收集 Sophos UTM 記錄

支援：

本文說明如何使用 Bindplane，將 Sophos UTM 記錄檔擷取至 Google Security Operations。

Sophos UTM (統一威脅管理) 是一體式網路安全裝置，提供防火牆、VPN、入侵防範、網頁篩選、電子郵件篩選和防毒功能。透過單一網頁式管理控制台，集中管理企業網路的安全性。剖析器會從 Sophos UTM KV 格式的記錄檔中擷取欄位。它會使用 grok 和/或 kv 剖析記錄訊息，然後將這些值對應至統合式資料模型 (UDM)。此外，也會為事件來源和類型設定預設中繼資料值。

事前準備

請確認您符合下列必要條件：

  • Google SecOps 執行個體
  • Windows Server 2016 以上版本，或搭載 systemd 的 Linux 主機
  • 如果是在 Proxy 後方執行，請確認防火牆通訊埠已按照 Bindplane 代理程式規定開啟
  • Sophos UTM WebAdmin 介面的特殊存取權

取得 Bindplane 代理程式的 Google SecOps 憑證

如要向 Google SecOps 驗證 Bindplane 代理程式，請選擇下列其中一種方法：

  • 新部署作業：使用 Chronicle API (選項 1)。
  • 舊版部署作業：在 2027 年 7 月 20 日停用 Ingestion API 前，請繼續使用擷取驗證檔案 (選項 2)。
  1. 登入 Google Cloud 控制台，選取連結至 Google SecOps 執行個體的 Google Cloud 專案。
  2. 依序前往「IAM & Admin」(IAM 與管理) >「Service Accounts」(服務帳戶)。
  3. 按一下「建立服務帳戶」。
  4. 提供下列設定詳細資料：
    • 「Service account name」(服務帳戶名稱)：輸入帳戶名稱 (例如 bindplane-ingest)。
    • 「服務帳戶說明」：輸入說明 (例如 Bindplane agent log ingestion)。
  5. 點按「Create and continue」(建立並繼續)。
  6. 在「將專案存取權授予這個服務帳戶」部分，按一下「選取角色」，然後選取「Chronicle 編輯者」。
  7. 依序點選「繼續」和「完成」。
  8. 按一下您建立的服務帳戶，然後前往「金鑰」分頁標籤。
  9. 依序點選「新增金鑰」>「建立新的金鑰」。
  10. 選取「JSON」，然後按一下「建立」。金鑰檔案會下載到電腦。
  11. 將金鑰檔案儲存為 Bindplane 收集器目錄中的 ingestion-auth.json (Linux 上的 /opt/observiq-otel-collector/ingestion-auth.json 或 Windows 上的 C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json)，或更新 config.yaml 中的 creds_file_path，使其與儲存路徑相符。
  12. 依序前往「IAM & Admin」(IAM 與管理) >「Settings」(設定)，然後複製「Project number」(專案編號)。設定匯出工具時會用到。

方法 2：下載擷取驗證檔案 (舊版)

  1. 登入 Google SecOps 控制台。
  2. 依序前往「SIEM Settings」 > 「Collection Agents」。
  3. 下載擷取驗證檔案。
  4. 將檔案安全地儲存在要安裝 Bindplane 代理程式的系統上。

取得 Google SecOps 客戶 ID

  1. 登入 Google SecOps 控制台。
  2. 依序前往「SIEM 設定」 > 「設定檔」。
  3. 複製並儲存「機構詳細資料」專區中的「客戶 ID」。

安裝 Bindplane 代理程式

請按照下列操作說明，在 Windows 或 Linux 作業系統上安裝 Bindplane 代理程式。

Windows 安裝

  1. 以管理員身分開啟「命令提示字元」或「PowerShell」。

  2. 執行下列指令：

    msiexec /i "[https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi](https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi)" /quiet

  3. 等待安裝完成。

  4. 執行下列指令，確認安裝成功：

    sc query observiq-otel-collector

服務應顯示為「RUNNING」。

Linux 安裝

  1. 開啟具有 root 或 sudo 權限的終端機。

  2. 執行下列指令：

    sudo sh -c "$(curl -fsSlL [https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh](https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh))" install_unix.sh

  3. 等待安裝完成。

  4. 執行下列指令，確認安裝成功：

    sudo systemctl status observiq-otel-collector

服務應顯示為「active (running)」。

其他安裝資源

如需其他安裝選項和疑難排解資訊，請參閱 Bindplane 代理程式安裝指南。

設定 Bindplane 代理程式，擷取系統記錄檔並傳送至 Google SecOps

找出設定檔

  • Linux：

    sudo nano /opt/observiq-otel-collector/config.yaml

  • Windows：

    notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"

編輯設定檔

  • 將 config.yaml 的全部內容替換為下列設定：

    receivers:
  udplog:
    listen_address: "0.0.0.0:514"

exporters:
  chronicle/chronicle_w_labels:
    protocol: https
    # Region of your instance, for example us, europe, asia-southeast1
    location: <LOCATION>
    # Project number of the Google Cloud project linked to the instance
    project: '<PROJECT_NUMBER>'
    compression: gzip
    creds_file_path: '/path/to/ingestion-authentication-file.json'
    customer_id: 'YOUR_CUSTOMER_ID'
    endpoint: chronicle.googleapis.com
    log_type: 'SOPHOS_UTM'
    raw_log_field: body
    ingestion_labels:

service:
  pipelines:
    logs/source0__chronicle_w_labels-0:
      receivers:
        - udplog
      exporters:
        - chronicle/chronicle_w_labels

設定參數

替換下列預留位置：

  • 接收器設定：

    • udplog：如果是 UDP syslog，請使用 udplog；如果是 TCP syslog，請使用 tcplog
    • 0.0.0.0：要監聽的 IP 位址 (0.0.0.0 表示監聽所有介面)
    • 514：要監聽的通訊埠編號 (標準 syslog 通訊埠)

  • 匯出工具設定：

    • creds_file_path：服務帳戶 JSON 金鑰檔案的完整路徑 (選項 1)：

      • Linux：/opt/observiq-otel-collector/ingestion-auth.json
      • Windows：C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json

    • YOUR_CUSTOMER_ID：「取得客戶 ID」部分的客戶 ID

    • location：將 <LOCATION> 替換為 Google SecOps 執行個體的區域 (例如 us、europe 或 asia-southeast1)。匯出工具會在這個值前面加上 chronicle.googleapis.com。如需完整清單，請參閱「區域性端點」。

    • project：依序前往「IAM 與管理」>「設定」，然後將 <PROJECT_NUMBER> 替換為專案編號。

    • endpoint：維持設為 chronicle.googleapis.com。

    • log_type：記錄類型，與 Chronicle 中顯示的完全一致 (SOPHOS_UTM)

舊版 Ingestion API 匯出工具

  • 如果您使用方式 2 的擷取驗證檔案，請將 exporters 區塊替換成下列內容。將 creds_file_path 設為擷取驗證檔案的路徑。如果執行個體位於美國境外，請將 malachiteingestion-pa.googleapis.com 替換為區域端點 (例如 europe-malachiteingestion-pa.googleapis.com)。

    exporters:
  chronicle/chronicle_w_labels:
    compression: gzip
    creds_file_path: '/path/to/ingestion-authentication-file.json'
    customer_id: 'YOUR_CUSTOMER_ID'
    endpoint: malachiteingestion-pa.googleapis.com
    log_type: 'SOPHOS_UTM'
    raw_log_field: body
    ingestion_labels:

儲存設定檔

  • 編輯完畢後，請儲存檔案：
    • Linux：依序按下 Ctrl+O、Enter 和 Ctrl+X
    • Windows：依序點選「檔案」>「儲存」

重新啟動 Bindplane 代理程式，套用變更

如要在 Linux 中重新啟動 Bindplane 代理程式，請按照下列步驟操作：

  1. 執行下列指令：

    sudo systemctl restart observiq-otel-collector

  2. 確認服務是否正在執行：

    sudo systemctl status observiq-otel-collector

  3. 檢查記錄是否有錯誤：

    sudo journalctl -u observiq-otel-collector -f

如要在 Windows 重新啟動 Bindplane 代理程式，請按照下列步驟操作：

  1. 您可以選擇下列其中一個選項：

    • 以管理員身分開啟命令提示字元或 PowerShell：
    net stop observiq-otel-collector && net start observiq-otel-collector
    • 服務控制台：
      1. 按下 Win+R 鍵，輸入 services.msc，然後按下 Enter 鍵。
      2. 找出「observIQ OpenTelemetry Collector」。
      3. 按一下滑鼠右鍵，然後選取「重新啟動」。

  2. 確認服務正在執行：

    sc query observiq-otel-collector

  3. 查看記錄檔是否有錯誤：

    type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"

在 Sophos UTM 上設定 Syslog 轉送

  1. 登入 Sophos UTM WebAdmin 介面。
  2. 依序前往 「Logging & Reporting」 > 「Log Settings」 > 「Remote Syslog Server」。
  3. 點選切換鈕，啟用遠端系統記錄。
  4. 提供下列設定詳細資料：
    • 遠端 Syslog 伺服器：輸入 Bindplane 代理程式主機的 IP 位址。
    • 通訊埠：輸入 514。

  5. 在「Remote Syslog Log Selection」(遠端系統記錄記錄選取) 專區中，選取要轉送的記錄類型：

    • 封包篩選器：防火牆封包篩選器記錄
    • 網路篩選：網路篩選活動
    • IPS：入侵防禦系統事件
    • 驗證：使用者驗證事件
    • 電子郵件：電子郵件篩選和隔離事件
    • 網路防護：進階威脅防護記錄
    • WebServer Protection：WAF 記錄
    • VPN：VPN 連線事件
    • HA/叢集：高可用性和叢集事件
    • 系統：系統層級事件
    • DHCP：DHCP 伺服器記錄
    • DNS：DNS 查詢記錄

  6. 按一下「套用」儲存設定。

  7. 檢查 Bindplane 代理程式記錄，確認系統記錄訊息是否已傳送。

UDM 對應表

記錄欄位 UDM 對應 邏輯
動作 security_result.action 如果動作是「pass」或「accept」，則對應至「ALLOW」。如果動作是「drop」，則對應至「BLOCK」。
ad_domain target.administrative_domain 直接對應。
地址 target.ip、target.asset.ip 直接對應，在 ID 為「2203」時使用。
應用程式 target.application 直接對應。
app-id additional.fields[].key、additional.fields[].value.string_value 已重新命名為 app_id。如果不是空白，鍵會設為「app-id」，值則是應用程式 ID 本身。
調度應用程式資源 principal.application 直接對應。
aptptime additional.fields[].key, additional.fields[].value.string_value 如果不是空白，則鍵會設為「aptptime」，值則為 aptptime 本身。
授權 extensions.auth.auth_details 直接對應。
authtime additional.fields[].key, additional.fields[].value.string_value 如果不是空白或「0」，則鍵會設為「authtime」，值則為 authtime 本身。
avscantime additional.fields[].key、additional.fields[].value.string_value 如果不是空白且不是「0」，則鍵會設為「avscantime」，值則為 avscantime 本身。
category security_result.detection_fields[].key、security_result.detection_fields[].value 如果不是空白，鍵會設為「category」，值則是類別本身。如果名稱包含「portscan」，security_result.category 會設為「NETWORK_RECON」，並新增鍵為「category」、值為「NETWORK_RECON」的偵測欄位。
categoryname security_result.category_details 直接對應。
連結 security_result.rule_name 直接對應，用於 ID 為「2203」時。
內容類型資料 (請參閱其他欄位) 資料欄位包含鍵/值組合，會剖析為個別欄位。
日期時間 metadata.event_timestamp 系統會剖析並對應為自 Epoch 起算的秒數。
裝置 additional.fields[].key, additional.fields[].value.string_value 如果不是空白且不是「0」，則鍵會設為「device」，值則是裝置本身。
dnstime additional.fields[].key, additional.fields[].value.string_value 如果不是空白且不是「0」，則鍵會設為「dnstime」，值則為 dnstime 本身。
dstip target.ip、target.asset.ip 直接對應。如果網址欄位有值，系統也會一併擷取。
dstmac target.mac 直接對應。
dstport target.port 直接對應，轉換為整數。
錯誤事件 security_result.summary 直接對應，用於 ID 為「2201」、「2202」或「2203」時。
exceptions additional.fields[].key、additional.fields[].value.string_value 如果不是空白，則鍵會設為「exceptions」，值則為例外狀況本身。
檔案 about.file.full_path 直接對應。
filteraction security_result.rule_name 直接對應。
fullreqtime additional.fields[].key, additional.fields[].value.string_value 如果不是空白，鍵會設為「fullreqtime」，值則為 fullreqtime 本身。
fwrule security_result.rule_id 直接對應。
群組 target.group.group_display_name 直接對應。
id metadata.product_log_id 直接對應。
資訊 security_result.description 直接對應。如果存在，metadata.event_type 會設為「NETWORK_UNCATEGORIZED」。
initf 介面 security_result.about.labels[].key、security_result.about.labels[].value 如果不是空白，系統會將鍵為「Interface」且值為 interface 的標籤新增至 security_result.about.labels。
ip_address target.ip、target.asset.ip 直接對應。
長度線訊息 security_result.summary 當 ID 為「0003」時使用。也可用於一般 grok 剖析。
方法 network.http.method 直接對應。
名稱 security_result.summary 直接對應。
outitf pid target.process.pid 直接對應。
通訊埠 target.port 直接對應，轉換為整數。
prec profile security_result.rule_name 直接對應。
proto network.ip_protocol 使用對照表轉換為 IP 通訊協定名稱。
原因參照網址 network.http.referral_url 直接對應。
要求 additional.fields[].key、additional.fields[].value.string_value 如果不是空白，則鍵會設為「request」，值則是要求本身。
信譽 additional.fields[].key, additional.fields[].value.string_value 如果不是空白，則鍵會設為「reputation」，值則是信譽本身。
rx network.received_bytes 直接對應，在 ID 為「2202」時使用，轉換為不帶正負號的整數。
沙箱嚴重程度 security_result.severity 如果嚴重程度為「info」，則對應至「LOW」。
大小 target.file.size 直接對應，轉換為不帶正負號的整數。
srcip principal.ip、principal.asset.ip 直接對應。
srcmac principal.mac 直接對應。
srcport principal.port 直接對應，轉換為整數。
statuscode network.http.response_code 直接對應，轉換為整數。
sub network.application_protocol 如果 sub 為「http」，metadata.event_type 會設為「NETWORK_HTTP」，而 network.application_protocol 會設為「HTTP」。如果 sub 為「packetfilter」，metadata.description 會設為 sub。否則，系統會使用對照表轉換為應用程式通訊協定名稱。如果對照表找不到相符項目，系統會使用 dstport 進行查閱。
sys metadata.product_event_type 直接對應。
tcpflags tos ttl tx network.sent_bytes 直接對應，在 ID 為「2202」時使用，轉換為不帶正負號的整數。
ua network.http.user_agent 直接對應。
網址 network.http.referral_url、target.hostname、target.asset.hostname network.http.referral_url 的直接對應。已擷取 target.hostname 和 target.asset.hostname 的主機名稱。也用於擷取 dstip。
使用者 target.user.userid 直接對應。
使用者名稱 target.user.userid 直接對應，用於 ID 為「2201」或「2202」時。
variant 不包含在最終 UDM 中，但用於說明 與 sub 搭配使用，在 id 為「2201」、「2202」或「2203」時建立 security_result.description。
virtual_ip target.ip、target.asset.ip 直接對應，適用於 ID 為「2201」或「2202」的情況。
metadata.event_type metadata.event_type 初始化為「GENERIC_EVENT」。根據記錄內容和剖析器邏輯，設為特定值。
metadata.log_type metadata.log_type 硬式編碼為「SOPHOS_UTM」。
metadata.product_name metadata.product_name 硬式編碼為「SOPHOS UTM」。
metadata.vendor_name metadata.vendor_name 硬式編碼為「SOPHOS Ltd」。
intermediary.hostname intermediary.hostname 使用 grok 從記錄訊息中擷取並重新命名。
content-type event.idm.read_only_udm.additional.fields 從變更記錄對應
reason event.idm.read_only_udm.additional.fields 從變更記錄對應
referer event.idm.read_only_udm.additional.fields 從變更記錄對應
subject network.email.subject 從變更記錄對應
from network.email.from 從變更記錄對應
to network.email.to 從變更記錄對應
virus security_result.detection_fields 從變更記錄對應
filename target.file.names 從變更記錄對應
severity security_result.severity_details 從變更記錄對應
inter_host intermediary.hostname 從變更記錄對應

變更記錄

查看這個剖析器的變更記錄

還有其他問題嗎？向社群成員和 Google SecOps 專家尋求解答。