Mengumpulkan log Forcepoint NGFW

Versi Parser: 16.0

Didukung di:

Google SecOps SIEM

Dokumen ini menjelaskan cara menyerap log Forcepoint NGFW ke Google Security Operations menggunakan agen Bindplane.

Sebelum memulai

Pastikan Anda memiliki prasyarat berikut:

• Instance Google SecOps
• Host Windows 2016 atau yang lebih baru atau Linux dengan systemd
• Jika beroperasi dari balik proxy, pastikan port firewall terbuka sesuai dengan persyaratan agen Bindplane
• Akses istimewa ke Forcepoint Security Management Center (SMC)

Mendapatkan kredensial Google SecOps untuk agen Bindplane

Untuk mengautentikasi agen Bindplane ke Google SecOps, pilih salah satu metode berikut:

• Deployment baru: Gunakan Chronicle API (Opsi 1).
• Deployment lama: Terus gunakan file autentikasi penyerapan (Opsi 2) hingga Ingestion API dihentikan pada 20 Juli 2027.

Opsi 1: Membuat akun layanan untuk Chronicle API (direkomendasikan)

1. Login ke konsolGoogle Cloud dan pilih project Google Cloud yang ditautkan ke instance Google SecOps Anda.
2. Buka IAM & Admin > Service Accounts.
3. Klik Create service account.
4. Berikan detail konfigurasi berikut:
   • Service account name: Masukkan nama akun (misalnya, bindplane-ingest).
   • Deskripsi akun layanan: Masukkan deskripsi (misalnya, Bindplane agent log ingestion).
5. Klik Create and continue.
6. Di bagian Grant this service account access to project, klik Select a role, lalu pilih Chronicle Editor.
7. Klik Continue lalu klik Done.
8. Klik akun layanan yang Anda buat, lalu buka tab Keys.
9. Klik Add key > Create new key.
10. Pilih JSON, lalu klik Create. File kunci akan didownload ke komputer Anda.
11. Simpan file kunci sebagai ingestion-auth.json di direktori Bindplane collector (/opt/observiq-otel-collector/ingestion-auth.json di Linux atau C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json di Windows), atau perbarui creds_file_path di config.yaml agar sesuai dengan jalur tempat Anda menyimpannya.
12. Buka IAM & Admin > Settings dan salin Project number. Anda akan memerlukannya untuk konfigurasi pengekspor.

Catatan: Kunci JSON adalah kredensial. Batasi akses ke file di host Bindplane dan ganti kunci sesuai dengan kebijakan organisasi Anda.

Opsi 2: Mendownload file autentikasi penyerapan (lama)

1. Login ke konsol Google SecOps.
2. Buka Setelan SIEM > Agen Pengumpulan.
3. Download file autentikasi penyerapan.
4. Simpan file dengan aman di sistem tempat agen Bindplane akan diinstal.

Catatan: File ini mengautentikasi agen ke Ingestion API lama (malachiteingestion-pa.googleapis.com), yang dijadwalkan Google untuk dihentikan pada 20 Juli 2027. Rencanakan untuk beralih ke Opsi 1 sebelum tanggal tersebut.

Mendapatkan ID pelanggan Google SecOps

1. Login ke konsol Google SecOps.
2. Buka SIEM Settings > Profile.
3. Salin dan simpan ID Pelanggan dari bagian Detail Organisasi.

Menginstal agen Bindplane

Instal agen Bindplane di sistem operasi Windows atau Linux Anda sesuai dengan petunjuk berikut.

Penginstalan Windows

1. Buka Command Prompt atau PowerShell sebagai administrator.

2. Jalankan perintah berikut:

   msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet
   

Penginstalan Linux

1. Buka terminal dengan hak istimewa root atau sudo.

2. Jalankan perintah berikut:

   sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh
   

Referensi penginstalan tambahan

Untuk opsi penginstalan tambahan, lihat Panduan penginstalan agen Bindplane.

Catatan: Konfigurasi pengekspor Chronicle API memerlukan pengumpul Bindplane v1.106.0 atau yang lebih baru. Perintah sebelumnya akan menginstal rilis terbaru. Jika Anda mengupdate penginstalan yang ada, upgrade pengumpul sebelum mengubah konfigurasi.

Mengonfigurasi agen Bindplane untuk menyerap Syslog dan mengirimkannya ke Google SecOps

1. Akses file konfigurasi:

   • Cari file config.yaml. Biasanya, file ini berada di direktori /opt/observiq-otel-collector/ di Linux atau di direktori penginstalan di Windows.
   • Buka file menggunakan editor teks (misalnya, nano, vi, atau Notepad).

2. Edit file config.yaml sebagai berikut:

   receivers:
     tcplog:
       # Replace the port and IP address as required
       listen_address: "0.0.0.0:514"
   
   exporters:
     chronicle/chronicle_w_labels:
       protocol: https
       # Region of your instance, for example us, europe, asia-southeast1
       location: <LOCATION>
       # Project number of the Google Cloud project linked to the instance
       project: '<PROJECT_NUMBER>'
       compression: gzip
       # Adjust the path to the credentials file you downloaded in Step 1
       creds_file_path: '/path/to/ingestion-authentication-file.json'
       # Replace with your actual customer ID from Step 2
       customer_id: YOUR_CUSTOMER_ID
       endpoint: chronicle.googleapis.com
       # Add optional ingestion labels for better organization
       log_type: 'FORCEPOINT_FIREWALL'
       raw_log_field: body
       ingestion_labels:
   
   service:
     pipelines:
       logs/source0__chronicle_w_labels-0:
         receivers:
           - tcplog
         exporters:
           - chronicle/chronicle_w_labels
   

   • Ganti port dan alamat IP sesuai kebutuhan di infrastruktur Anda.
   • Ganti <LOCATION> dengan region instance Google SecOps Anda (misalnya, us, europe, atau asia-southeast1). Pengekspor akan mengawali chronicle.googleapis.com dengan nilai ini.
   • Ganti <PROJECT_NUMBER> dengan nomor project dari IAM & Admin > Settings.
   • Ganti YOUR_CUSTOMER_ID dengan ID Pelanggan yang sebenarnya.
   • Ganti /path/to/ingestion-authentication-file.json dengan jalur file tempat file kunci akun layanan (Opsi 1) disimpan di Langkah 1.
   Catatan: Anda dapat menggunakan udplog, bukan tcplog, jika lingkungan Anda memerlukan transportasi UDP. Sesuaikan nama penerima di bagian receivers dan service.pipelines.

Pengekspor API penyerapan lama

• Jika Anda menggunakan file autentikasi penyerapan dari Opsi 2, ganti blok exporters dengan kode berikut. Tetapkan creds_file_path ke jalur file autentikasi penyerapan, dan jika instance Anda berada di luar Amerika Serikat, ganti malachiteingestion-pa.googleapis.com dengan endpoint regional Anda (misalnya, europe-malachiteingestion-pa.googleapis.com).

  exporters:
    chronicle/chronicle_w_labels:
      compression: gzip
      # Adjust the path to the credentials file you downloaded in Step 1
      creds_file_path: '/path/to/ingestion-authentication-file.json'
      # Replace with your actual customer ID from Step 2
      customer_id: YOUR_CUSTOMER_ID
      endpoint: malachiteingestion-pa.googleapis.com
      # Add optional ingestion labels for better organization
      log_type: 'FORCEPOINT_FIREWALL'
      raw_log_field: body
      ingestion_labels:
  

Catatan: Pengekspor ini akan berhenti berfungsi saat Ingestion API dihentikan pada 20 Juli 2027.

Mulai ulang agen Bindplane untuk menerapkan perubahan

1. Untuk memulai ulang agen Bindplane di Linux, jalankan perintah berikut:

   sudo systemctl restart observiq-otel-collector
   

2. Untuk memulai ulang agen Bindplane di Windows, Anda dapat menggunakan konsol Services atau memasukkan perintah berikut:

   net stop observiq-otel-collector && net start observiq-otel-collector
   

Mengonfigurasi penerusan Syslog di Forcepoint NGFW

1. Login ke Forcepoint Security Management Center (SMC).
2. Buka Configuration > Log Server > Properties.
3. Buka bagian Log Forwarding.
4. Klik Add untuk membuat aturan penerusan baru.
5. Berikan detail konfigurasi berikut:
   • Name: Masukkan nama deskriptif (misalnya, Google SecOps Bindplane Syslog).
   • Host: Masukkan alamat IP agen Bindplane.
   • Port: Masukkan nomor port agen Bindplane (misalnya, 514).
   • Protocol: Pilih TCP atau UDP, bergantung pada konfigurasi agen Bindplane Anda yang sebenarnya.
   • Format: Pilih JSON.
6. Konfigurasi kolom log yang akan diteruskan:
   • Klik Pilih Kolom atau akses konfigurasi pemilihan kolom.
   • Pilih kolom log yang relevan sesuai dengan kebutuhan Anda. Kolom berikut biasanya diperlukan untuk analisis keamanan:
     • TIMESTAMP (Waktu Pembuatan)
     • LOG_ID (ID Data)
     • EVENT (Acara)
     • EVENT_ID (ID Acara)
     • SRC (Alamat Sumber)
     • DST (Alamat Tujuan)
     • Sport (Port Sumber)
     • Dport (Port Tujuan)
     • PROTOCOL (Protokol)
     • SERVICE (Layanan)
     • RULE_ID (Tag Aturan)
     • ACTION (Action)
     • NAT_SRC, NAT_DST, NAT_SPORT, NAT_DPORT (kolom NAT)
     • ACC_RX_BYTES, ACC_TX_BYTES, ACC_ELAPSED (Kolom akuntansi)
     • NODE_ID (Pengirim)
     • COMP_ID (ID Komponen)
     • FACILITY (Fasilitas)
     • INFO_MSG (Pesan Informasi)
     • SITUATION (Situasi)
     • APPLICATION (Aplikasi)
   • Untuk mengetahui daftar lengkap kolom yang dapat diekspor, lihat dokumentasi Kolom entri log Firewall yang dapat diekspor dan Firewall Layer 2 Forcepoint NGFW.
7. Scroll ke bawah ke bagian Peristiwa, lalu pilih jenis log yang relevan atau semua.
8. Simpan konfigurasi.

9. Terapkan perubahan pada Server Log.

   Catatan: Untuk korelasi waktu yang optimal di seluruh sistem, sebaiknya konfigurasikan Forcepoint NGFW Anda untuk menggunakan zona waktu UTC. Setelan zona waktu dapat dikonfigurasi di setelan sistem SMC atau profil server log.

Tabel pemetaan UDM

Kolom Log	Pemetaan UDM	Logika
AccElapsed	network.session_duration.seconds	Dipetakan langsung dari AccElapsed jika tidak kosong atau 0. Dikonversi menjadi bilangan bulat.
AccRxBytes	network.received_bytes	Dipetakan langsung dari AccRxBytes. Dikonversi ke bilangan bulat yang tidak bertanda tangan.
AccTxBytes	network.sent_bytes	Dipetakan langsung dari AccTxBytes. Dikonversi ke bilangan bulat yang tidak bertanda tangan.
Action	security_result.action_details	Dipetakan langsung dari Action.
Action	security_result.action	Jika Action adalah "Allow", tetapkan ke "ALLOW". Jika Action adalah "Hapus", tetapkan ke "BLOKIR".
CompId	target.hostname	Dipetakan langsung dari CompId.
Dport	target.port	Dipetakan langsung dari Dport jika bukan 0. Dikonversi ke bilangan bulat.
Dst	target.ip	Dipetakan langsung dari Dst.
Event	metadata.product_event_type	Dipetakan langsung dari Event.
Facility	metadata.description	Dipetakan langsung dari Facility.
InfoMsg	security_result.description	Dipetakan langsung dari InfoMsg.
LogId	metadata.product_log_id	Dipetakan langsung dari LogId.
NatDport	target.nat_port	Dipetakan langsung dari NatDport jika bukan 0. Dikonversi menjadi bilangan bulat.
NatDst	target.nat_ip	Dipetakan langsung dari NatDst.
NatSport	principal.nat_port	Dipetakan langsung dari NatSport jika bukan 0. Dikonversi ke bilangan bulat.
NatSrc	principal.nat_ip	Dipetakan langsung dari NatSrc.
NodeId	intermediary.ip	Dipetakan langsung dari NodeId jika Src atau Dst dan NodeId ada.
NodeId	principal.ip	Dipetakan langsung dari NodeId jika NodeId ada, tetapi Src dan Dst tidak ada.
Protocol	network.ip_protocol	Dipetakan dari Protocol setelah mengonversinya menjadi bilangan bulat, lalu menggunakan pencarian untuk mengonversi angka menjadi nama protokol (misalnya, 6 menjadi TCP).
RuleId	security_result.rule_id	Dipetakan langsung dari RuleId.
Service	principal.application	Dipetakan langsung dari Service jika bukan "Dest. Tidak dapat dijangkau (Port Unreachable)".
Service	network.application_protocol	Jika Service adalah "HTTP" atau "HTTPS", tetapkan ke nilai Service. Jika Service berisi "DNS", tetapkan ke "DNS".
Service	metadata.event_type	Jika Service adalah "HTTP" atau "HTTPS", tetapkan metadata.event_type ke "NETWORK_HTTP".
Situation	security_result.summary	Dipetakan langsung dari Situation.
Sport	principal.port	Dipetakan langsung dari Sport jika bukan 0. Dikonversi ke bilangan bulat.
Src	principal.ip	Dipetakan langsung dari Src.
Timestamp	metadata.event_timestamp	Dipetakan langsung dari Timestamp setelah menguraikannya sebagai tanggal.
Type	security_result.severity_details	Dipetakan langsung dari Type.
Type	security_result.severity	Jika Type adalah "Notification", tetapkan ke "LOW". Jika Src atau NodeId dan Dst atau CompId ada, tetapkan ke "NETWORK_CONNECTION". Jika hanya principal.ip yang ada, ditetapkan ke "STATUS_UPDATE". Jika tidak, tetapkan ke "GENERIC_EVENT". Tetapkan ke "FORCEPOINT_FIREWALL". Tetapkan ke "FORCEPOINT FIREWALL". Setel ke "FORCEPOINT".
rt	metadata.event_timestamp	Dipetakan langsung dari rt setelah menguraikannya sebagai tanggal di blok CEF.
act	security_result.action_details	Dipetakan langsung dari act di blok CEF.
app	principal.application	Dipetakan langsung dari app di blok CEF.
deviceFacility	metadata.description	Dipetakan langsung dari deviceFacility di blok CEF.
destinationTranslatedAddress	target.nat_ip	Dipetakan langsung dari destinationTranslatedAddress dalam blok CEF.
destinationTranslatedPort	target.nat_port	Dipetakan langsung dari destinationTranslatedPort dalam blok CEF.
dst	target.ip	Dipetakan langsung dari dst di blok CEF.
dpt	target.port	Dipetakan langsung dari dpt di blok CEF.
dvchost	intermediary.ip	Dipetakan langsung dari dvchost di blok CEF.
event_name	metadata.product_event_type	Dipetakan langsung dari event_name dalam blok CEF.
msg	security_result.description	Dipetakan langsung dari msg di blok CEF.
proto	network.ip_protocol	Dipetakan dari proto setelah mengonversinya menjadi bilangan bulat, lalu menggunakan pencarian untuk mengonversi angka menjadi nama protokol (misalnya, 6 menjadi TCP) di blok CEF.
sourceTranslatedAddress	principal.nat_ip	Dipetakan langsung dari sourceTranslatedAddress di blok CEF.
sourceTranslatedPort	principal.nat_port	Dipetakan langsung dari sourceTranslatedPort dalam blok CEF.
spt	principal.port	Dipetakan langsung dari spt di blok CEF.
src	principal.ip	Dipetakan langsung dari src di blok CEF.
NodeId	event.idm.read_only_udm.intermediary.ip	Dipetakan dari log perubahan
CompId	event.idm.read_only_udm.intermediary.hostname	Dipetakan dari log perubahan
eventid	metadata.product_log_id	Dipetakan dari log perubahan

Log Perubahan

Melihat Log Perubahan untuk parser ini

Perlu bantuan lain? Dapatkan jawaban dari anggota Komunitas dan profesional Google SecOps.