Google 會運用 AI 技術將內容翻譯成你偏好的語言，但可能會出錯。

收集 WatchGuard Firebox 記錄

支援的服務：

Google SecOps SIEM

本文說明如何使用 Bindplane，將 WatchGuard Firebox 記錄檔擷取至 Google Security Operations。WatchGuard Firebox 是一種統一威脅管理 (UTM) 防火牆設備，提供網路安全功能，包括有狀態封包檢查、入侵預防、應用程式控制、網址篩選、閘道防毒和 VPN 連線。Firebox 記錄會擷取流量事件、安全性警示、驗證活動和系統健康狀態資訊。

事前準備

請確認您符合下列必要條件：

Google SecOps 執行個體。
搭載 systemd 的 Windows 2016 以上版本或 Linux 主機。
如果是在 Proxy 後方執行，請確認防火牆通訊埠已按照 Bindplane 代理程式需求開啟。
WatchGuard Firebox 網頁使用者介面 (Fireware Web UI) 或 WatchGuard System Manager 的特殊存取權。

取得 Bindplane 代理程式的 Google SecOps 憑證

如要向 Google SecOps 驗證 Bindplane 代理程式，請選擇下列其中一種方法：

新部署作業：使用 Chronicle API (選項 1)。
舊版部署作業：繼續使用擷取驗證檔案 (選項 2)，直到 Ingestion API 於 2027 年 7 月 20 日停用。

方法 1：為 Chronicle API 建立服務帳戶 (建議)

登入 Google Cloud 控制台，然後選取連結至 Google SecOps 執行個體的 Google Cloud 專案。
依序前往 「IAM & Admin」(IAM 與管理) >「Service Accounts」(服務帳戶)。
按一下「建立服務帳戶」。
請提供下列設定詳細資料：
- 「Service account name」(服務帳戶名稱)：輸入帳戶名稱 (例如 bindplane-ingest)。
- 「服務帳戶說明」：輸入說明 (例如 Bindplane agent log ingestion)。
點按「Create and continue」(建立並繼續)。
在「將專案存取權授予這個服務帳戶」部分，按一下「選取角色」，然後選取「Chronicle 編輯者」。
依序點選「繼續」和「完成」。
按一下您建立的服務帳戶，然後前往「金鑰」分頁。
依序點選「新增金鑰」>「建立新的金鑰」。
選取「JSON」，然後點選「建立」。金鑰檔案會下載到電腦。
將金鑰檔案儲存為 Bindplane 收集器目錄中的 ingestion-auth.json (Linux 上的 /opt/observiq-otel-collector/ingestion-auth.json 或 Windows 上的 C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json)，或更新 config.yaml 中的 creds_file_path，使其與儲存路徑相符。
依序前往「IAM & Admin」(IAM 與管理) >「Settings」(設定)，然後複製「Project number」(專案編號)。匯出工具設定時會用到。

方法 2：下載擷取驗證檔案 (舊版)

登入 Google SecOps 控制台。
依序前往「SIEM Settings」 > 「Collection Agents」。
下載擷取驗證檔案。
將檔案安全地儲存在要安裝 Bindplane 代理程式的系統中。

取得 Google SecOps 客戶 ID

登入 Google SecOps 控制台。
依序前往「SIEM Settings」(SIEM 設定) >「Profile」(設定檔)。
複製並儲存「機構詳細資料」專區中的「客戶 ID」。

安裝 Bindplane 代理程式

請按照下列操作說明，在 Windows 或 Linux 作業系統上安裝 Bindplane 代理程式。

Windows 安裝

以管理員身分開啟命令提示字元或 PowerShell。

執行下列指令：

msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

安裝 Linux

開啟具有根層級或 sudo 權限的終端機。

執行下列指令：

sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

其他安裝資源

如需其他安裝選項，請參閱這份安裝指南。

設定 Bindplane 代理程式，擷取系統記錄並傳送至 Google SecOps

存取設定檔：
- 找出 config.yaml 檔案。通常位於 Linux 的 /opt/observiq-otel-collector/ 目錄，或 Windows 的安裝目錄。
- 使用文字編輯器 (例如 nano、vi 或記事本) 開啟檔案。

按照下列方式編輯 config.yaml 檔案：

receivers:
  udplog:
    # Replace the port and IP address as required
    listen_address: "0.0.0.0:514"

exporters:
  chronicle/chronicle_w_labels:
    protocol: https
    # Region of your instance, for example us, europe, asia-southeast1
    location: <LOCATION>
    # Project number of the Google Cloud project linked to the instance
    project: '<PROJECT_NUMBER>'
    compression: gzip
    # Adjust the path to the credentials file you downloaded in Step 1
    creds_file_path: '/path/to/ingestion-authentication-file.json'
    # Replace with your actual customer ID from Step 2
    customer_id: YOUR_CUSTOMER_ID
    endpoint: chronicle.googleapis.com
    # Add optional ingestion labels for better organization
    log_type: 'WATCHGUARD'
    raw_log_field: body
    ingestion_labels:

service:
  pipelines:
    logs/source0__chronicle_w_labels-0:
      receivers:
        - udplog
      exporters:
        - chronicle/chronicle_w_labels

請根據基礎架構需求，替換通訊埠和 IP 位址。
將 <LOCATION> 替換為 Google SecOps 執行個體的區域 (例如 us、europe 或 asia-southeast1)。匯出工具會在這個值前面加上 chronicle.googleapis.com。
將 <PROJECT_NUMBER> 替換為「IAM 與管理」>「設定」中的專案編號。
將 YOUR_CUSTOMER_ID 替換為實際的客戶 ID。
將 /path/to/ingestion-authentication-file.json 更新為步驟 1 中儲存服務帳戶金鑰檔案 (選項 1) 的檔案路徑。

舊版 Ingestion API 匯出工具

如果您使用選項 2 的擷取驗證檔案，請將 exporters 區塊替換為下列內容。將 creds_file_path 設為擷取驗證檔案的路徑。如果執行個體位於美國境外，請將 malachiteingestion-pa.googleapis.com 替換為區域端點 (例如 europe-malachiteingestion-pa.googleapis.com)。

exporters:
  chronicle/chronicle_w_labels:
    compression: gzip
    # Adjust the path to the credentials file you downloaded in Step 1
    creds_file_path: '/path/to/ingestion-authentication-file.json'
    # Replace with your actual customer ID from Step 2
    customer_id: YOUR_CUSTOMER_ID
    endpoint: malachiteingestion-pa.googleapis.com
    # Add optional ingestion labels for better organization
    log_type: 'WATCHGUARD'
    raw_log_field: body
    ingestion_labels:

重新啟動 Bindplane 代理程式，套用變更

如要在 Linux 中重新啟動 Bindplane 代理程式，請執行下列指令：
```
sudo systemctl restart observiq-otel-collector
```
如要在 Windows 中重新啟動 Bindplane 代理程式，可以使用「服務」控制台，也可以輸入下列指令：
```
net stop observiq-otel-collector && net start observiq-otel-collector
```

設定 WatchGuard Firebox 系統記錄檔轉送功能

如要設定 WatchGuard Firebox，將系統記錄訊息轉送至 Bindplane 代理程式，請使用 Fireware 網頁版 UI 執行下列步驟：

登入 Fireware 網頁 UI (https://<firebox-ip>:8080)。
依序前往「系統」>「記錄」。
在「Syslog Servers」部分，按一下「Add」。
提供下列設定詳細資料：
- IP 位址：輸入 Bindplane 代理程式主機的 IP 位址 (例如 192.168.1.100)。
- 通訊埠：輸入 514 (或在 Bindplane 代理程式中設定的通訊埠)。
- 記錄格式：選取「Syslog」 (標準 BSD syslog 格式)。
在「系統記錄設定」部分，設定記錄層級：
- 將「記錄層級」設為「資訊」或更高，即可擷取流量、安全性和系統事件。
按一下 [儲存]。

設定要轉送的記錄類型

在 Fireware Web UI 中，依序前往「System」>「Logging」>「Syslog」。
請確認已為 syslog 轉送啟用下列記錄類型：
- 流量：防火牆流量事件 (允許、拒絕)。
- 警報：IPS 和安全警報事件。
- 事件：系統事件和狀態變更。
- Debug：選用，僅用於疑難排解。
按一下 [儲存]。

(替代方案) 透過 WatchGuard System Manager 設定

開啟 WatchGuard System Manager 並連線至 Firebox。
依序前往「設定」>「記錄」>「將記錄訊息傳送至這個系統記錄伺服器」。
按一下「新增」。
提供下列設定詳細資料：
- IP 位址：輸入 Bindplane 代理程式主機的 IP 位址。
- 通訊埠：輸入 514。
- Log Format：選取「Syslog」。
按一下「確定」，然後將設定儲存至 Firebox。

詳情請參閱 WatchGuard Fireware 記錄說明文件。

UDM 對應表

記錄欄位	UDM 對應	邏輯
`action`	`security_result.action_details`	原始記錄中的 `action` 值會指派給 `security_result.action_details`。
`action`	`target.labels.value`	原始記錄中的 `action` 值會指派給 `target.labels.value`，而 `target.labels.key` 則是「資源的動作」。
`arg`	`target.file.full_path`	原始記錄中的 `arg` 值會指派給 `target.file.full_path`。
`app_cat_id`	`about.labels.value`	原始記錄中的 `app_cat_id` 值會指派給 `about.labels.value`，其中 `about.labels.key` 為「app_cat_id」。
`app_cat_name`	`target.application`	與 `app_name` 搭配使用，形成 `target.application` 的值 (例如「Google - Web services」)。
`app_id`	`about.labels.value`	原始記錄中的 `app_id` 值會指派給 `about.labels.value`，其中 `about.labels.key` 為「app_id」。
`app_name`	`target.application`	與 `app_cat_name` 搭配使用，形成 `target.application` 的值 (例如「Google - Web services」)。
`cats`	`security_result.category_details`	原始記錄中的 `cats` 值會指派給 `security_result.category_details`。
`cert_issuer`	`network.tls.server.certificate.issuer`	原始記錄中的 `cert_issuer` 值會指派給 `network.tls.server.certificate.issuer`。
`cert_subject`	`network.tls.server.certificate.subject`	原始記錄中的 `cert_subject` 值會指派給 `network.tls.server.certificate.subject`。
`cn`	`network.tls.server.certificate.subject`	原始記錄中的 `cn` 值會指派給 `network.tls.server.certificate.subject`。
`conn_action`	`security_result.action_details`	原始記錄中的 `conn_action` 值會指派給 `security_result.action_details`。
`content_type`	未對應	未對應至所提供 UDM 範例中的 IDM 物件。
`description`	`metadata.description`	從原始記錄衍生的 `description` 值會指派給 `metadata.description`。
`dhcp_type`	`network.dhcp.type`	原始記錄中的 `dhcp_type` 值會對應到 `network.dhcp.type` 中的相應 DHCP 類型 (例如「REQUEST」、「ACK」)。
`dst_host`	`target.hostname`	原始記錄中的 `dst_host` 值會指派給 `target.hostname`。
`dst_ip`	`target.ip`	原始記錄中的 `dst_ip` 值會指派給 `target.ip`。
`dst_mac`	`target.mac`	原始記錄中的 `dst_mac` 值會指派給 `target.mac`。
`dst_port`	`target.port`	原始記錄中的 `dst_port` 值會指派給 `target.port`。
`dst_user`	`target.user.user_display_name`	原始記錄中的 `dst_user` 值會指派給 `target.user.user_display_name`。
`dstname`	`target.administrative_domain`	原始記錄中的 `dstname` 值會指派給 `target.administrative_domain`。
`duration`	未對應	未對應至所提供 UDM 範例中的 IDM 物件。
`elapsed_time`	未對應	未對應至 UDM 範例中的 IDM 物件。
`endpoint`	`intermediary.labels.value`	原始記錄中的 `endpoint` 值會指派給 `intermediary.labels.value`，`intermediary.labels.key` 則為「Gateway-Endpoint」。
`event_name`	`principal.application`	原始記錄中的 `event_name` 值會指派給 `principal.application`。
`firewall_id`	`intermediary.asset_id`	原始記錄中的 `firewall_id` 值會加上「Firewall ID : 」前置字元，並指派給 `intermediary.asset_id`。
`firewall_name`	`principal.asset_id`	原始記錄中的 `firewall_name` 值會加上「Firewall: 」前置字串，並指派給 `principal.asset_id`。
`firewallname`	`intermediary.hostname`	原始記錄中的 `firewallname` 值會指派給 `intermediary.hostname`。
`firewallname`	`principal.hostname`	原始記錄中的 `firewallname` 值會指派給 `principal.hostname`。
`fqdn_dst_match`	未對應	未對應至所提供 UDM 範例中的 IDM 物件。
`geo`	未對應	未對應至 UDM 範例中的 IDM 物件。
`geo_dst`	`target.location.country_or_region`	原始記錄中的 `geo_dst` 值會指派給 `target.location.country_or_region`。
`geo_src`	`principal.location.country_or_region`	原始記錄中的 `geo_src` 值會指派給 `principal.location.country_or_region`。
`host`	未對應	未對應至提供的 UDM 範例中的 IDM 物件。
`ike_policy`	`security_result.rule_id`	原始記錄中的 `ike_policy` 值會指派給 `security_result.rule_id`。
`ike_policy_version`	`security_result.rule_version`	原始記錄中的 `ike_policy_version` 值會指派給 `security_result.rule_version`。
`intermediary_host`	`intermediary.hostname`	原始記錄中的 `intermediary_host` 值會指派給 `intermediary.hostname`。
`ipaddress`	未對應	未對應至所提供 UDM 範例中的 IDM 物件。
`ipsec_policy`	未對應	未對應至所提供 UDM 範例中的 IDM 物件。
`ipsec_policy_version`	未對應	未對應至所提供 UDM 範例中的 IDM 物件。
`keyword`	未對應	未對應至所提供 UDM 範例中的 IDM 物件。
`line`	未對應	未對應至所提供 UDM 範例中的 IDM 物件。
`log_message`	`metadata.description`	如果沒有其他更具體的說明，系統會將原始記錄中的 `log_message` 值指派給 `metadata.description`。
`log_reason`	`security_result.summary`	原始記錄中的 `log_reason` 值會指派給 `security_result.summary`。
`log_type`	`metadata.log_type`	原始記錄中的 `log_type` 值會指派給 `metadata.log_type`。一律設為「WATCHGUARD」。
`msg`	`security_result.summary`	原始記錄中的 `msg` 值會指派給 `security_result.summary`。
`msg_id`	`metadata.product_event_type`	原始記錄中的 `msg_id` 值會指派給 `metadata.product_event_type`。
`new_action`	`security_result.action_details`	與 `conn_action` 搭配使用，形成 `security_result.action_details` 的值 (例如「ProxyReplace: IP protocol - HTTPS-Client.DPI-Off」)。
`op`	`network.http.method`	原始記錄中的 `op` 值會指派給 `network.http.method`。
`path`	`target.url`	原始記錄中的 `path` 值會指派給 `target.url`。
`pid`	未對應	未對應至所提供 UDM 範例中的 IDM 物件。
`policy_name`	`intermediary.resource.name`	原始記錄中的 `policy_name` 值會指派給 `intermediary.resource.name`。
`policy_name`	`security_result.rule_name`	原始記錄中的 `policy_name` 值會指派給 `security_result.rule_name`。
`policyname_label.value`	`security_result.rule_labels.value`	原始記錄中 `policy_name` 的值會指派給 `security_result.rule_labels.value`，其中 `security_result.rule_labels.key` 為「PolicyName」。
`prin_host`	`principal.hostname`	原始記錄中的 `prin_host` 值會指派給 `principal.hostname`。
`proc_id`	未對應	未對應至所提供 UDM 範例中的 IDM 物件。
`protocol`	`network.ip_protocol`	原始記錄中的 `protocol` 值會轉換為大寫，並指派給 `network.ip_protocol`。特殊處理對應至「ICMP」的「EXTERNAL ICMP」。
`proxy_act`	`security_result.rule_id`	原始記錄中的 `proxy_act` 值會指派給 `security_result.rule_id`。
`proxy_act`	`security_result.rule_name`	原始記錄中的 `proxy_act` 值會指派給 `security_result.rule_name`。
`query_name`	`network.dns.questions.name`	原始記錄中的 `query_name` 值會指派給 `network.dns.questions.name`。
`query_type`	`network.dns.questions.type`	原始記錄中的 `query_type` 值會指派給 `network.dns.questions.type`。數值查詢類型的特殊處理，以及對應至標準 DNS 查詢類型。
`rc`	未對應	未對應至所提供 UDM 範例中的 IDM 物件。
`reason`	`security_result.summary`	原始記錄中的 `reason` 值會指派給 `security_result.summary`。
`record_type`	`network.dns.answers.type`	原始記錄中的 `record_type` 值會對應至 `network.dns.answers.type` 中的相應 DNS 記錄類型。
`redirect_action`	未對應	未對應至所提供 UDM 範例中的 IDM 物件。
`reputation`	`additional.fields.value.string_value`	原始記錄中的 `reputation` 值會指派給 `additional.fields.value.string_value`，而 `additional.fields.key` 為「reputation」。
`response`	未對應	未對應至 UDM 範例中的 IDM 物件。
`response_code`	`network.dns.response_code`	原始記錄中的 `response_code` 值會對應至 `network.dns.response_code` 中的 DNS 回應代碼。
`route_type`	未對應	未對應至 UDM 範例中的 IDM 物件。
`rule_name`	`security_result.rule_name`	原始記錄中的 `rule_name` 值會指派給 `security_result.rule_name`。
`rcvd_bytes`	`network.received_bytes`	原始記錄中的 `rcvd_bytes` 值會指派給 `network.received_bytes`。
`sent_bytes`	`network.sent_bytes`	原始記錄中的 `sent_bytes` 值會指派給 `network.sent_bytes`。
`server_ssl`	未對應	未對應至所提供 UDM 範例中的 IDM 物件。
`severity`	未對應	未對應至所提供 UDM 範例中的 IDM 物件。
`sig_vers`	`network.tls.server.certificate.version`	原始記錄中的 `sig_vers` 值會指派給 `network.tls.server.certificate.version`。
`signature_cat`	`additional.fields.value.string_value`	原始記錄中的 `signature_cat` 值會指派給 `additional.fields.value.string_value`，而 `additional.fields.key` 則是「signature_cat」。
`signature_id`	`additional.fields.value.string_value`	原始記錄中的 `signature_id` 值會指派給 `additional.fields.value.string_value`，其中 `additional.fields.key` 為「signature_id」。
`signature_name`	`additional.fields.value.string_value`	原始記錄中的 `signature_name` 值會指派給 `additional.fields.value.string_value`，其中 `additional.fields.key` 為「signature_name」。
`sni`	`network.tls.client.server_name`	原始記錄中的 `sni` 值會指派給 `network.tls.client.server_name`。
`src_ctid`	未對應	未對應至 UDM 範例中的 IDM 物件。
`src_host`	`principal.hostname`	原始記錄中的 `src_host` 值會指派給 `principal.hostname`。
`src_ip`	`principal.ip`	原始記錄中的 `src_ip` 值會指派給 `principal.ip`。
`src_ip_nat`	未對應	未對應至 UDM 範例中的 IDM 物件。
`src_mac`	`principal.mac`	原始記錄中的 `src_mac` 值會指派給 `principal.mac`。
`src_port`	`principal.port`	原始記錄中的 `src_port` 值會指派給 `principal.port`。
`src_user`	`principal.user.user_display_name`	原始記錄中的 `src_user` 值會指派給 `principal.user.user_display_name`。
`src_user_name`	`principal.user.user_display_name`	原始記錄中的 `src_user_name` 值會指派給 `principal.user.user_display_name`。
`src_vpn_ip`	`principal.ip`	原始記錄中的 `src_vpn_ip` 值會指派給 `principal.ip`。
`srv_ip`	未對應	未對應至所提供 UDM 範例中的 IDM 物件。
`srv_port`	未對應	未對應至所提供 UDM 範例中的 IDM 物件。
`ssl_offload`	未對應	未對應至所提供 UDM 範例中的 IDM 物件。
`tcp_info`	未對應	未對應至 UDM 範例中的 IDM 物件。
`time`	`metadata.event_timestamp.seconds`、`timestamp.seconds`	系統會剖析原始記錄中的 `time` 值，並填入 `metadata.event_timestamp.seconds` 和 `timestamp.seconds`。
`time1`	`metadata.event_timestamp.seconds`、`timestamp.seconds`	系統會剖析原始記錄中的 `time1` 值，並填入 `metadata.event_timestamp.seconds` 和 `timestamp.seconds`。
`tls_profile`	`about.labels.value`	原始記錄中 `tls_profile` 的值會指派給 `about.labels.value`，`about.labels.key` 則為「tls_profile」。
`tls_version`	未對應	未對應至所提供 UDM 範例中的 IDM 物件。
`user_name`	`principal.user.userid`、`principal.user.user_display_name`	系統會根據情境，將原始記錄中的 `user_name` 值指派給 `principal.user.userid` 或 `principal.user.user_display_name`。
`user_type`	未對應	未對應至所提供 UDM 範例中的 IDM 物件。
(不適用)	`intermediary.resource.type`	一律設為「ACCESS_POLICY」。
(不適用)	`metadata.event_type`	由剖析器邏輯根據 `msg_id`、`log_type`、`event_name` 和其他欄位決定。可以是 `NETWORK_CONNECTION`、`SERVICE_MODIFICATION`、`NETWORK_SMTP`、`NETWORK_DNS`、`NETWORK_HTTP`、`USER_LOGIN`、`USER_LOGOUT`、`USER_RESOURCE_UPDATE_CONTENT`、`RESOURCE_PERMISSIONS_CHANGE`、`RESOURCE_CREATION`、`GENERIC_EVENT`、`STATUS_UPDATE` 或 `USER_UNCATEGORIZED`。
(不適用)	`metadata.product_name`	一律設為「Fireware」。
(不適用)	`metadata.vendor_name`	一律設為「Watchguard」。
(不適用)	`security_result.action`	由剖析器邏輯根據 `disposition` 決定。可以是「ALLOW」或「BLOCK」。
(不適用)	`extensions.auth.type`	如果是使用者登入/登出事件，請設為「AUTHTYPE_UNSPECIFIED」；如果是與 VPN 相關的網路事件，請設為「VPN」。
(不適用)	`network.application_protocol`	由剖析器邏輯根據 `msg_id` 和 `event_name` 決定。可以是「DNS」、「DHCP」、「HTTP」或「HTTPS」。
(不適用)	`network.dns.questions.type`	如果是「A」記錄查詢，請設為 1。
(不適用)	`target.labels.key`	如果 `action` 對應至 `target.labels.value`，請設為「Action over resource」。
(不適用)	`intermediary.labels.key`	`prin_host` 對應至 `intermediary.labels.value` 時，請設為「Firewall Member Name」。
(不適用)	`intermediary.labels.key`	如果 `endpoint` 對應至 `intermediary.labels.value`，請設為「Gateway-Endpoint」。
(不適用)	`principal.labels.key`	如果 `gateway` 對應至 `principal.labels.value`，請設為「Gateway」。
(不適用)	`target.labels.key`	如果 `gateway` 對應至 `target.labels.value`，請設為「Gateway」。
(不適用)	`principal.labels.key`	如果 `status` 對應至 `principal.labels.value`，請設為「state」。
(不適用)	`target.labels.key`	如果 `status` 對應至 `target.labels.value`，請設為「閘道狀態」。
(不適用)	`additional.fields.key`	從原始記錄對應相應值時，請設為「signature_name」、「signature_cat」、「signature_id」或「reputation」。

變更記錄

查看這個剖析器的變更記錄

還有其他問題嗎？向社群成員和 Google SecOps 專家尋求解答。