Raccogliere i log di Forcepoint NGFW

Supportato in:

Google secops SIEM

Nota: questa funzionalità è coperta dai Termini delle offerte pre-GA dei Termini di servizio specifici del servizio Google Security Operations. Le funzionalità pre-GA potrebbero avere supporto limitato e le modifiche alle funzionalità pre-GA potrebbero non essere compatibili con altre versioni pre-GA. Per saperne di più, consulta le linee guida per i servizi di assistenza tecnica di Google SecOps e i Termini di servizio specifici di Google SecOps.

Questo documento spiega come importare i log di Forcepoint NGFW in Google Security Operations utilizzando Bindplane. Il parser estrae i campi dai log JSON o dai messaggi formattati CEF, li normalizza nel modello UDM (Unified Data Model) e arricchisce i dati con i metadati del fornitore e del prodotto. Gestisce i log in formato JSON e CEF, utilizzando pattern grok e logica condizionale per mappare i campi dei log non elaborati ai campi UDM, inclusi i dettagli della connessione di rete, i risultati di sicurezza e i metadati.

Prima di iniziare

Assicurati di soddisfare i seguenti prerequisiti:

• Un'istanza Google SecOps
• Un host Windows 2016 o versioni successive o Linux con systemd
• Se l'agente viene eseguito dietro un proxy, assicurati che le porte del firewall siano aperte in base ai requisiti dell'agente Bindplane
• Accesso privilegiato a Forcepoint Security Management Center (SMC)

Recuperare il file di autenticazione importazione di Google SecOps

1. Accedi alla console Google SecOps.
2. Vai a Impostazioni SIEM > Agenti di raccolta.
3. Scarica il file di autenticazione importazione. Salva il file in modo sicuro sul sistema in cui verrà installato Bindplane.

Recuperare l'ID cliente Google SecOps

1. Accedi alla console Google SecOps.
2. Vai a Impostazioni SIEM > Profilo.
3. Copia e salva l'ID cliente dalla sezione Dettagli dell'organizzazione.

Installa l'agente Bindplane

Installa l'agente Bindplane sul sistema operativo Windows o Linux seguendo le istruzioni riportate di seguito.

Installazione di Windows

1. Apri il prompt dei comandi o PowerShell come amministratore.

2. Esegui questo comando:

   msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet
   

Installazione di Linux

1. Apri un terminale con privilegi di root o sudo.

2. Esegui questo comando:

   sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh
   

Risorse aggiuntive per l'installazione

• Per ulteriori opzioni di installazione, consulta questa guida all'installazione.

Configura l'agente Bindplane per importare Syslog e inviarlo a Google SecOps

1. Accedi al file di configurazione:

   1. Individua il file config.yaml. In genere si trova nella directory /etc/bindplane-agent/ su Linux o nella directory di installazione su Windows.
   2. Apri il file utilizzando un editor di testo (ad esempio nano, vi o Blocco note).

2. Modifica il file config.yaml come segue:

   receivers:
     tcplog:
       # Replace the port and IP address as required
       listen_address: "0.0.0.0:514"
   
   exporters:
     chronicle/chronicle_w_labels:
       compression: gzip
       # Adjust the path to the credentials file you downloaded in Step 1
       creds_file_path: '/path/to/ingestion-authentication-file.json'
       # Replace with your actual customer ID from Step 2
       customer_id: YOUR_CUSTOMER_ID
       endpoint: malachiteingestion-pa.googleapis.com
       # Add optional ingestion labels for better organization
       log_type: 'FORCEPOINT_FIREWALL'
       raw_log_field: body
       ingestion_labels:
   
   service:
     pipelines:
       logs/source0__chronicle_w_labels-0:
         receivers:
           - tcplog
         exporters:
           - chronicle/chronicle_w_labels
   

   • Sostituisci la porta e l'indirizzo IP come richiesto nella tua infrastruttura.
   • Sostituisci <CUSTOMER_ID> con l'ID cliente effettivo.
   • Aggiorna /path/to/ingestion-authentication-file.json al percorso in cui è stato salvato il file di autenticazione nella sezione Recupera il file di autenticazione per l'importazione di Google SecOps.

Riavvia l'agente Bindplane per applicare le modifiche

• Per riavviare l'agente Bindplane in Linux, esegui questo comando:

  sudo systemctl restart bindplane-agent
  

• Per riavviare l'agente Bindplane in Windows, puoi utilizzare la console Servizi o inserire il seguente comando:

  net stop BindPlaneAgent && net start BindPlaneAgent
  

Configura l'inoltro Syslog su Forcepoint NGFW

1. Accedi a Forcepoint Security Management Center (SMC).
2. Vai a Configurazione > Log Server > Proprietà.
3. Vai alla sezione Inoltro log.
4. Fai clic su Aggiungi per creare una nuova regola di forwarding.
5. Fornisci i seguenti dettagli di configurazione:
   • Nome: inserisci un nome descrittivo (ad esempio, Google SecOps BindPlane Syslog).
   • Host: inserisci l'indirizzo IP dell'agente Bindplane.
   • Porta: inserisci il numero di porta dell'agente Bindplane (ad esempio, 514).
   • Protocollo: seleziona TCP o UDP, a seconda della configurazione effettiva dell'agente Bindplane.
   • Formato: seleziona JSON.
6. Configura i campi di log da inoltrare:
   • Fai clic su Seleziona campi o accedi alla configurazione di selezione dei campi.
   • Seleziona i campi di log pertinenti in base ai tuoi requisiti. I seguenti campi sono comunemente richiesti per l'analisi della sicurezza:
     • TIMESTAMP (data/ora creazione)
     • LOG_ID (identificatore dati)
     • EVENT (evento)
     • EVENT_ID (ID evento)
     • SRC (indirizzo di origine)
     • DST (indirizzo di destinazione)
     • Sport (porta di origine)
     • Dport (porta di destinazione)
     • PROTOCOL (Protocollo)
     • SERVICE (Servizio)
     • RULE_ID (Tag regola)
     • ACTION (Azione)
     • NAT_SRC, NAT_DST, NAT_SPORT, NAT_DPORT (campi NAT)
     • ACC_RX_BYTES, ACC_TX_BYTES, ACC_ELAPSED (campi contabili)
     • NODE_ID (mittente)
     • COMP_ID (ID componente)
     • FACILITY (Struttura)
     • INFO_MSG (messaggio informativo)
     • SITUATION (Situazione)
     • APPLICATION (applicazione)
   • Per un elenco completo dei campi esportabili, consulta la documentazione Forcepoint NGFW Exportable Firewall and Layer 2 Firewall voce di log fields.
7. Vai alla sezione Eventi e seleziona Tutti.
8. Salva la configurazione.
9. Applica le modifiche al server di log.

Nota: per una correlazione ottimale dell'ora tra i sistemi, ti consigliamo di configurare Forcepoint NGFW in modo che utilizzi il fuso orario UTC. Le impostazioni del fuso orario possono essere configurate nelle impostazioni di sistema SMC o nei profili del server di log.

Tabella di mappatura UDM

Campo log	Mappatura UDM	Logic
AccElapsed	network.session_duration.seconds	Mappato direttamente da AccElapsed se non è vuoto o 0. Convertito in numero intero.
AccRxBytes	network.received_bytes	Mappato direttamente da AccRxBytes. Convertito in numero intero senza segno.
AccTxBytes	network.sent_bytes	Mappato direttamente da AccTxBytes. Convertito in numero intero senza segno.
Action	security_result.action_details	Mappato direttamente da Action.
Action	security_result.action	Se Action è "Consenti", imposta "ALLOW". Se Action è "Ignora", impostalo su "BLOCCA".
CompId	target.hostname	Mappato direttamente da CompId.
Dport	target.port	Mappato direttamente da Dport se non è 0. Convertito in numero intero.
Dst	target.ip	Mappato direttamente da Dst.
Event	metadata.product_event_type	Mappato direttamente da Event.
Facility	metadata.description	Mappato direttamente da Facility.
InfoMsg	security_result.description	Mappato direttamente da InfoMsg.
LogId	metadata.product_log_id	Mappato direttamente da LogId.
NatDport	target.nat_port	Mappato direttamente da NatDport se non è 0. Convertito in numero intero.
NatDst	target.nat_ip	Mappato direttamente da NatDst.
NatSport	principal.nat_port	Mappato direttamente da NatSport se non è 0. Convertito in numero intero.
NatSrc	principal.nat_ip	Mappato direttamente da NatSrc.
NodeId	intermediary.ip	Mappato direttamente da NodeId se sono presenti sia Src o Dst che NodeId.
NodeId	principal.ip	Mappato direttamente da NodeId se NodeId è presente, ma Src e Dst non lo sono.
Protocol	network.ip_protocol	Mappato da Protocol dopo la conversione in un numero intero e l'utilizzo di una ricerca per convertire il numero nel nome del protocollo (ad es. 6 diventa TCP).
RuleId	security_result.rule_id	Mappato direttamente da RuleId.
Service	principal.application	Mappato direttamente da Service se non è "Dest. Non raggiungibile (porta non raggiungibile)".
Service	network.application_protocol	Se Service è "HTTP" o "HTTPS", impostalo sul valore di Service. Se Service contiene "DNS", impostalo su "DNS".
Service	metadata.event_type	Se Service è "HTTP" o "HTTPS", imposta metadata.event_type su "NETWORK_HTTP".
Situation	security_result.summary	Mappato direttamente da Situation.
Sport	principal.port	Mappato direttamente da Sport se non è 0. Convertito in numero intero.
Src	principal.ip	Mappato direttamente da Src.
Timestamp	metadata.event_timestamp	Mappato direttamente da Timestamp dopo l'analisi come data.
Type	security_result.severity_details	Mappato direttamente da Type.
Type	security_result.severity	Se Type è "Notifica", imposta "BASSA". Se sono presenti Src o NodeId e Dst o CompId, imposta il valore su "NETWORK_CONNECTION". Se è presente solo principal.ip, impostalo su "STATUS_UPDATE". In caso contrario, imposta "GENERIC_EVENT". Imposta il valore su "FORCEPOINT_FIREWALL". Imposta il valore su "FORCEPOINT FIREWALL". Imposta il valore su "FORCEPOINT".
rt	metadata.event_timestamp	Mappato direttamente da rt dopo l'analisi come data nel blocco CEF.
act	security_result.action_details	Mappato direttamente da act nel blocco CEF.
app	principal.application	Mappato direttamente da app nel blocco CEF.
deviceFacility	metadata.description	Mappato direttamente da deviceFacility nel blocco CEF.
destinationTranslatedAddress	target.nat_ip	Mappato direttamente da destinationTranslatedAddress nel blocco CEF.
destinationTranslatedPort	target.nat_port	Mappato direttamente da destinationTranslatedPort nel blocco CEF.
dst	target.ip	Mappato direttamente da dst nel blocco CEF.
dpt	target.port	Mappato direttamente da dpt nel blocco CEF.
dvchost	intermediary.ip	Mappato direttamente da dvchost nel blocco CEF.
event_name	metadata.product_event_type	Mappato direttamente da event_name nel blocco CEF.
msg	security_result.description	Mappato direttamente da msg nel blocco CEF.
proto	network.ip_protocol	Mappato da proto dopo la conversione in un numero intero e l'utilizzo di una ricerca per convertire il numero nel nome del protocollo (ad es. 6 diventa TCP) nel blocco CEF.
sourceTranslatedAddress	principal.nat_ip	Mappato direttamente da sourceTranslatedAddress nel blocco CEF.
sourceTranslatedPort	principal.nat_port	Mappato direttamente da sourceTranslatedPort nel blocco CEF.
spt	principal.port	Mappato direttamente da spt nel blocco CEF.
src	principal.ip	Mappato direttamente da src nel blocco CEF.

Hai bisogno di ulteriore assistenza? Ricevi risposte dai membri della community e dai professionisti di Google SecOps.