收集 Forcepoint NGFW 記錄

支援的國家/地區：

Google SecOps SIEM

本文說明如何使用 Bindplane，將 Forcepoint NGFW 記錄檔擷取至 Google Security Operations。剖析器會從 JSON 記錄或 CEF 格式的訊息中擷取欄位，將其正規化為統合式資料模型 (UDM)，並使用供應商和產品中繼資料擴充資料。這項服務會處理 JSON 和 CEF 格式的記錄，並使用 Grok 模式和條件邏輯，將原始記錄欄位對應至 UDM 欄位，包括網路連線詳細資料、安全性結果和中繼資料。

事前準備

請確認您已完成下列事前準備事項：

Google SecOps 執行個體
搭載 systemd 的 Windows 2016 以上版本或 Linux 主機
如果透過 Proxy 執行，請確保防火牆通訊埠已根據 Bindplane 代理程式需求開啟
Forcepoint Security Management Center (SMC) 的特殊權限

取得 Google SecOps 擷取驗證檔案

登入 Google SecOps 控制台。
依序前往「SIEM 設定」>「收集代理程式」。
下載擷取驗證檔案。將檔案安全地儲存在要安裝 Bindplane 的系統上。

取得 Google SecOps 客戶 ID

登入 Google SecOps 控制台。
依序前往「SIEM 設定」>「設定檔」。
複製並儲存「機構詳細資料」專區中的客戶 ID。

安裝 Bindplane 代理程式

請按照下列操作說明，在 Windows 或 Linux 作業系統上安裝 Bindplane 代理程式。

Windows 安裝

以管理員身分開啟「命令提示字元」或「PowerShell」。

執行下列指令：

msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

安裝 Linux

開啟具備根層級或 sudo 權限的終端機。

執行下列指令：

sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

其他安裝資源

如需其他安裝選項，請參閱這份安裝指南。

設定 Bindplane 代理程式，擷取系統記錄檔並傳送至 Google SecOps

存取設定檔：
1. 找出 config.yaml 檔案。通常位於 Linux 的 /etc/bindplane-agent/ 目錄，或 Windows 的安裝目錄。
2. 使用文字編輯器 (例如 nano、vi 或記事本) 開啟檔案。

按照下列方式編輯 config.yaml 檔案：

receivers:
  tcplog:
    # Replace the port and IP address as required
    listen_address: "0.0.0.0:514"

exporters:
  chronicle/chronicle_w_labels:
    compression: gzip
    # Adjust the path to the credentials file you downloaded in Step 1
    creds_file_path: '/path/to/ingestion-authentication-file.json'
    # Replace with your actual customer ID from Step 2
    customer_id: YOUR_CUSTOMER_ID
    endpoint: malachiteingestion-pa.googleapis.com
    # Add optional ingestion labels for better organization
    log_type: 'FORCEPOINT_FIREWALL'
    raw_log_field: body
    ingestion_labels:

service:
  pipelines:
    logs/source0__chronicle_w_labels-0:
      receivers:
        - tcplog
      exporters:
        - chronicle/chronicle_w_labels

視基礎架構需求替換通訊埠和 IP 位址。
將 <CUSTOMER_ID> 替換為實際的客戶 ID。
將 /path/to/ingestion-authentication-file.json 更新為「取得 Google SecOps 擷取驗證檔案」部分中驗證檔案的儲存路徑。

重新啟動 Bindplane 代理程式，以套用變更

如要在 Linux 中重新啟動 Bindplane 代理程式，請執行下列指令：
```
sudo systemctl restart bindplane-agent
```
如要在 Windows 中重新啟動 Bindplane 代理程式，可以使用「服務」控制台，也可以輸入下列指令：
```
net stop BindPlaneAgent && net start BindPlaneAgent
```

在 Forcepoint NGFW 上設定 Syslog 轉送

登入 Forcepoint Security Management Center (SMC)。
依序前往「Configuration」>「Log Server」>「Properties」。
前往「記錄轉送」部分。
按一下「新增」，建立新的轉寄規則。
請提供下列設定詳細資料：
- 名稱：輸入描述性名稱 (例如 Google SecOps BindPlane Syslog)。
- 主機：輸入 Bindplane 代理程式 IP 位址。
- 「Port」(通訊埠)：輸入 Bindplane 代理程式通訊埠編號 (例如 514)。
- 通訊協定：根據實際的 Bindplane 代理程式設定，選取「TCP」或「UDP」。
- 格式：選取「JSON」。
設定要轉送的記錄檔欄位：
- 按一下「選取欄位」，或存取欄位選取設定。
- 根據需求選取相關記錄欄位。以下是安全分析通常需要的欄位：
  - TIMESTAMP (建立時間)
  - LOG_ID (資料 ID)
  - EVENT (活動)
  - EVENT_ID (活動 ID)
  - SRC (來源地址)
  - DST (目的地地址)
  - Sport (來源通訊埠)
  - Dport (目的地通訊埠)
  - PROTOCOL (通訊協定)
  - SERVICE (服務)
  - RULE_ID (規則標記)
  - ACTION (動作)
  - NAT_SRC、NAT_DST、NAT_SPORT、NAT_DPORT (NAT 欄位)
  - ACC_RX_BYTES、ACC_TX_BYTES、ACC_ELAPSED (會計欄位)
  - NODE_ID (寄件者)
  - COMP_ID (元件 ID)
  - FACILITY (設施)
  - INFO_MSG (資訊訊息)
  - SITUATION (情況)
  - APPLICATION (應用程式)
- 如需可匯出欄位的完整清單，請參閱「Forcepoint NGFW Exportable Firewall and Layer 2 Firewall log entry fields」說明文件。
前往「活動」部分，然後選取「全部」。
儲存設定。
將變更套用至記錄伺服器。

UDM 對應表

記錄欄位	UDM 對應	邏輯
`AccElapsed`	`network.session_duration.seconds`	如果不是空白或 0，則直接從 `AccElapsed` 對應。已轉換為整數。
`AccRxBytes`	`network.received_bytes`	直接對應自 `AccRxBytes`。已轉換為無正負號整數。
`AccTxBytes`	`network.sent_bytes`	直接對應自 `AccTxBytes`。已轉換為無正負號整數。
`Action`	`security_result.action_details`	直接對應自 `Action`。
`Action`	`security_result.action`	如果 `Action` 為「允許」，請設為「ALLOW」。如果 `Action` 為「Discard」，請設為「BLOCK」。
`CompId`	`target.hostname`	直接對應自 `CompId`。
`Dport`	`target.port`	如果不是 0，則直接從 `Dport` 對應。已轉換為整數。
`Dst`	`target.ip`	直接對應自 `Dst`。
`Event`	`metadata.product_event_type`	直接對應自 `Event`。
`Facility`	`metadata.description`	直接對應自 `Facility`。
`InfoMsg`	`security_result.description`	直接對應自 `InfoMsg`。
`LogId`	`metadata.product_log_id`	直接對應自 `LogId`。
`NatDport`	`target.nat_port`	如果不是 0，則直接從 `NatDport` 對應。已轉換為整數。
`NatDst`	`target.nat_ip`	直接對應自 `NatDst`。
`NatSport`	`principal.nat_port`	如果不是 0，則直接從 `NatSport` 對應。已轉換為整數。
`NatSrc`	`principal.nat_ip`	直接對應自 `NatSrc`。
`NodeId`	`intermediary.ip`	如果同時存在 `Src` 或 `Dst` 和 `NodeId`，則直接從 `NodeId` 對應。
`NodeId`	`principal.ip`	如果存在 `NodeId`，但不存在 `Src` 和 `Dst`，則直接從 `NodeId` 對應。
`Protocol`	`network.ip_protocol`	從 `Protocol` 對應而來，先轉換為整數，然後使用查閱功能將數字轉換為通訊協定名稱 (例如 6 會變成 TCP)。
`RuleId`	`security_result.rule_id`	直接對應自 `RuleId`。
`Service`	`principal.application`	如果不是「Dest. `Service`無法連上 (無法連上通訊埠)」。
`Service`	`network.application_protocol`	如果 `Service` 是「HTTP」或「HTTPS」，請設為 `Service` 的值。如果 `Service` 包含「DNS」，請設為「DNS」。
`Service`	`metadata.event_type`	如果 `Service` 是「HTTP」或「HTTPS」，請將 `metadata.event_type` 設為「NETWORK_HTTP」。
`Situation`	`security_result.summary`	直接對應自 `Situation`。
`Sport`	`principal.port`	如果不是 0，則直接從 `Sport` 對應。已轉換為整數。
`Src`	`principal.ip`	直接對應自 `Src`。
`Timestamp`	`metadata.event_timestamp`	剖析為日期後，直接從 `Timestamp` 對應。
`Type`	`security_result.severity_details`	直接對應自 `Type`。
`Type`	`security_result.severity`	如果 `Type` 為「Notification」，請設為「LOW」。如果存在 `Src` 或 `NodeId` 和 `Dst` 或 `CompId`，請設為「NETWORK_CONNECTION」。如果只有 `principal.ip`，請設為「STATUS_UPDATE」。否則請設為「GENERIC_EVENT」。設為「FORCEPOINT_FIREWALL」。設為「FORCEPOINT FIREWALL」。設為「FORCEPOINT」。
`rt`	`metadata.event_timestamp`	在 CEF 區塊中剖析為日期後，直接從 `rt` 對應。
`act`	`security_result.action_details`	直接從 CEF 區塊中的 `act`對應。
`app`	`principal.application`	直接從 CEF 區塊中的 `app`對應。
`deviceFacility`	`metadata.description`	直接從 CEF 區塊中的 `deviceFacility`對應。
`destinationTranslatedAddress`	`target.nat_ip`	直接從 CEF 區塊中的 `destinationTranslatedAddress`對應。
`destinationTranslatedPort`	`target.nat_port`	直接從 CEF 區塊中的 `destinationTranslatedPort`對應。
`dst`	`target.ip`	直接從 CEF 區塊中的 `dst`對應。
`dpt`	`target.port`	直接從 CEF 區塊中的 `dpt`對應。
`dvchost`	`intermediary.ip`	直接從 CEF 區塊中的 `dvchost`對應。
`event_name`	`metadata.product_event_type`	直接從 CEF 區塊中的 `event_name`對應。
`msg`	`security_result.description`	直接從 CEF 區塊中的 `msg`對應。
`proto`	`network.ip_protocol`	從 `proto` 對應而來，先轉換為整數，然後使用查閱功能將數字轉換為通訊協定名稱 (例如 6 會變成 TCP)。
`sourceTranslatedAddress`	`principal.nat_ip`	直接從 CEF 區塊中的 `sourceTranslatedAddress`對應。
`sourceTranslatedPort`	`principal.nat_port`	直接從 CEF 區塊中的 `sourceTranslatedPort`對應。
`spt`	`principal.port`	直接從 CEF 區塊中的 `spt`對應。
`src`	`principal.ip`	直接從 CEF 區塊中的 `src`對應。

還有其他問題嗎？向社群成員和 Google SecOps 專業人員尋求答案。