SecOps 執行個體。
搭載 systemd 的 Windows 2016 以上版本或 Linux 主機。
如果透過 Proxy 執行，請確保防火牆通訊埠已根據 Bindplane 代理程式需求開啟。
具備管理員角色的 Sophos Firewall 網頁管理控制台存取權。
執行 SFOS v18 以上版本的 Sophos Firewall。

取得 Google SecOps 擷取驗證檔案

登入 Google SecOps 控制台。
依序前往「SIEM 設定」>「收集代理程式」。
下載擷取驗證檔案。
- 將檔案安全地儲存在要安裝 Bindplane 的系統上。

取得 Google SecOps 客戶 ID

登入 Google SecOps 控制台。
依序前往「SIEM 設定」>「設定檔」。
複製並儲存「機構詳細資料」部分中的客戶 ID。

安裝 Bindplane 代理程式

請按照下列操作說明，在 Windows 或 Linux 作業系統上安裝 Bindplane 代理程式。

Windows 安裝

以管理員身分開啟「命令提示字元」或「PowerShell」。

執行下列指令：

msiexec /i "[https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi](https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi)" /quiet

Linux 安裝

開啟具有根層級或 sudo 權限的終端機。

執行下列指令：

sudo sh -c "$(curl -fsSlL [https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh](https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh))" install_unix.sh

其他安裝資源

如需其他安裝選項，請參閱這份安裝指南。

設定 Bindplane 代理程式，擷取系統記錄檔並傳送至 Google SecOps

存取設定檔：
- 找出 config.yaml 檔案。通常位於 Linux 的 /opt/observiq-otel-collector/config.yaml 目錄，或 Windows 的安裝目錄。
- 使用文字編輯器 (例如 nano、vi 或記事本) 開啟檔案。

按照下列方式編輯 config.yaml 檔案：

receivers:
    udplog:
        listen_address: "0.0.0.0:514"

exporters:
    chronicle/sophos_firewall:
        compression: gzip
        creds_file_path: '/path/to/ingestion-authentication-file.json'
        customer_id: '<CUSTOMER_ID>'
        endpoint: malachiteingestion-pa.googleapis.com
        log_type: SOPHOS_FIREWALL
        raw_log_field: body
        ingestion_labels:

service:
    pipelines:
        logs/sophos_fw_to_chronicle:
            receivers:
                - udplog
            exporters:
                - chronicle/sophos_firewall

視基礎架構需求，替換通訊埠和 IP 位址。
將 <CUSTOMER_ID> 替換為實際的客戶 ID。
將 /path/to/ingestion-authentication-file.json 更新為驗證檔案的儲存路徑。

重新啟動 Bindplane 代理程式，以套用變更

如要在 Linux 中重新啟動 Bindplane 代理程式，請執行下列指令：
```
sudo systemctl restart observiq-otel-collector
```
如要在 Windows 中重新啟動 Bindplane 代理程式，可以使用「服務」控制台，也可以輸入下列指令：
```
net stop observiq-otel-collector && net start observiq-otel-collector
```

在 Sophos 防火牆上設定系統記錄轉送

新增系統記錄檔伺服器

登入 Sophos Firewall 網頁管理控制台。
前往「系統服務」>「記錄設定」。
向下捲動至「Syslog servers」(系統記錄伺服器) 部分。
按一下「新增」即可新增系統記錄伺服器。
請提供下列設定詳細資料：
- 名稱：輸入描述性名稱 (例如 Bindplane-SecOps)。
- IP 位址/網域：輸入 Bindplane 代理程式主機的 IP 位址。
- 「Port」(通訊埠)：輸入 514 (或您設定的通訊埠)。
- Facility：選取「DAEMON」。
- 嚴重程度：選取「資訊」 (建議用於全面記錄)。
- 格式：選取「裝置標準格式」。
按一下 [儲存]。

選取要轉送的記錄類型

在「Syslog servers」(系統記錄伺服器) 部分中，按一下系統記錄伺服器項目 Bindplane-SecOps。
在「記錄類型」部分，啟用要轉送的記錄類別：
- 防火牆：防火牆規則命中次數、捨棄的流量和允許的連線。
- IPS：入侵防禦系統警報和事件。
- 防毒軟體：惡意軟體偵測事件。
- 垃圾訊息防護：垃圾訊息偵測及篩選事件。
- 內容篩選：網路篩選和網址分類事件。
- 事件：系統事件、驗證和管理活動。
- 網路伺服器防護：網頁應用程式防火牆事件。
- 進階威脅防護：Sandstorm 和 ATP 偵測事件。
- 無線：無線存取點事件 (如適用)。
- 活動訊號：Sophos Security Heartbeat 狀態變更 (如果已啟用同步安全防護)。
- 系統健康狀態：硬體和軟體健康狀態事件。
- 驗證：使用者和管理員驗證事件。
- 管理：管理控制台活動。
按一下「套用」。

確認系統記錄檔轉送功能

前往 Sophos Firewall 網頁管理控制台的「Log viewer」(記錄檢視器)。
確認系統是否正在產生記錄項目。
查看 Bindplane 代理程式記錄，確認是否收到 Syslog 訊息：
```
sudo journalctl -u observiq-otel-collector -f
```

詳情請參閱 Sophos Firewall syslog 說明文件。

UDM 對應表

記錄欄位	UDM 對應	邏輯
`device_id`	`intermediary.asset.asset_id`	直接對應
`device_serial_id`	`intermediary.asset.asset_id`	直接對應
`device_model`	`intermediary.hostname`	直接對應
`device_name`	`intermediary.hostname`	直接對應
`log_msg`	`metadata.description`	直接對應
`date_time`	`metadata.event_timestamp`	已剖析為 `yyyy-MM-dd HH:mm:ss Z`
`timestamp`	`metadata.event_timestamp`	已剖析為 `yyyy-MM-ddTHH:mm:ssZ`
`log_component`	`metadata.product_event_type`	直接對應
`log_id`	`metadata.product_log_id`	直接對應
`client_physical_address`	`network.dhcp.chaddr`	直接對應
`ipaddress`	`network.dhcp.ciaddr`	直接對應
`client_host_name`	`network.dhcp.client_hostname`	直接對應
`user_agent`	`network.http.parsed_user_agent`	已重新命名/對應
`referer`	`network.http.referral_url`	直接對應
`http_status`	`network.http.response_code`	已重新命名/對應
`status_code`	`network.http.response_code`	已重新命名/對應
`user_agent`	`network.http.user_agent`	直接對應
`ip_protocol_out`	`network.ip_protocol`	直接對應
`bytes_received`	`network.received_bytes`	已重新命名/對應
`recv_bytes`	`network.received_bytes`	已重新命名/對應
`packets_received`	`network.received_packets`	已重新命名/對應
`recv_pkts`	`network.received_packets`	已重新命名/對應
`bytes_sent`	`network.sent_bytes`	已重新命名/對應
`sent_bytes`	`network.sent_bytes`	已重新命名/對應
`packets_sent`	`network.sent_packets`	已重新命名/對應
`sent_pkts`	`network.sent_packets`	已重新命名/對應
`duration`	`network.session_duration.seconds`	已重新命名/對應
`domain`	`principal.administrative_domain`	已重新命名/對應
`app_name`	`principal.application`	直接對應
`application`	`principal.application`	直接對應
`ipaddress`	`principal.ip`	已合併
`src_ip`	`principal.ip`	已合併
`src_country`	`principal.location.country_or_region`	直接對應
`src_country_code`	`principal.location.country_or_region`	直接對應
`src_mac`	`principal.mac`	已合併
`src_trans_ip`	`principal.nat_ip`	已合併
`tran_src_ip`	`principal.nat_ip`	已合併
`src_trans_port`	`principal.nat_port`	已重新命名/對應
`tran_src_port`	`principal.nat_port`	已重新命名/對應
`src_port`	`principal.port`	已重新命名/對應
`user_name`	`principal.user.email_addresses`	已對應：`.?@.` → `user_name`
`user_name`	`principal.user.userid`	直接對應
`action`	`security_result.action`	已合併
`status`	`security_result.action_details`	直接對應
`_about0`	`security_result.detection_fields`	已合併
`_about2`	`security_result.detection_fields`	已合併
`activityname_label`	`security_result.detection_fields`	已合併
`appCategory_label`	`security_result.detection_fields`	已合併
`appTech_label`	`security_result.detection_fields`	已合併
`app_filter_policy_id_label`	`security_result.detection_fields`	已合併
`app_is_cloud_label`	`security_result.detection_fields`	已合併
`app_resolved_by_label`	`security_result.detection_fields`	已合併
`category_type_label`	`security_result.detection_fields`	已合併
`con_event_label`	`security_result.detection_fields`	已合併
`con_id_label`	`security_result.detection_fields`	已合併
`connevent_label`	`security_result.detection_fields`	已合併
`connid_label`	`security_result.detection_fields`	已合併
`dst_zone_type_label`	`security_result.detection_fields`	已合併
`dstzonetype_label`	`security_result.detection_fields`	已合併
`ether_type_label`	`security_result.detection_fields`	已合併
`exceptions_label`	`security_result.detection_fields`	已合併
`gw_id_request_label`	`security_result.detection_fields`	已合併
`gw_name_request_label`	`security_result.detection_fields`	已合併
`hb_health_label`	`security_result.detection_fields`	已合併
`hb_status_label`	`security_result.detection_fields`	已合併
`http_category_label`	`security_result.detection_fields`	已合併
`http_category_type_label`	`security_result.detection_fields`	已合併
`in_display_interface_label`	`security_result.detection_fields`	已合併
`in_interface_label`	`security_result.detection_fields`	已合併
`log_component_label`	`security_result.detection_fields`	已合併
`log_occurrence_label`	`security_result.detection_fields`	已合併
`log_subtype_label`	`security_result.detection_fields`	已合併
`log_type_label`	`security_result.detection_fields`	已合併
`log_version_label`	`security_result.detection_fields`	已合併
`nat_rule_id_label`	`security_result.detection_fields`	已合併
`nat_rule_name_label`	`security_result.detection_fields`	已合併
`out_display_interface_label`	`security_result.detection_fields`	已合併
`out_interface_label`	`security_result.detection_fields`	已合併
`qualifier_label`	`security_result.detection_fields`	已合併
`reason_label`	`security_result.detection_fields`	已合併
`risk_label`	`security_result.detection_fields`	已合併
`src_zone_type_label`	`security_result.detection_fields`	已合併
`srczonetype_label`	`security_result.detection_fields`	已合併
`used_quota_label`	`security_result.detection_fields`	已合併
`web_policy_id_label`	`security_result.detection_fields`	已合併
`fw_rule_id`	`security_result.rule_id`	直接對應
`fw_rule_name`	`security_result.rule_name`	直接對應
`fw_rule_section`	`security_result.rule_set`	直接對應
`fw_rule_type`	`security_result.rule_type`	直接對應
`priority`	`security_result.severity`	已對應：`"INFORMATION", "NOTIFICATION", "NOTICE"` → `INFORMATIONAL`、`"ERROR","WARNING"` → `...
`reason`	`security_result.summary`	直接對應
`domain`	`target.hostname`	直接對應
`dst_ip`	`target.ip`	已合併
`dst_country`	`target.location.country_or_region`	直接對應
`dst_country_code`	`target.location.country_or_region`	直接對應
`dst_mac`	`target.mac`	已合併
`dst_trans_ip`	`target.nat_ip`	已合併
`tran_dst_ip`	`target.nat_ip`	已合併
`dst_trans_port`	`target.nat_port`	已重新命名/對應
`tran_dst_port`	`target.nat_port`	已重新命名/對應
`dst_port`	`target.port`	已重新命名/對應
`url`	`target.url`	直接對應
不適用	`extensions.auth.type`	常數：`VPN`
不適用	`metadata.event_type`	常數：`NETWORK_HTTP`
不適用	`metadata.product_name`	常數：`SOPHOS Firewall`
不適用	`metadata.vendor_name`	常數：`SOPHOS`
不適用	`network.application_protocol`	常數：`DHCP`
不適用	`security_result.severity`	常數：`INFORMATIONAL`
`date_time`	`event.idm.read_only_udm.metadata.event_timestamp`	從變更記錄對應
`referer`	`network.http.referer_url`	從變更記錄對應
`device_serial_id`	`principal.asset.asset_id`	從變更記錄對應
`application_category, application_risk and application_technology`	`security_result.detection_fields`	從變更記錄對應
`user_name`	`event.idm.read_only_udm.principal.user.userid`	從變更記錄對應
`device_id`	`event.idm.read_only_udm.principal.asset.asset_id`	從變更記錄對應

變更記錄

查看這個剖析器的變更記錄

還有其他問題嗎？向社群成員和 Google SecOps 專業人員尋求答案。