Recopila registros de NGFW de Forcepoint

Versión del analizador: 16.0

Compatible con:

Google SecOps SIEM

En este documento, se explica cómo transferir registros de Forcepoint NGFW a Google Security Operations con el agente de Bindplane.

Antes de comenzar

Asegúrate de cumplir con los siguientes requisitos previos:

• Una instancia de Google SecOps
• Un host de Windows 2016 o posterior, o Linux con systemd
• Si se ejecuta detrás de un proxy, asegúrate de que los puertos del firewall estén abiertos según los requisitos del agente de Bindplane
• Acceso con privilegios al Security Management Center (SMC) de Forcepoint

Obtén credenciales de Google SecOps para el agente de Bindplane

Para autenticar el agente de Bindplane en Google SecOps, elige uno de los siguientes métodos:

• Implementaciones nuevas: Usa la API de Chronicle (opción 1).
• Implementaciones heredadas: Sigue usando el archivo de autenticación de transferencia (opción 2) hasta que se descontinúe la API de Ingestion el 20 de julio de 2027.

Opción 1: Crea una cuenta de servicio para la API de Chronicle (recomendado)

1. Accede a la consola deGoogle Cloud y selecciona el proyecto de Google Cloud que está vinculado a tu instancia de Google SecOps.
2. Ve a IAM y administración > Cuentas de servicio.
3. Haga clic en Crear cuenta de servicio.
4. Proporciona los siguientes detalles de configuración:
   • Nombre de la cuenta de servicio: Ingresa un nombre para la cuenta (por ejemplo, bindplane-ingest).
   • Descripción de la cuenta de servicio: Ingresa una descripción (por ejemplo, Bindplane agent log ingestion).
5. Haz clic en Crear y continuar.
6. En la sección Otorga a esta cuenta de servicio acceso al proyecto, haz clic en Seleccionar un rol y elige Editor de Chronicle.
7. Haz clic en Continuar y, luego, en Listo.
8. Haz clic en la cuenta de servicio que creaste y, luego, ve a la pestaña Claves.
9. Haz clic en Agregar clave > Crear clave nueva.
10. Selecciona JSON y haz clic en Crear. El archivo de claves se descargará en tu computadora.
11. Guarda el archivo de claves como ingestion-auth.json en el directorio del recopilador de Bindplane (/opt/observiq-otel-collector/ingestion-auth.json en Linux o C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json en Windows) o actualiza creds_file_path en config.yaml para que coincida con la ruta de acceso en la que lo guardas.
12. Ve a IAM y administración > Configuración y copia el Número de proyecto. Lo necesitarás para la configuración del exportador.

Nota: La clave JSON es una credencial. Restringe el acceso al archivo en el host de Bindplane y rota la clave según la política de tu organización.

Opción 2: Descarga el archivo de autenticación de transferencia (heredado)

1. Accede a la consola de Google SecOps.
2. Ve a Configuración > Administración de datos > Agentes de recopilación. Si estás en una plataforma solo de SIEM, ve a Configuración > Agentes de recopilación.
3. Descarga el archivo de autenticación de transferencia.
4. Guarda el archivo de forma segura en el sistema en el que se instalará el agente de Bindplane.

Nota: Este archivo autentica el agente en la API de Ingestion heredada (malachiteingestion-pa.googleapis.com), que Google programó para que deje de estar disponible el 20 de julio de 2027. Planifica cambiar a la opción 1 antes de esa fecha.

Obtén el ID de cliente de Google SecOps

1. Accede a la consola de Google SecOps.
2. Ve a Configuración > Administración > Perfil. Si estás en una plataforma solo de SIEM, ve a Configuración > Perfil.
3. Copia y guarda el ID de cliente de la sección Detalles de la organización.

Instala el agente de Bindplane

Instala el agente de Bindplane en tu sistema operativo Windows o Linux según las siguientes instrucciones.

Instalación en Windows

1. Abre el símbolo del sistema o PowerShell como administrador.

2. Ejecuta el comando siguiente:

   msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet
   

Instalación en Linux

1. Abre una terminal con privilegios de raíz o sudo.

2. Ejecuta el comando siguiente:

   sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh
   

Recursos de instalación adicionales

Para obtener más opciones de instalación, consulta la guía de instalación del agente de Bindplane.

Nota: La configuración del exportador de la API de Chronicle requiere la versión 1.106.0 o posterior del recopilador de Bindplane. Los comandos anteriores instalan la versión más reciente. Si actualizas una instalación existente, actualiza el recopilador antes de cambiar la configuración.

Configura el agente de Bindplane para transferir Syslog y enviarlo a Google SecOps

1. Accede al archivo de configuración:

   • Ubica el archivo config.yaml. Por lo general, se encuentra en el directorio /opt/observiq-otel-collector/ en Linux o en el directorio de instalación en Windows.
   • Abre el archivo con un editor de texto (por ejemplo, nano, vi o el Bloc de notas).

2. Edita el archivo config.yaml de la siguiente manera:

   receivers:
     tcplog:
       # Replace the port and IP address as required
       listen_address: "0.0.0.0:514"
   
   exporters:
     chronicle/chronicle_w_labels:
       protocol: https
       # Region of your instance, for example us, europe, asia-southeast1
       location: <LOCATION>
       # Project number of the Google Cloud project linked to the instance
       project: '<PROJECT_NUMBER>'
       compression: gzip
       # Adjust the path to the credentials file you downloaded in Step 1
       creds_file_path: '/path/to/ingestion-authentication-file.json'
       # Replace with your actual customer ID from Step 2
       customer_id: YOUR_CUSTOMER_ID
       endpoint: chronicle.googleapis.com
       # Add optional ingestion labels for better organization
       log_type: 'FORCEPOINT_FIREWALL'
       raw_log_field: body
       ingestion_labels:
   
   service:
     pipelines:
       logs/source0__chronicle_w_labels-0:
         receivers:
           - tcplog
         exporters:
           - chronicle/chronicle_w_labels
   

   • Reemplaza el puerto y la dirección IP según sea necesario en tu infraestructura.
   • Reemplaza <LOCATION> por la región de tu instancia de Google SecOps (por ejemplo, us, europe o asia-southeast1). El exportador antepone chronicle.googleapis.com con este valor.
   • Reemplaza <PROJECT_NUMBER> por el número de proyecto de IAM y administración > Configuración.
   • Reemplaza YOUR_CUSTOMER_ID por el ID de cliente real.
   • Actualiza /path/to/ingestion-authentication-file.json a la ruta de acceso del archivo en la que se guardó el archivo de claves de la cuenta de servicio (opción 1) en el paso 1.
   Nota: Puedes usar udplog en lugar de tcplog si tu entorno requiere transporte UDP. Ajusta el nombre del receptor según corresponda en las secciones receivers y service.pipelines.

Exportador de la API de transferencia heredada

• Si usas el archivo de autenticación de transferencia de la opción 2, reemplaza el bloque exporters por lo siguiente. Establece creds_file_path en la ruta de acceso al archivo de autenticación de transferencia y, si tu instancia está fuera de EE.UU., reemplaza malachiteingestion-pa.googleapis.com por tu extremo regional (por ejemplo, europe-malachiteingestion-pa.googleapis.com).

  exporters:
    chronicle/chronicle_w_labels:
      compression: gzip
      # Adjust the path to the credentials file you downloaded in Step 1
      creds_file_path: '/path/to/ingestion-authentication-file.json'
      # Replace with your actual customer ID from Step 2
      customer_id: YOUR_CUSTOMER_ID
      endpoint: malachiteingestion-pa.googleapis.com
      # Add optional ingestion labels for better organization
      log_type: 'FORCEPOINT_FIREWALL'
      raw_log_field: body
      ingestion_labels:
  

Nota: Este exportador dejará de funcionar cuando se descontinúe la API de Ingestion el 20 de julio de 2027.

Reinicia el agente de Bindplane para aplicar los cambios.

1. Para reiniciar el agente de Bindplane en Linux, ejecuta el siguiente comando:

   sudo systemctl restart observiq-otel-collector
   

2. Para reiniciar el agente de Bindplane en Windows, puedes usar la consola de Servicios o ingresar el siguiente comando:

   net stop observiq-otel-collector && net start observiq-otel-collector
   

Configura el reenvío de Syslog en NGFW de Forcepoint

1. Accede al centro de administración de seguridad (SMC) de Forcepoint.
2. Ve a Configuration > Log Server > Properties.
3. Navega a la sección Reenvío de registros.
4. Haz clic en Agregar para crear una regla de reenvío nueva.
5. Proporciona los siguientes detalles de configuración:
   • Nombre: Ingresa un nombre descriptivo (por ejemplo, Google SecOps Bindplane Syslog).
   • Host: Ingresa la dirección IP del agente de Bindplane.
   • Puerto: Ingresa el número de puerto del agente de Bindplane (por ejemplo, 514).
   • Protocolo: Selecciona TCP o UDP, según la configuración real del agente de Bindplane.
   • Formato: Selecciona JSON.
6. Configura los campos de registro que se reenviarán:
   • Haz clic en Elegir campos o accede a la configuración de selección de campos.
   • Selecciona los campos de registro pertinentes según tus requisitos. Por lo general, se requieren los siguientes campos para el análisis de seguridad:
     • TIMESTAMP (Hora de creación)
     • LOG_ID (identificador de datos)
     • EVENT (evento)
     • EVENT_ID (ID del evento)
     • SRC (dirección de origen)
     • DST (dirección de destino)
     • Sport (puerto de origen)
     • Dport (puerto de destino)
     • PROTOCOL (Protocolo)
     • SERVICE (servicio)
     • RULE_ID (etiqueta de regla)
     • ACTION (acción)
     • NAT_SRC, NAT_DST, NAT_SPORT, NAT_DPORT (campos de NAT)
     • ACC_RX_BYTES, ACC_TX_BYTES, ACC_ELAPSED (campos de contabilidad)
     • NODE_ID (remitente)
     • COMP_ID (ID del componente)
     • FACILITY (instalación)
     • INFO_MSG (Mensaje de información)
     • SITUATION (situación)
     • APPLICATION (Aplicación)
   • Para obtener una lista completa de los campos exportables, consulta la documentación de los campos de entrada de registro de firewall exportable y firewall de capa 2 de Forcepoint NGFW.
7. Desplázate hacia abajo hasta la sección Eventos y selecciona los tipos de registro pertinentes o todos.
8. Guarde la configuración.

9. Aplica los cambios al servidor de registros.

   Nota: Para obtener una correlación de tiempo óptima entre los sistemas, se recomienda configurar el NGFW de Forcepoint para que use la zona horaria UTC. La configuración de la zona horaria se puede establecer en la configuración del sistema de SMC o en los perfiles del servidor de registros.

Tabla de asignación de UDM

Campo de registro	Asignación de UDM	Lógica
AccElapsed	network.session_duration.seconds	Se asigna directamente desde AccElapsed si no está vacío o es 0. Se convierte en un número entero.
AccRxBytes	network.received_bytes	Se asigna directamente desde AccRxBytes. Se convirtió en un número entero sin firma.
AccTxBytes	network.sent_bytes	Se asigna directamente desde AccTxBytes. Se convirtió en un número entero sin firma.
Action	security_result.action_details	Se asigna directamente desde Action.
Action	security_result.action	Si Action es "Permitir", configúralo como "ALLOW". Si Action es "Descartar", configúralo como "BLOQUEAR".
CompId	target.hostname	Se asigna directamente desde CompId.
Dport	target.port	Se asigna directamente desde Dport si no es 0. Se convierte en un número entero.
Dst	target.ip	Se asigna directamente desde Dst.
Event	metadata.product_event_type	Se asigna directamente desde Event.
Facility	metadata.description	Se asigna directamente desde Facility.
InfoMsg	security_result.description	Se asigna directamente desde InfoMsg.
LogId	metadata.product_log_id	Se asigna directamente desde LogId.
NatDport	target.nat_port	Se asigna directamente desde NatDport si no es 0. Se convierte en un número entero.
NatDst	target.nat_ip	Se asigna directamente desde NatDst.
NatSport	principal.nat_port	Se asigna directamente desde NatSport si no es 0. Se convierte en un número entero.
NatSrc	principal.nat_ip	Se asigna directamente desde NatSrc.
NodeId	intermediary.ip	Se asigna directamente desde NodeId si están presentes Src o Dst y NodeId.
NodeId	principal.ip	Se asigna directamente desde NodeId si NodeId está presente, pero Src y Dst no.
Protocol	network.ip_protocol	Se asigna desde Protocol después de convertirlo en un número entero y, luego, usar una búsqueda para convertir el número en el nombre del protocolo (p.ej., 6 se convierte en TCP).
RuleId	security_result.rule_id	Se asigna directamente desde RuleId.
Service	principal.application	Se asigna directamente desde Service si no es "Dest. Unreachable (Port Unreachable)".
Service	network.application_protocol	Si Service es "HTTP" o "HTTPS", se establece en el valor de Service. Si Service contiene "DNS", se establece en "DNS".
Service	metadata.event_type	Si Service es "HTTP" o "HTTPS", establece metadata.event_type en "NETWORK_HTTP".
Situation	security_result.summary	Se asigna directamente desde Situation.
Sport	principal.port	Se asigna directamente desde Sport si no es 0. Se convierte en un número entero.
Src	principal.ip	Se asigna directamente desde Src.
Timestamp	metadata.event_timestamp	Se asigna directamente desde Timestamp después de analizarlo como una fecha.
Type	security_result.severity_details	Se asigna directamente desde Type.
Type	security_result.severity	Si Type es "Notification", configúralo como "LOW". Si Src o NodeId y Dst o CompId están presentes, establece el valor en "NETWORK_CONNECTION". Si solo está presente principal.ip, se establece en "STATUS_UPDATE". De lo contrario, se establece en "GENERIC_EVENT". Establece el valor en "FORCEPOINT_FIREWALL". Establécelo en "FORCEPOINT FIREWALL". Establece el valor en "FORCEPOINT".
rt	metadata.event_timestamp	Se asigna directamente desde rt después de analizarlo como una fecha en el bloque de CEF.
act	security_result.action_details	Se asigna directamente desde act en el bloque CEF.
app	principal.application	Se asigna directamente desde app en el bloque CEF.
deviceFacility	metadata.description	Se asigna directamente desde deviceFacility en el bloque CEF.
destinationTranslatedAddress	target.nat_ip	Se asigna directamente desde destinationTranslatedAddress en el bloque CEF.
destinationTranslatedPort	target.nat_port	Se asigna directamente desde destinationTranslatedPort en el bloque CEF.
dst	target.ip	Se asigna directamente desde dst en el bloque CEF.
dpt	target.port	Se asigna directamente desde dpt en el bloque CEF.
dvchost	intermediary.ip	Se asigna directamente desde dvchost en el bloque CEF.
event_name	metadata.product_event_type	Se asigna directamente desde event_name en el bloque CEF.
msg	security_result.description	Se asigna directamente desde msg en el bloque CEF.
proto	network.ip_protocol	Se asigna desde proto después de convertirlo en un número entero y, luego, usar una búsqueda para convertir el número en el nombre del protocolo (p.ej., 6 se convierte en TCP) en el bloque CEF.
sourceTranslatedAddress	principal.nat_ip	Se asigna directamente desde sourceTranslatedAddress en el bloque CEF.
sourceTranslatedPort	principal.nat_port	Se asigna directamente desde sourceTranslatedPort en el bloque CEF.
spt	principal.port	Se asigna directamente desde spt en el bloque CEF.
src	principal.ip	Se asigna directamente desde src en el bloque CEF.
NodeId	event.idm.read_only_udm.intermediary.ip	Asignado desde el registro de cambios
CompId	event.idm.read_only_udm.intermediary.hostname	Asignado desde el registro de cambios
eventid	metadata.product_log_id	Asignado desde el registro de cambios

Registro de cambios

Consulta el registro de cambios de este analizador

¿Necesitas más ayuda? Obtén respuestas de miembros de la comunidad y profesionales de Google SecOps.