Coletar registros do Fortinet FortiAnalyzer

Versão do analisador: 35.0

Compatível com:

Google SecOps SIEM

Neste guia, explicamos como ingerir registros do Fortinet FortiAnalyzer no Google Security Operations usando o Bindplane.

O Fortinet FortiAnalyzer é uma plataforma de geração de registros centralizada, análise e geração de relatórios para dispositivos Fortinet Security Fabric. Ele agrega registros de firewalls FortiGate, FortiMail, FortiWeb, FortiSandbox e outros produtos da Fortinet para fornecer visibilidade unificada, correlação de eventos e relatórios de conformidade. O FortiAnalyzer pode encaminhar registros agregados via syslog para plataformas SIEM externas para análise posterior.

Antes de começar

Verifique se você tem os pré-requisitos a seguir:

• Uma instância do Google SecOps.
• Windows Server 2016 ou mais recente ou host Linux com systemd.
• Conectividade de rede entre o agente do Bindplane e o dispositivo FortiAnalyzer.
• Se estiver em execução atrás de um proxy, verifique se as portas do firewall estão abertas de acordo com os requisitos do agente do Bindplane.
• Acesso privilegiado ao console de gerenciamento do Fortinet FortiAnalyzer (Super_User ou função de administrador equivalente).

Receber credenciais do Google SecOps para o agente do Bindplane

Para autenticar o agente do Bindplane no Google SecOps, escolha um dos seguintes métodos:

• Novas implantações: use a API Chronicle (opção 1).
• Implantações legadas: continue usando o arquivo de autenticação de ingestão (opção 2) até que a API Ingestion seja desativada em 20 de julho de 2027.

Opção 1: criar uma conta de serviço para a API Chronicle (recomendado)

1. Faça login no console doGoogle Cloud e selecione o projeto do Google Cloud vinculado à sua instância do Google SecOps.
2. Acesse IAM e administrador > Contas de serviço.
3. Clique em Criar conta de serviço.
4. Informe os seguintes detalhes de configuração:
   • Nome da conta de serviço: insira um nome para a conta (por exemplo, bindplane-ingest).
   • Descrição da conta de serviço: insira uma descrição (por exemplo, Bindplane agent log ingestion).
5. Clique em Criar e continuar.
6. Na seção Conceder a essa conta de serviço acesso ao projeto, clique em Selecionar um papel e escolha Editor do Chronicle.
7. Clique em Continuar e depois em Concluído.
8. Clique na conta de serviço que você criou e acesse a guia Chaves.
9. Clique em Adicionar chave > Criar nova chave.
10. Selecione JSON e clique em Criar. O download do arquivo de chave é feito no seu computador.
11. Salve o arquivo de chave como ingestion-auth.json no diretório do coletor do BindPlane (/opt/observiq-otel-collector/ingestion-auth.json no Linux ou C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json no Windows) ou atualize creds_file_path em config.yaml para corresponder ao caminho em que você o salvou.
12. Acesse IAM e administrador > Configurações e copie o Número do projeto. Você vai precisar dele para configurar o exportador.

Observação: a chave JSON é uma credencial. Restrinja o acesso ao arquivo no host do BindPlane e alterne a chave de acordo com a política da sua organização.

Opção 2: fazer o download do arquivo de autenticação de ingestão (legado)

1. Faça login no console do Google SecOps.
2. Acesse Configurações > Gerenciamento de dados > Agentes de coleta. Se você estiver em uma plataforma somente SIEM, acesse Configurações > Agentes de coleta.
3. Faça o download do arquivo de autenticação de ingestão.
4. Salve o arquivo com segurança no sistema em que o agente do Bindplane será instalado.

Observação: esse arquivo autentica o agente na API Ingestion legada (malachiteingestion-pa.googleapis.com), que o Google programou para ser desativada em 20 de julho de 2027. Planeje a mudança para a Opção 1 antes dessa data.

Receber o ID de cliente do Google SecOps

1. Faça login no console do Google SecOps.
2. Acesse Configurações > Administração > Perfil. Se você estiver em uma plataforma somente SIEM, acesse Configurações > Perfil.
3. Copie e salve o ID de cliente na seção Detalhes da organização.

Instalar o agente do BindPlane

Instale o agente do Bindplane no seu sistema operacional Windows ou Linux de acordo com as instruções a seguir.

Instalação do Windows

1. Abra o Prompt de comando ou o PowerShell como administrador.

2. Execute este comando:

   msiexec /i "[https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi](https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi)" /quiet
   

3. Aguarde a conclusão da instalação.

4. Execute o seguinte comando para confirmar a instalação:

   sc query observiq-otel-collector
   

   O serviço precisa aparecer como RUNNING.

Instalação do Linux

1. Abra um terminal com privilégios de raiz ou sudo.

2. Execute este comando:

   sudo sh -c "$(curl -fsSlL [https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh](https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh))" install_unix.sh
   

3. Aguarde a conclusão da instalação.

4. Execute o seguinte comando para confirmar a instalação:

   sudo systemctl status observiq-otel-collector
   

O serviço precisa aparecer como active (running).

Outros recursos de instalação

Para mais opções de instalação e solução de problemas, consulte o guia de instalação do agente do Bindplane.

Observação: a configuração do exportador da API Chronicle requer o coletor Bindplane v1.106.0 ou mais recente. Os comandos anteriores instalam a versão mais recente. Se você estiver atualizando uma instalação, faça upgrade do coletor antes de mudar a configuração.

Configurar o agente do Bindplane para ingerir o syslog e enviar ao Google SecOps

Localize o arquivo de configuração.

• Linux: bash sudo nano /opt/observiq-otel-collector/config.yaml
• Windows: cmd notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"

Editar o arquivo de configuração

• Substitua todo o conteúdo de config.yaml pela seguinte configuração:

  receivers:
    tcplog:
      # Replace the port and IP address as required
      listen_address: "0.0.0.0:514"
  
  exporters:
    chronicle/fortianalyzer:
      protocol: https
      # Region of your instance, for example us, europe, asia-southeast1
      location: <LOCATION>
      # Project number of the Google Cloud project linked to the instance
      project: '<PROJECT_NUMBER>'
      compression: gzip
      # Adjust the path to the credentials file you downloaded in Step 1
      creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
      # Replace with your actual customer ID from Step 2
      customer_id: 'your-customer-id-here'
      endpoint: chronicle.googleapis.com
      log_type: FORTINET_FORTIANALYZER
      raw_log_field: body
      ingestion_labels:
        env: production
  
  service:
    pipelines:
      logs/fortianalyzer_to_chronicle:
        receivers:
          - tcplog
        exporters:
          - chronicle/fortianalyzer
  

Parâmetros de configuração

• Configuração do receptor:
  • listen_address: endereço IP e porta a serem detectados. Use 0.0.0.0 para detectar em todas as interfaces. Mude a porta, se necessário (por exemplo, 1514).
• Configuração do exportador:
  • creds_file_path: caminho completo para o arquivo de chave JSON da conta de serviço (opção 1):
    • Linux: /opt/observiq-otel-collector/ingestion-auth.json
    • Windows: C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
  • customer_id: o ID de cliente do Google SecOps.
  • location: substitua <LOCATION> pela região da sua instância do Google SecOps (por exemplo, us, europe ou asia-southeast1). O exportador prefixa chronicle.googleapis.com com esse valor. Consulte Endpoints regionais para ver a lista completa.
  • project: substitua <PROJECT_NUMBER> pelo número do projeto em IAM e administrador > Configurações.
  • endpoint: mantenha definido como chronicle.googleapis.com.
  • ingestion_labels: rótulos opcionais no formato YAML (por exemplo, env: production).

Exportador da API de ingestão legada

• Se você usar o arquivo de autenticação de ingestão da Opção 2, substitua o bloco exporters pelo seguinte. Defina creds_file_path como o caminho para o arquivo de autenticação de ingestão e, se a instância estiver fora dos EUA, substitua malachiteingestion-pa.googleapis.com pelo endpoint regional (por exemplo, europe-malachiteingestion-pa.googleapis.com).

  exporters:
    chronicle/fortianalyzer:
      compression: gzip
      # Adjust the path to the credentials file you downloaded in Step 1
      creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
      # Replace with your actual customer ID from Step 2
      customer_id: 'your-customer-id-here'
      endpoint: malachiteingestion-pa.googleapis.com
      log_type: FORTINET_FORTIANALYZER
      raw_log_field: body
      ingestion_labels:
        env: production
  

Observação: esse exportador vai parar de funcionar quando a API Ingestion for desativada em 20 de julho de 2027.

Salve o arquivo de configuração.

Depois de editar, salve o arquivo:

• Linux: pressione Ctrl+O, depois Enter e, em seguida, Ctrl+X.
• Windows: clique em Arquivo > Salvar.

Reinicie o agente do BindPlane para aplicar as mudanças:

Para reiniciar o agente do BindPlane no Linux:

1. Execute este comando:

   sudo systemctl restart observiq-otel-collector
   

2. Verifique se o serviço está em execução:

   sudo systemctl status observiq-otel-collector
   

3. Verifique se há erros nos registros:

   sudo journalctl -u observiq-otel-collector -f
   

Para reiniciar o agente do BindPlane no Windows:

1. Escolha uma das seguintes opções:

   • Prompt de comando ou PowerShell como administrador:

   net stop observiq-otel-collector && net start observiq-otel-collector
   

   • Console de serviços:
     1. Pressione Win+R, digite services.msc e pressione Enter.
     2. Localize o coletor do OpenTelemetry da observIQ.
     3. Clique com o botão direito do mouse e selecione Reiniciar.

2. Verifique se o serviço está em execução:

   sc query observiq-otel-collector
   

3. Verifique se há erros nos registros:

   type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"
   

Configurar o encaminhamento de syslog do FortiAnalyzer

Configure o FortiAnalyzer para encaminhar registros ao agente do BindPlane usando a saída do syslog.

Configurar o servidor syslog no FortiAnalyzer

1. Faça login na interface da Web do FortiAnalyzer.
2. Acesse Configurações do sistema > Encaminhamento de registros.
3. Clique em Criar nova para adicionar uma nova regra de encaminhamento de registros.
4. Informe os seguintes detalhes de configuração:
   • Nome: insira um nome descritivo (por exemplo, Chronicle-Bindplane).
   • Status: selecione Ativar.
   • Tipo de servidor remoto: selecione Syslog.
   • IP/FQDN do servidor: insira o endereço IP do host do agente do BindPlane.
   • Porta do servidor: insira 514 (ou a porta configurada no agente do Bindplane).
   • Syslog confiável (RFC 6587): selecione Ativar para usar o transporte TCP.
   • Formato de encaminhamento de registros: selecione Padrão ou CEF com base nos seus requisitos.
5. Na seção Filtros de registro, configure os tipos de registro a serem encaminhados:
   • Selecione o ADOM (domínio administrativo) de onde os registros serão encaminhados.
   • Selecione os tipos de dispositivo e as categorias de registro a serem incluídos (registros de tráfego, evento, segurança, DNS, SSH, SSL).
6. Clique em OK para salvar a configuração.

Verificar o encaminhamento de registros

1. Acesse Configurações do sistema > Encaminhamento de registros.
2. Verifique se a regra de encaminhamento mostra o status como Ativada.
3. Monitore a coluna Estatísticas para confirmar se os registros estão sendo encaminhados.
4. Verifique se os registros estão sendo recebidos conferindo os registros do agente do BindPlane.

Observação: para a configuração baseada na CLI do FortiAnalyzer, consulte o Guia de administração do Fortinet FortiAnalyzer para o comando config system log-forward.

Tabela de mapeamento de UDM

Campo de registro	Mapeamento de UDM	Lógica
devname	principal.hostname	Com base em devname.
srcip	principal.ip	Com base em srcip.
srcport	principal.port	Convertido em número inteiro.
srcintf	additional.fields	Chave: srcintf.
dstip	target.ip	Com base em dstip.
dstport	target.port	Convertido em número inteiro.
dstintf	additional.fields	Chave: dstintf.
proto	network.ip_protocol	Mapeado (6=TCP, 17=UDP, 1=ICMP).
action	security_result.action	accept/pass → PERMITIR; deny/drop/block → BLOQUEAR.
policyid	security_result.rule_id	Com base em policyid.
policyname	security_result.rule_name	Com base em policyname.
user	principal.user.userid	Com base em user.
app	target.application	Com base em app.
sentbyte	network.sent_bytes	Convertido em número inteiro sem sinal.
rcvdbyte	network.received_bytes	Convertido em número inteiro sem sinal.
severity	security_result.severity	information → INFORMATIONAL, warning → MEDIUM, error → ERROR, critical/alert/emergency → HIGH.
logid	metadata.product_log_id	Com base em logid.
type	metadata.product_event_type	Com base em type.
subtype	metadata.product_event_type	Anexado ao tipo.
level	security_result.severity_details	Com base em level.
N/A	metadata.vendor_name	Defina como Fortinet.
N/A	metadata.product_name	Defina como FortiAnalyzer.
attack	event.idm.read_only_udm.security_result.description	Mapeado do registro de alterações
msg	event.idm.read_only_udm.security_result.category_details	Mapeado do registro de alterações
alert_sub_type	event.idm.read_only_udm.security_result.category_details	Mapeado do registro de alterações
Details.SourcePort	event.idm.read_only_udm.principal.port	Mapeado do registro de alterações
Details.DestinationPort	event.idm.read_only_udm.target.port	Mapeado do registro de alterações
inter_host	event.idm.read_only_udm.intermediary.hostname	Mapeado do registro de alterações
observer_application	event.idm.read_only_udm.observer.application	Mapeado do registro de alterações
event_time	event.idm.read_only_udm.metadata.event_timestamp	Mapeado do registro de alterações
alert_time	event.idm.read_only_udm.metadata.collected_timestamp	Mapeado do registro de alterações
details.Bios	event.idm.read_only_udm.principal.asset.product_object_id	Mapeado do registro de alterações
details.HostName	event.idm.read_only_udm.principal.hostname e event.idm.read_only_udm.principal.asset.hostname	Mapeado do registro de alterações
details.IP	event.idm.read_only_udm.principal.nat_ip	Mapeado do registro de alterações
agent_uuid	event.idm.read_only_udm.principal.asset.asset_id	Mapeado do registro de alterações
alert_name	event.idm.read_only_udm.security_result.rule_name	Mapeado do registro de alterações
Details.SourceAddress	event.idm.read_only_udm.principal.ip e event.idm.read_only_udm.principal.asset.ip	Mapeado do registro de alterações
Details.DestinationAddress	event.idm.read_only_udm.target.ip e event.idm.read_only_udm.target.asset.ip	Mapeado do registro de alterações
Details.Protocol	event.idm.read_only_udm.network.ip_protocol	Mapeado do registro de alterações
ref	event.idm.read_only_udm.security_result.about.url	Mapeado do registro de alterações
Details.status	event.idm.read_only_udm.security_result.summary	Mapeado do registro de alterações
log_verbosity	event.idm.read_only_udm.additional.fields	Mapeado do registro de alterações
root_scope_id	event.idm.read_only_udm.additional.fields	Mapeado do registro de alterações
timestamp_details	event.idm.read_only_udm.additional.fields	Mapeado do registro de alterações
observer_application_pid	event.idm.read_only_udm.additional.fields	Mapeado do registro de alterações
Details.ConsumerScopes	event.idm.read_only_udm.additional.fields	Mapeado do registro de alterações
Details.ProviderScopes	event.idm.read_only_udm.additional.fields	Mapeado do registro de alterações
user_dst_location	event.idm.read_only_udm.target.resource.attribute.labels	Mapeado do registro de alterações
user_dst_network_zone	event.idm.read_only_udm.target.resource.attribute.labels	Mapeado do registro de alterações
user_dst_ownership	event.idm.read_only_udm.target.resource.attribute.labels	Mapeado do registro de alterações
host_name	event.idm.read_only_udm.principal.resource.attribute.labels	Mapeado do registro de alterações
forwardedfor	event.idm.read_only_udm.principal.resource.attribute.labels	Mapeado do registro de alterações
tenant_id	event.idm.read_only_udm.principal.resource.attribute.labels	Mapeado do registro de alterações
details.AgentType	event.idm.read_only_udm.principal.resource.attribute.labels	Mapeado do registro de alterações
details.CurrentVersion	event.idm.read_only_udm.principal.resource.attribute.labels	Mapeado do registro de alterações
details.Platform	event.idm.read_only_udm.principal.resource.attribute.labels	Mapeado do registro de alterações
scope_name	event.idm.read_only_udm.principal.resource.attribute.labels	Mapeado do registro de alterações
scope_id	event.idm.read_only_udm.principal.resource.attribute.labels	Mapeado do registro de alterações
vrf_id	event.idm.read_only_udm.principal.resource.attribute.labels	Mapeado do registro de alterações
Details.user_src_app_name	event.idm.read_only_udm.principal.resource.attribute.labels	Mapeado do registro de alterações
Details.user_src_environment	event.idm.read_only_udm.principal.resource.attribute.labels	Mapeado do registro de alterações
Details.user_src_location	event.idm.read_only_udm.principal.resource.attribute.labels	Mapeado do registro de alterações
Details.user_src_network_zone	event.idm.read_only_udm.principal.resource.attribute.labels	Mapeado do registro de alterações
Details.user_src_ownership	event.idm.read_only_udm.principal.resource.attribute.labels	Mapeado do registro de alterações
severity	event.idm.read_only_udm.security_result.detection_fields	Mapeado do registro de alterações
alert_text	event.idm.read_only_udm.security_result.detection_fields	Mapeado do registro de alterações
attackid	event.idm.read_only_udm.security_result.detection_fields	Mapeado do registro de alterações
key_id	event.idm.read_only_udm.security_result.detection_fields	Mapeado do registro de alterações
individual_alert	event.idm.read_only_udm.security_result.detection_fields	Mapeado do registro de alterações
summary_alert_freq	event.idm.read_only_udm.security_result.detection_fields	Mapeado do registro de alterações
alert_grain	event.idm.read_only_udm.security_result.detection_fields	Mapeado do registro de alterações
IsConsumerMalicious	event.idm.read_only_udm.security_result.detection_fields	Mapeado do registro de alterações
IsProviderMalicious	event.idm.read_only_udm.security_result.detection_fields	Mapeado do registro de alterações
from	event.idm.read_only_udm.network.email.from	Mapeado do registro de alterações
to	event.idm.read_only_udm.network.email.to	Mapeado do registro de alterações
subject	event.idm.read_only_udm.network.email.subject	Mapeado do registro de alterações
size	event.idm.read_only_udm.network.sent_bytes	Mapeado do registro de alterações
attachment	event.idm.read_only_udm.additional.fields	Mapeado do registro de alterações
qtype	event.idm.read_only_udm.additional.fields	Mapeado do registro de alterações
xid	event.idm.read_only_udm.security_result.detection_fields	Mapeado do registro de alterações
action	event.idm.read_only_udm.security_result.action para ALLOW quando action for igual a ip-conn	Mapeado do registro de alterações
unauthuser	event.idm.read_only_udm.principal.user.userid	Mapeado do registro de alterações
user_name	event.idm.read_only_udm.principal.user.userid	Mapeado do registro de alterações
app_protocol_src	event.idm.read_only_udm.additional.fields	Mapeado do registro de alterações
cloudaction	event.idm.read_only_udm.additional.fields	Mapeado do registro de alterações
itime	event.idm.read_only_udm.additional.fields	Mapeado do registro de alterações
shapingpolicyname	event.idm.read_only_udm.additional.fields	Mapeado do registro de alterações
mastersrcmac	event.idm.read_only_udm.additional.fields	Mapeado do registro de alterações
dstdevtype	event.idm.read_only_udm.additional.fields	Mapeado do registro de alterações
eventsubtype	event.idm.read_only_udm.additional.fields	Mapeado do registro de alterações
pdstport	event.idm.read_only_udm.additional.fields	Mapeado do registro de alterações
psrcport	event.idm.read_only_udm.additional.fields	Mapeado do registro de alterações
clouduser	event.idm.read_only_udm.additional.fields	Mapeado do registro de alterações
unauthusersource	event.idm.read_only_udm.additional.fields	Mapeado do registro de alterações
devid	event.idm.read_only_udm.security_result.detection_fields	Mapeado do registro de alterações
incidentserialno	event.idm.read_only_udm.security_result.detection_fields	Mapeado do registro de alterações
poluuid	event.idm.read_only_udm.security_result.detection_fields	Mapeado do registro de alterações
http_retcode	event.idm.read_only_udm.network.http.response_code	Mapeado do registro de alterações
http_method	event.idm.read_only_udm.network.http.method	Mapeado do registro de alterações
http_url	event.idm.read_only_udm.target.url	Mapeado do registro de alterações
http_agent	event.idm.read_only_udm.network.http.user_agent	Mapeado do registro de alterações
srcfamily	event.idm.read_only_udm.principal.resource.attribute.labels	Mapeado do registro de alterações
cipher_suite	event.idm.read_only_udm.network.tls.cipher	Mapeado do registro de alterações
policy	event.idm.read_only_udm.security_result.rule_name	Mapeado do registro de alterações
http_response_bytes	event.idm.read_only_udm.network.received_bytes	Mapeado do registro de alterações
http_request_bytes	event.idm.read_only_udm.network.sent_bytes	Mapeado do registro de alterações
osname	event.idm.read_only_udm.principal.platform	Mapeado do registro de alterações
dstosname	event.idm.read_only_udm.target.platform	Mapeado do registro de alterações
scertcname	event.idm.read_only_udm.network.tls.client.certificate.subject	Mapeado do registro de alterações
dstswversion	event.idm.read_only_udm.target.platform_version	Mapeado do registro de alterações
dsthwvendor	event.idm.read_only_udm.target.resource.attribute.labels	Mapeado do registro de alterações
filesize	event.idm.read_only_udm.target.file.size	Mapeado do registro de alterações
http_version	event.idm.read_only_udm.network.application_protocol_version	Mapeado do registro de alterações
x509_cert_subject	event.idm.read_only_udm.network.tls.server.certificate.subject	Mapeado do registro de alterações
srcswversion	event.idm.read_only_udm.principal.platform_version	Mapeado do registro de alterações
tlsver	event.idm.read_only_udm.network.tls.version	Mapeado do registro de alterações
original_src	event.idm.read_only_udm.principal.ip	Mapeado do registro de alterações
http_host	event.idm.read_only_udm.target.hostname	Mapeado do registro de alterações
http_refer	event.idm.read_only_udm.network.http.referral_url	Mapeado do registro de alterações
agent	event.idm.read_only_udm.network.http.user_agent e event.idm.read_only_udm.network.http.parsed_user_agent	Mapeado do registro de alterações
dstname	target.hostname	Mapeado do registro de alterações
catdesc	security_result.rule_name	Mapeado do registro de alterações
crscore	security_result.detection_fields	Mapeado do registro de alterações
method	network.http.method	Mapeado do registro de alterações
filename	target.file.full_path	Mapeado do registro de alterações
dstuser	target.user.userid	Mapeado do registro de alterações
fsaverdict	additional.fields	Mapeado do registro de alterações
type", "subtype", and "level	metadata.ingestion_labels	Mapeado do registro de alterações
logdesc	metadata.description	Mapeado do registro de alterações
srcname	principal.hostname	Mapeado do registro de alterações
httpmethod	network.http.method	Mapeado do registro de alterações

Registro de alterações

Confira o registro de alterações deste analisador

Precisa de mais ajuda? Receba respostas de membros da comunidade e profissionais do Google SecOps.