Kami telah mengatur ulang struktur navigasi dokumentasi agar selaras langsung dengan alur kerja operasional Anda. Lihat catatan rilis dan video panduan untuk mengetahui informasi selengkapnya.

Google menggunakan teknologi AI untuk menerjemahkan konten ke dalam bahasa pilihan Anda. Terjemahan AI mungkin mengandung kesalahan.

Mengumpulkan log Forcepoint NGFW

Versi Parser: 16.0

Didukung di:

Google SecOps SIEM

Dokumen ini menjelaskan cara menyerap log Forcepoint NGFW ke Google Security Operations menggunakan agen Bindplane.

Sebelum memulai

Pastikan Anda memiliki prasyarat berikut:

Instance Google SecOps
Host Windows 2016 atau yang lebih baru atau Linux dengan systemd
Jika beroperasi dari balik proxy, pastikan port firewall terbuka sesuai dengan persyaratan agen Bindplane
Akses istimewa ke Forcepoint Security Management Center (SMC)

Mendapatkan file autentikasi penyerapan Google SecOps

Login ke konsol Google SecOps.
Buka Setelan SIEM > Agen Pengumpulan.
Download File Autentikasi Penyerapan.
Simpan file dengan aman di sistem tempat BindPlane akan diinstal.

Mendapatkan ID pelanggan Google SecOps

Login ke konsol Google SecOps.
Buka Setelan SIEM > Profil.
Salin dan simpan ID Pelanggan dari bagian Detail Organisasi.

Menginstal agen Bindplane

Instal agen Bindplane di sistem operasi Windows atau Linux Anda sesuai dengan petunjuk berikut.

Penginstalan Windows

Buka Command Prompt atau PowerShell sebagai administrator.

Jalankan perintah berikut:

msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

Penginstalan Linux

Buka terminal dengan hak istimewa root atau sudo.

Jalankan perintah berikut:

sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

Referensi penginstalan tambahan

Untuk opsi penginstalan tambahan, lihat Panduan penginstalan agen BindPlane.

Mengonfigurasi agen Bindplane untuk menyerap Syslog dan mengirimkannya ke Google SecOps

Akses file konfigurasi:
- Cari file config.yaml. Biasanya, file ini berada di direktori /etc/bindplane-agent/ di Linux atau di direktori penginstalan di Windows.
- Buka file menggunakan editor teks (misalnya, nano, vi, atau Notepad).

Edit file config.yaml sebagai berikut:

receivers:
  tcplog:
    # Replace the port and IP address as required
    listen_address: "0.0.0.0:514"

exporters:
  chronicle/chronicle_w_labels:
    compression: gzip
    # Adjust the path to the credentials file you downloaded in Step 1
    creds_file_path: '/path/to/ingestion-authentication-file.json'
    # Replace with your actual customer ID from Step 2
    customer_id: YOUR_CUSTOMER_ID
    endpoint: malachiteingestion-pa.googleapis.com
    # Add optional ingestion labels for better organization
    log_type: 'FORCEPOINT_FIREWALL'
    raw_log_field: body
    ingestion_labels:

service:
  pipelines:
    logs/source0__chronicle_w_labels-0:
      receivers:
        - tcplog
      exporters:
        - chronicle/chronicle_w_labels

Ganti port dan alamat IP sesuai kebutuhan di infrastruktur Anda.
Ganti YOUR_CUSTOMER_ID dengan ID Pelanggan yang sebenarnya.
Ganti /path/to/ingestion-authentication-file.json dengan jalur file tempat file autentikasi disimpan di Langkah 1.

Mulai ulang agen Bindplane untuk menerapkan perubahan

Untuk memulai ulang agen Bindplane di Linux, jalankan perintah berikut:
```
sudo systemctl restart observiq-otel-collector
```
Untuk memulai ulang agen Bindplane di Windows, Anda dapat menggunakan konsol Services atau memasukkan perintah berikut:
```
net stop observiq-otel-collector && net start observiq-otel-collector
```

Mengonfigurasi penerusan Syslog di Forcepoint NGFW

Login ke Forcepoint Security Management Center (SMC).
Buka Configuration > Log Server > Properties.
Buka bagian Penerusan Log.
Klik Tambahkan untuk membuat aturan penerusan baru.
Berikan detail konfigurasi berikut:
- Name: Masukkan nama deskriptif (misalnya, Google SecOps Bindplane Syslog).
- Host: Masukkan alamat IP agen Bindplane.
- Port: Masukkan nomor port agen Bindplane (misalnya, 514).
- Protocol: Pilih TCP atau UDP, bergantung pada konfigurasi agen Bindplane Anda yang sebenarnya.
- Format: Pilih JSON.
Konfigurasi kolom log yang akan diteruskan:
- Klik Pilih Kolom atau akses konfigurasi pemilihan kolom.
- Pilih kolom log yang relevan sesuai dengan kebutuhan Anda. Kolom berikut biasanya diperlukan untuk analisis keamanan:
  - TIMESTAMP (Waktu Pembuatan)
  - LOG_ID (ID Data)
  - EVENT (Acara)
  - EVENT_ID (ID Acara)
  - SRC (Alamat Sumber)
  - DST (Alamat Tujuan)
  - Sport (Port Sumber)
  - Dport (Port Tujuan)
  - PROTOCOL (Protokol)
  - SERVICE (Layanan)
  - RULE_ID (Tag Aturan)
  - ACTION (Tindakan)
  - NAT_SRC, NAT_DST, NAT_SPORT, NAT_DPORT (kolom NAT)
  - ACC_RX_BYTES, ACC_TX_BYTES, ACC_ELAPSED (Kolom akuntansi)
  - NODE_ID (Pengirim)
  - COMP_ID (ID Komponen)
  - FACILITY (Fasilitas)
  - INFO_MSG (Pesan Informasi)
  - SITUATION (Situasi)
  - APPLICATION (Aplikasi)
- Untuk mengetahui daftar lengkap kolom yang dapat diekspor, lihat dokumentasi Kolom entri log Firewall yang dapat diekspor dan Firewall Layer 2 Forcepoint NGFW.
Scroll ke bawah ke bagian Peristiwa, lalu pilih jenis log yang relevan atau semua.
Simpan konfigurasi.
Terapkan perubahan pada Server Log.

Catatan: Untuk korelasi waktu yang optimal di seluruh sistem, sebaiknya konfigurasi Forcepoint NGFW Anda untuk menggunakan zona waktu UTC. Setelan zona waktu dapat dikonfigurasi di setelan sistem SMC atau profil server log.

Tabel pemetaan UDM

Kolom Log	Pemetaan UDM	Logika
`AccElapsed`	`network.session_duration.seconds`	Dipetakan langsung dari `AccElapsed` jika tidak kosong atau 0. Dikonversi menjadi bilangan bulat.
`AccRxBytes`	`network.received_bytes`	Dipetakan langsung dari `AccRxBytes`. Dikonversi menjadi bilangan bulat yang tidak bertanda tangan.
`AccTxBytes`	`network.sent_bytes`	Dipetakan langsung dari `AccTxBytes`. Dikonversi menjadi bilangan bulat yang tidak bertanda tangan.
`Action`	`security_result.action_details`	Dipetakan langsung dari `Action`.
`Action`	`security_result.action`	Jika `Action` adalah "Izinkan", tetapkan ke "IZINKAN". Jika `Action` adalah "Hapus", tetapkan ke "BLOKIR".
`CompId`	`target.hostname`	Dipetakan langsung dari `CompId`.
`Dport`	`target.port`	Dipetakan langsung dari `Dport` jika bukan 0. Dikonversi menjadi bilangan bulat.
`Dst`	`target.ip`	Dipetakan langsung dari `Dst`.
`Event`	`metadata.product_event_type`	Dipetakan langsung dari `Event`.
`Facility`	`metadata.description`	Dipetakan langsung dari `Facility`.
`InfoMsg`	`security_result.description`	Dipetakan langsung dari `InfoMsg`.
`LogId`	`metadata.product_log_id`	Dipetakan langsung dari `LogId`.
`NatDport`	`target.nat_port`	Dipetakan langsung dari `NatDport` jika bukan 0. Dikonversi menjadi bilangan bulat.
`NatDst`	`target.nat_ip`	Dipetakan langsung dari `NatDst`.
`NatSport`	`principal.nat_port`	Dipetakan langsung dari `NatSport` jika bukan 0. Dikonversi menjadi bilangan bulat.
`NatSrc`	`principal.nat_ip`	Dipetakan langsung dari `NatSrc`.
`NodeId`	`intermediary.ip`	Dipetakan langsung dari `NodeId` jika `Src` atau `Dst` dan `NodeId` ada.
`NodeId`	`principal.ip`	Dipetakan langsung dari `NodeId` jika `NodeId` ada, tetapi `Src` dan `Dst` tidak ada.
`Protocol`	`network.ip_protocol`	Dipetakan dari `Protocol` setelah mengonversinya menjadi bilangan bulat, lalu menggunakan pencarian untuk mengonversi angka menjadi nama protokol (misalnya, 6 menjadi TCP).
`RuleId`	`security_result.rule_id`	Dipetakan langsung dari `RuleId`.
`Service`	`principal.application`	Dipetakan langsung dari `Service` jika bukan "Dest. Tidak dapat dijangkau (Port Unreachable)".
`Service`	`network.application_protocol`	Jika `Service` adalah "HTTP" atau "HTTPS", tetapkan ke nilai `Service`. Jika `Service` berisi "DNS", tetapkan ke "DNS".
`Service`	`metadata.event_type`	Jika `Service` adalah "HTTP" atau "HTTPS", tetapkan `metadata.event_type` ke "NETWORK_HTTP".
`Situation`	`security_result.summary`	Dipetakan langsung dari `Situation`.
`Sport`	`principal.port`	Dipetakan langsung dari `Sport` jika bukan 0. Dikonversi menjadi bilangan bulat.
`Src`	`principal.ip`	Dipetakan langsung dari `Src`.
`Timestamp`	`metadata.event_timestamp`	Dipetakan langsung dari `Timestamp` setelah menguraikannya sebagai tanggal.
`Type`	`security_result.severity_details`	Dipetakan langsung dari `Type`.
`Type`	`security_result.severity`	Jika `Type` adalah "Notification", tetapkan ke "LOW". Jika `Src` atau `NodeId` dan `Dst` atau `CompId` ada, tetapkan ke "NETWORK_CONNECTION". Jika hanya `principal.ip` yang ada, tetapkan ke "STATUS_UPDATE". Jika tidak, tetapkan ke "GENERIC_EVENT". Tetapkan ke "FORCEPOINT_FIREWALL". Tetapkan ke "FORCEPOINT FIREWALL". Setel ke "FORCEPOINT".
`rt`	`metadata.event_timestamp`	Dipetakan langsung dari `rt` setelah diuraikan sebagai tanggal di blok CEF.
`act`	`security_result.action_details`	Dipetakan langsung dari `act` dalam blok CEF.
`app`	`principal.application`	Dipetakan langsung dari `app` dalam blok CEF.
`deviceFacility`	`metadata.description`	Dipetakan langsung dari `deviceFacility` dalam blok CEF.
`destinationTranslatedAddress`	`target.nat_ip`	Dipetakan langsung dari `destinationTranslatedAddress` dalam blok CEF.
`destinationTranslatedPort`	`target.nat_port`	Dipetakan langsung dari `destinationTranslatedPort` dalam blok CEF.
`dst`	`target.ip`	Dipetakan langsung dari `dst` dalam blok CEF.
`dpt`	`target.port`	Dipetakan langsung dari `dpt` dalam blok CEF.
`dvchost`	`intermediary.ip`	Dipetakan langsung dari `dvchost` dalam blok CEF.
`event_name`	`metadata.product_event_type`	Dipetakan langsung dari `event_name` dalam blok CEF.
`msg`	`security_result.description`	Dipetakan langsung dari `msg` dalam blok CEF.
`proto`	`network.ip_protocol`	Dipetakan dari `proto` setelah mengonversinya menjadi bilangan bulat, lalu menggunakan pencarian untuk mengonversi angka menjadi nama protokol (misalnya, 6 menjadi TCP) dalam blok CEF.
`sourceTranslatedAddress`	`principal.nat_ip`	Dipetakan langsung dari `sourceTranslatedAddress` dalam blok CEF.
`sourceTranslatedPort`	`principal.nat_port`	Dipetakan langsung dari `sourceTranslatedPort` dalam blok CEF.
`spt`	`principal.port`	Dipetakan langsung dari `spt` dalam blok CEF.
`src`	`principal.ip`	Dipetakan langsung dari `src` dalam blok CEF.
`NodeId`	`event.idm.read_only_udm.intermediary.ip`	Dipetakan dari log perubahan
`CompId`	`event.idm.read_only_udm.intermediary.hostname`	Dipetakan dari log perubahan
`eventid`	`metadata.product_log_id`	Dipetakan dari log perubahan

Log Perubahan

Melihat Log Perubahan untuk parser ini

Perlu bantuan lain? Dapatkan jawaban dari anggota Komunitas dan profesional Google SecOps.