Google verwendet KI-Technologie, um Inhalte in Ihre bevorzugte Sprache zu übersetzen. KI-Übersetzungen können Fehler enthalten.

Forcepoint NGFW-Logs erfassen

Parserversion:16.0

Unterstützt in:

Google SecOps SIEM

In diesem Dokument wird beschrieben, wie Sie Forcepoint NGFW-Logs mit dem Bindplane-Agent in Google Security Operations aufnehmen.

Hinweis

Prüfen Sie, ob folgende Voraussetzungen erfüllt sind:

Eine Google SecOps-Instanz
Ein Windows 2016- oder höher- oder Linux-Host mit systemd
Wenn Sie den Agent hinter einem Proxy ausführen, müssen die Firewallports gemäß den Anforderungen des Bindplane-Agents geöffnet sein.
Privilegierter Zugriff auf das Forcepoint Security Management Center (SMC)

Authentifizierungsdatei für die Google SecOps-Aufnahme abrufen

Melden Sie sich in der Google SecOps-Konsole an.
Rufen Sie die SIEM-Einstellungen > Collection Agents auf.
Laden Sie die Authentifizierungsdatei für die Aufnahme herunter.
Speichern Sie die Datei sicher auf dem System, auf dem Bindplane installiert wird.

Google SecOps-Kundennummer abrufen

Melden Sie sich in der Google SecOps-Konsole an.
Rufen Sie die SIEM-Einstellungen > Profile auf.
Kopieren und speichern Sie die Kunden-ID aus dem Bereich Organisationsdetails.

BindPlane-Agent installieren

Installieren Sie den Bindplane-Agent auf Ihrem Windows- oder Linux-Betriebssystem gemäß der folgenden Anleitung.

Windows-Installation

Öffnen Sie die Eingabeaufforderung oder PowerShell als Administrator.

Führen Sie dazu diesen Befehl aus:

msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

Linux-Installation

Öffnen Sie ein Terminal mit Root- oder Sudo-Berechtigungen.

Führen Sie dazu diesen Befehl aus:

sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

Zusätzliche Installationsressourcen

Weitere Installationsoptionen finden Sie im Installationsleitfaden für den Bindplane-Agent.

Bindplane-Agenten für die Aufnahme von Syslog-Daten und das Senden an Google SecOps konfigurieren

Rufen Sie die Konfigurationsdatei auf:
- Suchen Sie die Datei config.yaml. Normalerweise befindet sie sich unter Linux im Verzeichnis /etc/bindplane-agent/ oder unter Windows im Installationsverzeichnis.
- Öffnen Sie die Datei mit einem Texteditor (z. B. nano, vi oder Notepad).

Bearbeiten Sie die Datei config.yamlso:

receivers:
  tcplog:
    # Replace the port and IP address as required
    listen_address: "0.0.0.0:514"

exporters:
  chronicle/chronicle_w_labels:
    compression: gzip
    # Adjust the path to the credentials file you downloaded in Step 1
    creds_file_path: '/path/to/ingestion-authentication-file.json'
    # Replace with your actual customer ID from Step 2
    customer_id: YOUR_CUSTOMER_ID
    endpoint: malachiteingestion-pa.googleapis.com
    # Add optional ingestion labels for better organization
    log_type: 'FORCEPOINT_FIREWALL'
    raw_log_field: body
    ingestion_labels:

service:
  pipelines:
    logs/source0__chronicle_w_labels-0:
      receivers:
        - tcplog
      exporters:
        - chronicle/chronicle_w_labels

Ersetzen Sie den Port und die IP-Adresse nach Bedarf in Ihrer Infrastruktur.
Ersetzen Sie YOUR_CUSTOMER_ID durch die tatsächliche Kundennummer.
Aktualisieren Sie /path/to/ingestion-authentication-file.json auf den Dateipfad, in dem die Authentifizierungsdatei in Schritt 1 gespeichert wurde.

Bindplane-Agent neu starten, um die Änderungen zu übernehmen

Führen Sie den folgenden Befehl aus, um den Bindplane-Agent unter Linux neu zu starten:
```
sudo systemctl restart observiq-otel-collector
```
Wenn Sie den Bindplane-Agent unter Windows neu starten möchten, können Sie entweder die Konsole Dienste verwenden oder den folgenden Befehl eingeben:
```
net stop observiq-otel-collector && net start observiq-otel-collector
```

Syslog-Weiterleitung auf Forcepoint NGFW konfigurieren

Melden Sie sich im Forcepoint Security Management Center (SMC) an.
Rufen Sie Konfiguration > Log-Server > Eigenschaften auf.
Rufen Sie den Bereich Log Forwarding (Log-Weiterleitung) auf.
Klicken Sie auf Hinzufügen, um eine neue Weiterleitungsregel zu erstellen.
Geben Sie die folgenden Konfigurationsdetails an:
- Name: Geben Sie einen aussagekräftigen Namen ein, z. B. Google SecOps Bindplane Syslog.
- Host: Geben Sie die IP-Adresse des Bindplane-Agents ein.
- Port: Geben Sie die Portnummer des Bindplane-Agents ein, z. B. 514.
- Protocol (Protokoll): Wählen Sie je nach Ihrer tatsächlichen Bindplane-Agent-Konfiguration TCP oder UDP aus.
- Format: Wählen Sie JSON aus.
Konfigurieren Sie die weiterzuleitenden Protokollfelder:
- Klicken Sie auf Felder auswählen oder rufen Sie die Konfiguration für die Feldauswahl auf.
- Wählen Sie die relevanten Logfelder entsprechend Ihren Anforderungen aus. Die folgenden Felder sind in der Regel für die Sicherheitsanalyse erforderlich:
  - TIMESTAMP (Erstellungszeit)
  - LOG_ID (Daten-ID)
  - EVENT (Ereignis)
  - EVENT_ID (Ereignis-ID)
  - SRC (Quelladresse)
  - DST (Zieladresse)
  - Sport (Quellport)
  - Dport (Zielport)
  - PROTOCOL (Protokoll)
  - SERVICE (Service)
  - RULE_ID (Regel-Tag)
  - ACTION (Aktion)
  - NAT_SRC, NAT_DST, NAT_SPORT, NAT_DPORT (NAT-Felder)
  - ACC_RX_BYTES, ACC_TX_BYTES, ACC_ELAPSED (Buchhaltungsfelder)
  - NODE_ID (Absender)
  - COMP_ID (Komponenten-ID)
  - FACILITY (Einrichtung)
  - INFO_MSG (Informationsmeldung)
  - SITUATION (Situation)
  - APPLICATION (Anwendung)
- Eine vollständige Liste der exportierbaren Felder finden Sie in der Dokumentation Forcepoint NGFW Exportable Firewall and Layer 2 Firewall-Logeintragfelder.
Scrollen Sie nach unten zum Bereich Ereignisse und wählen Sie die relevanten Log-Typen oder Alle aus.
Speichern Sie die Konfiguration.
Wenden Sie die Änderungen auf den Log-Server an.

Hinweis: Für eine optimale Zeitkorrelation zwischen den Systemen wird empfohlen, Ihre Forcepoint NGFW für die Verwendung der UTC-Zeitzone zu konfigurieren. Zeitzoneneinstellungen können in den SMC-Systemeinstellungen oder in Logserverprofilen konfiguriert werden.

UDM-Zuordnungstabelle

Logfeld	UDM-Zuordnung	Logik
`AccElapsed`	`network.session_duration.seconds`	Wird direkt aus `AccElapsed` übernommen, wenn der Wert nicht leer oder 0 ist. In Ganzzahl konvertiert.
`AccRxBytes`	`network.received_bytes`	Direkt aus `AccRxBytes` übernommen. In eine vorzeichenlose Ganzzahl konvertiert.
`AccTxBytes`	`network.sent_bytes`	Direkt aus `AccTxBytes` übernommen. In eine vorzeichenlose Ganzzahl konvertiert.
`Action`	`security_result.action_details`	Direkt aus `Action` übernommen.
`Action`	`security_result.action`	Wenn `Action` „Zulassen“ ist, legen Sie „ALLOW“ fest. Wenn `Action` „Verwerfen“ ist, setze den Wert auf „BLOCK“.
`CompId`	`target.hostname`	Direkt aus `CompId` übernommen.
`Dport`	`target.port`	Direkt aus `Dport` abgeleitet, wenn nicht 0. In Ganzzahl konvertiert.
`Dst`	`target.ip`	Direkt aus `Dst` übernommen.
`Event`	`metadata.product_event_type`	Direkt aus `Event` übernommen.
`Facility`	`metadata.description`	Direkt aus `Facility` übernommen.
`InfoMsg`	`security_result.description`	Direkt aus `InfoMsg` übernommen.
`LogId`	`metadata.product_log_id`	Direkt aus `LogId` übernommen.
`NatDport`	`target.nat_port`	Direkt aus `NatDport` abgeleitet, wenn nicht 0. In Ganzzahl konvertiert.
`NatDst`	`target.nat_ip`	Direkt aus `NatDst` übernommen.
`NatSport`	`principal.nat_port`	Direkt aus `NatSport` abgeleitet, wenn nicht 0. In Ganzzahl konvertiert.
`NatSrc`	`principal.nat_ip`	Direkt aus `NatSrc` übernommen.
`NodeId`	`intermediary.ip`	Direkt aus `NodeId` abgeleitet, wenn sowohl `Src` oder `Dst` als auch `NodeId` vorhanden sind.
`NodeId`	`principal.ip`	Direkt aus `NodeId` abgeleitet, wenn `NodeId` vorhanden ist, `Src` und `Dst` jedoch nicht.
`Protocol`	`network.ip_protocol`	Wird aus `Protocol` abgeleitet, nachdem der Wert in eine Ganzzahl umgewandelt und dann mit einer Suche in den Protokollnamen umgewandelt wurde (z.B. wird aus 6 TCP).
`RuleId`	`security_result.rule_id`	Direkt aus `RuleId` übernommen.
`Service`	`principal.application`	Direkt zugeordnet aus `Service`, wenn nicht „Dest. Nicht erreichbar (Port nicht erreichbar)“.
`Service`	`network.application_protocol`	Wenn `Service` „HTTP“ oder „HTTPS“ ist, wird der Wert auf den Wert von `Service` festgelegt. Wenn `Service` „DNS“ enthält, legen Sie „DNS“ fest.
`Service`	`metadata.event_type`	Wenn `Service` „HTTP“ oder „HTTPS“ ist, legen Sie `metadata.event_type` auf „NETWORK_HTTP“ fest.
`Situation`	`security_result.summary`	Direkt aus `Situation` übernommen.
`Sport`	`principal.port`	Direkt aus `Sport` abgeleitet, wenn nicht 0. In Ganzzahl konvertiert.
`Src`	`principal.ip`	Direkt aus `Src` übernommen.
`Timestamp`	`metadata.event_timestamp`	Direkt aus `Timestamp` zugeordnet, nachdem es als Datum geparst wurde.
`Type`	`security_result.severity_details`	Direkt aus `Type` übernommen.
`Type`	`security_result.severity`	Wenn `Type` „Notification“ ist, legen Sie den Wert auf „LOW“ fest. Wenn `Src` oder `NodeId` und `Dst` oder `CompId` vorhanden sind, legen Sie den Wert auf „NETWORK_CONNECTION“ fest. Wenn nur `principal.ip` vorhanden ist, wird „STATUS_UPDATE“ festgelegt. Setzen Sie den Wert andernfalls auf „GENERIC_EVENT“. Legen Sie diesen Wert auf „FORCEPOINT_FIREWALL“ fest. Legen Sie diesen Wert auf „FORCEPOINT FIREWALL“ fest. Legen Sie diesen Wert auf „FORCEPOINT“ fest.
`rt`	`metadata.event_timestamp`	Direkt aus `rt` zugeordnet, nachdem es als Datum im CEF-Block geparst wurde.
`act`	`security_result.action_details`	Direkt aus `act` im CEF-Block zugeordnet.
`app`	`principal.application`	Direkt aus `app` im CEF-Block zugeordnet.
`deviceFacility`	`metadata.description`	Direkt aus `deviceFacility` im CEF-Block zugeordnet.
`destinationTranslatedAddress`	`target.nat_ip`	Direkt aus `destinationTranslatedAddress` im CEF-Block zugeordnet.
`destinationTranslatedPort`	`target.nat_port`	Direkt aus `destinationTranslatedPort` im CEF-Block zugeordnet.
`dst`	`target.ip`	Direkt aus `dst` im CEF-Block zugeordnet.
`dpt`	`target.port`	Direkt aus `dpt` im CEF-Block zugeordnet.
`dvchost`	`intermediary.ip`	Direkt aus `dvchost` im CEF-Block zugeordnet.
`event_name`	`metadata.product_event_type`	Direkt aus `event_name` im CEF-Block zugeordnet.
`msg`	`security_result.description`	Direkt aus `msg` im CEF-Block zugeordnet.
`proto`	`network.ip_protocol`	Wird aus `proto` abgebildet, nachdem es in eine Ganzzahl konvertiert und dann in einem Lookup verwendet wurde, um die Zahl in den Protokollnamen zu konvertieren (z.B. 6 wird zu TCP) im CEF-Block.
`sourceTranslatedAddress`	`principal.nat_ip`	Direkt aus `sourceTranslatedAddress` im CEF-Block zugeordnet.
`sourceTranslatedPort`	`principal.nat_port`	Direkt aus `sourceTranslatedPort` im CEF-Block zugeordnet.
`spt`	`principal.port`	Direkt aus `spt` im CEF-Block zugeordnet.
`src`	`principal.ip`	Direkt aus `src` im CEF-Block zugeordnet.
`NodeId`	`event.idm.read_only_udm.intermediary.ip`	Aus dem Änderungsprotokoll zugeordnet
`CompId`	`event.idm.read_only_udm.intermediary.hostname`	Aus dem Änderungsprotokoll zugeordnet
`eventid`	`metadata.product_log_id`	Aus dem Änderungsprotokoll zugeordnet

Änderungsprotokoll

Änderungsprotokoll für diesen Parser ansehen

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten