Google uses AI technology to translate content into your preferred language. AI translations can contain errors.

Raccogliere i log di Forcepoint NGFW

Supportato in:

Google SecOps SIEM

Questo documento spiega come importare i log di Forcepoint NGFW in Google Security Operations utilizzando l'agente Bindplane.

Prima di iniziare

Assicurati di soddisfare i seguenti prerequisiti:

Un'istanza Google SecOps
Un host Windows 2016 o versioni successive o Linux con systemd
Se l'agente viene eseguito dietro un proxy, assicurati che le porte del firewall siano aperte in base ai requisiti dell'agente Bindplane
Accesso privilegiato a Forcepoint Security Management Center (SMC)

Recuperare il file di autenticazione dell'importazione di Google SecOps

Accedi alla console Google SecOps.
Vai a Impostazioni SIEM > Agenti di raccolta.
Scarica il file di autenticazione dell'acquisizione.
Salva il file in modo sicuro sul sistema in cui verrà installato Bindplane.

Recuperare l'ID cliente Google SecOps

Accedi alla console Google SecOps.
Vai a Impostazioni SIEM > Profilo.
Copia e salva l'ID cliente dalla sezione Dettagli dell'organizzazione.

Installa l'agente Bindplane

Installa l'agente Bindplane sul sistema operativo Windows o Linux seguendo le istruzioni riportate di seguito.

Installazione di Windows

Apri il prompt dei comandi o PowerShell come amministratore.

Esegui questo comando:

msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

Installazione di Linux

Apri un terminale con privilegi root o sudo.

Esegui questo comando:

sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

Risorse aggiuntive per l'installazione

Per ulteriori opzioni di installazione, consulta la Guida all'installazione dell'agente Bindplane.

Configura l'agente Bindplane per importare Syslog e inviarlo a Google SecOps

Accedi al file di configurazione:
- Individua il file config.yaml. In genere si trova nella directory /etc/bindplane-agent/ su Linux o nella directory di installazione su Windows.
- Apri il file utilizzando un editor di testo (ad esempio nano, vi o Blocco note).

Modifica il file config.yaml come segue:

receivers:
  tcplog:
    # Replace the port and IP address as required
    listen_address: "0.0.0.0:514"

exporters:
  chronicle/chronicle_w_labels:
    compression: gzip
    # Adjust the path to the credentials file you downloaded in Step 1
    creds_file_path: '/path/to/ingestion-authentication-file.json'
    # Replace with your actual customer ID from Step 2
    customer_id: YOUR_CUSTOMER_ID
    endpoint: malachiteingestion-pa.googleapis.com
    # Add optional ingestion labels for better organization
    log_type: 'FORCEPOINT_FIREWALL'
    raw_log_field: body
    ingestion_labels:

service:
  pipelines:
    logs/source0__chronicle_w_labels-0:
      receivers:
        - tcplog
      exporters:
        - chronicle/chronicle_w_labels

Sostituisci la porta e l'indirizzo IP in base alle esigenze della tua infrastruttura.
Sostituisci YOUR_CUSTOMER_ID con l'ID cliente effettivo.
Aggiorna /path/to/ingestion-authentication-file.json con il percorso del file in cui è stato salvato il file di autenticazione nel passaggio 1.

Riavvia l'agente Bindplane per applicare le modifiche

Per riavviare l'agente Bindplane in Linux, esegui questo comando:
```
sudo systemctl restart observiq-otel-collector
```
Per riavviare l'agente Bindplane in Windows, puoi utilizzare la console Servizi o inserire il seguente comando:
```
net stop observiq-otel-collector && net start observiq-otel-collector
```

Configura l'inoltro Syslog su Forcepoint NGFW

Accedi a Forcepoint Security Management Center (SMC).
Vai a Configurazione > Server di log > Proprietà.
Vai alla sezione Inoltro log.
Fai clic su Aggiungi per creare una nuova regola di forwarding.
Fornisci i seguenti dettagli di configurazione:
- Nome: inserisci un nome descrittivo (ad esempio, Google SecOps Bindplane Syslog).
- Host: inserisci l'indirizzo IP dell'agente Bindplane.
- Porta: inserisci il numero di porta dell'agente Bindplane (ad esempio, 514).
- Protocollo: seleziona TCP o UDP, a seconda della configurazione effettiva dell'agente Bindplane.
- Formato: seleziona JSON.
Configura i campi di log da inoltrare:
- Fai clic su Seleziona campi o accedi alla configurazione di selezione dei campi.
- Seleziona i campi di log pertinenti in base ai tuoi requisiti. I seguenti campi sono comunemente richiesti per l'analisi della sicurezza:
  - TIMESTAMP (data/ora creazione)
  - LOG_ID (identificatore dati)
  - EVENT (evento)
  - EVENT_ID (ID evento)
  - SRC (indirizzo di origine)
  - DST (indirizzo di destinazione)
  - Sport (porta di origine)
  - Dport (porta di destinazione)
  - PROTOCOL (Protocollo)
  - SERVICE (Servizio)
  - RULE_ID (Tag regola)
  - ACTION (Azione)
  - NAT_SRC, NAT_DST, NAT_SPORT, NAT_DPORT (campi NAT)
  - ACC_RX_BYTES, ACC_TX_BYTES, ACC_ELAPSED (campi contabili)
  - NODE_ID (mittente)
  - COMP_ID (ID componente)
  - FACILITY (Struttura)
  - INFO_MSG (messaggio informativo)
  - SITUATION (Situazione)
  - APPLICATION (applicazione)
- Per un elenco completo dei campi esportabili, consulta la documentazione Forcepoint NGFW Exportable Firewall and Layer 2 Firewall voce di log fields.
Scorri verso il basso fino alla sezione Eventi e seleziona i tipi di log pertinenti o Tutti.
Salva la configurazione.
Applica le modifiche al server di log.

Nota: per una correlazione ottimale dell'ora tra i sistemi, ti consigliamo di configurare Forcepoint NGFW in modo che utilizzi il fuso orario UTC. Le impostazioni del fuso orario possono essere configurate nelle impostazioni di sistema di SMC o nei profili del server di log.

Tabella di mappatura UDM

Campo log	Mappatura UDM	Logica
`AccElapsed`	`network.session_duration.seconds`	Mappato direttamente da `AccElapsed` se non è vuoto o 0. Convertito in numero intero.
`AccRxBytes`	`network.received_bytes`	Mappato direttamente da `AccRxBytes`. Convertito in numero intero senza segno.
`AccTxBytes`	`network.sent_bytes`	Mappato direttamente da `AccTxBytes`. Convertito in numero intero senza segno.
`Action`	`security_result.action_details`	Mappato direttamente da `Action`.
`Action`	`security_result.action`	Se `Action` è "Consenti", imposta "ALLOW". Se `Action` è "Ignora", impostalo su "BLOCCA".
`CompId`	`target.hostname`	Mappato direttamente da `CompId`.
`Dport`	`target.port`	Mappato direttamente da `Dport` se non è 0. Convertito in numero intero.
`Dst`	`target.ip`	Mappato direttamente da `Dst`.
`Event`	`metadata.product_event_type`	Mappato direttamente da `Event`.
`Facility`	`metadata.description`	Mappato direttamente da `Facility`.
`InfoMsg`	`security_result.description`	Mappato direttamente da `InfoMsg`.
`LogId`	`metadata.product_log_id`	Mappato direttamente da `LogId`.
`NatDport`	`target.nat_port`	Mappato direttamente da `NatDport` se non è 0. Convertito in numero intero.
`NatDst`	`target.nat_ip`	Mappato direttamente da `NatDst`.
`NatSport`	`principal.nat_port`	Mappato direttamente da `NatSport` se non è 0. Convertito in numero intero.
`NatSrc`	`principal.nat_ip`	Mappato direttamente da `NatSrc`.
`NodeId`	`intermediary.ip`	Mappato direttamente da `NodeId` se sono presenti sia `Src` o `Dst` che `NodeId`.
`NodeId`	`principal.ip`	Mappato direttamente da `NodeId` se `NodeId` è presente, ma `Src` e `Dst` non lo sono.
`Protocol`	`network.ip_protocol`	Mappato da `Protocol` dopo la conversione in un numero intero e l'utilizzo di una ricerca per convertire il numero nel nome del protocollo (ad es. 6 diventa TCP).
`RuleId`	`security_result.rule_id`	Mappato direttamente da `RuleId`.
`Service`	`principal.application`	Mappato direttamente da `Service` se non è "Dest. Non raggiungibile (porta non raggiungibile)".
`Service`	`network.application_protocol`	Se `Service` è "HTTP" o "HTTPS", impostalo sul valore di `Service`. Se `Service` contiene "DNS", impostalo su "DNS".
`Service`	`metadata.event_type`	Se `Service` è "HTTP" o "HTTPS", imposta `metadata.event_type` su "NETWORK_HTTP".
`Situation`	`security_result.summary`	Mappato direttamente da `Situation`.
`Sport`	`principal.port`	Mappato direttamente da `Sport` se non è 0. Convertito in numero intero.
`Src`	`principal.ip`	Mappato direttamente da `Src`.
`Timestamp`	`metadata.event_timestamp`	Mappato direttamente da `Timestamp` dopo l'analisi come data.
`Type`	`security_result.severity_details`	Mappato direttamente da `Type`.
`Type`	`security_result.severity`	Se `Type` è "Notification", imposta "LOW". Se sono presenti `Src` o `NodeId` e `Dst` o `CompId`, imposta "NETWORK_CONNECTION". Se è presente solo `principal.ip`, imposta "STATUS_UPDATE". Altrimenti, imposta "GENERIC_EVENT". Imposta "FORCEPOINT_FIREWALL". Imposta "FORCEPOINT FIREWALL". Imposta "FORCEPOINT".
`rt`	`metadata.event_timestamp`	Mappato direttamente da `rt` dopo l'analisi come data nel blocco CEF.
`act`	`security_result.action_details`	Mappato direttamente da `act` nel blocco CEF.
`app`	`principal.application`	Mappato direttamente da `app` nel blocco CEF.
`deviceFacility`	`metadata.description`	Mappato direttamente da `deviceFacility` nel blocco CEF.
`destinationTranslatedAddress`	`target.nat_ip`	Mappato direttamente da `destinationTranslatedAddress` nel blocco CEF.
`destinationTranslatedPort`	`target.nat_port`	Mappato direttamente da `destinationTranslatedPort` nel blocco CEF.
`dst`	`target.ip`	Mappato direttamente da `dst` nel blocco CEF.
`dpt`	`target.port`	Mappato direttamente da `dpt` nel blocco CEF.
`dvchost`	`intermediary.ip`	Mappato direttamente da `dvchost` nel blocco CEF.
`event_name`	`metadata.product_event_type`	Mappato direttamente da `event_name` nel blocco CEF.
`msg`	`security_result.description`	Mappato direttamente da `msg` nel blocco CEF.
`proto`	`network.ip_protocol`	Mappato da `proto` dopo la conversione in un numero intero e l'utilizzo di una ricerca per convertire il numero nel nome del protocollo (ad es. 6 diventa TCP) nel blocco CEF.
`sourceTranslatedAddress`	`principal.nat_ip`	Mappato direttamente da `sourceTranslatedAddress` nel blocco CEF.
`sourceTranslatedPort`	`principal.nat_port`	Mappato direttamente da `sourceTranslatedPort` nel blocco CEF.
`spt`	`principal.port`	Mappato direttamente da `spt` nel blocco CEF.
`src`	`principal.ip`	Mappato direttamente da `src` nel blocco CEF.

Log delle modifiche

Visualizza il log delle modifiche per questo parser

Hai bisogno di ulteriore assistenza? Ricevi risposte dai membri della community e dai professionisti di Google SecOps.