Google 會運用 AI 技術將內容翻譯成你偏好的語言，但可能會出錯。

收集 Fortinet Web Proxy 記錄

剖析器版本：3.0

支援的國家/地區：

Google SecOps SIEM

本文說明如何使用 Bindplane 代理程式，將 Fortinet Web Proxy 記錄檔擷取至 Google Security Operations。

Fortinet FortiGate 網路 Proxy 會產生明確和透明 Proxy 工作階段的記錄，擷取 HTTP/HTTPS 流量、網址篩選決策和網路存取事件。記錄檔採用 syslog 鍵/值格式，包含網路中繼資料、安全性動作和使用者身分資訊。

事前準備

請確認您符合下列必要條件：

Google SecOps 執行個體
Windows Server 2016 以上版本，或搭載 systemd 的 Linux 主機
Bindplane 代理程式與 FortiGate 裝置之間的網路連線
如果透過 Proxy 執行，請確保防火牆通訊埠已根據 Bindplane 代理程式需求開啟
具備管理員權限，可存取 FortiGate 設備

取得 Google SecOps 擷取驗證檔案

登入 Google SecOps 控制台。
依序前往「SIEM 設定」>「收集代理程式」。
下載擷取驗證檔案。
將檔案安全地儲存在要安裝 Bindplane 的系統上。

注意： 這個 JSON 檔案包含驗證 Bindplane 代理程式與 Google SecOps 的憑證。

取得 Google SecOps 客戶 ID

登入 Google SecOps 控制台。
依序前往「SIEM 設定」 > 「設定檔」。
複製並儲存「機構詳細資料」專區中的「客戶 ID」。

注意： 設定 Bindplane 代理程式匯出工具時，必須提供客戶 ID。

安裝 Bindplane 代理程式

請按照下列操作說明，在 Windows 或 Linux 作業系統上安裝 Bindplane 代理程式。

Windows 安裝

以管理員身分開啟「命令提示字元」或「PowerShell」。

執行下列指令：

msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

等待安裝完成。
執行下列指令，確認安裝成功：
```
sc query observiq-otel-collector
```
服務應顯示為「RUNNING」。

安裝 Linux

開啟具有根層級或 sudo 權限的終端機。

執行下列指令：

sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

等待安裝完成。
執行下列指令，確認安裝成功：
```
sudo systemctl status observiq-otel-collector
```
服務應顯示為「active (running)」。

其他安裝資源

如需其他安裝選項和疑難排解資訊，請參閱 Bindplane 代理程式安裝指南。

設定 Bindplane 代理，擷取系統記錄檔並傳送至 Google SecOps

找出設定檔

Linux：

sudo nano /opt/observiq-otel-collector/config.yaml

Windows：

notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"

編輯設定檔

將 config.yaml 的全部內容替換為下列設定：

receivers:
    udplog:
        listen_address: "0.0.0.0:514"

exporters:
    chronicle/fortinet_webproxy:
        compression: gzip
        creds_file_path: '/etc/bindplane-agent/ingestion-auth.json'
        customer_id: '<customer_id>'
        endpoint: malachiteingestion-pa.googleapis.com
        log_type: FORTINET_WEBPROXY
        raw_log_field: body
        ingestion_labels:
            env: production

service:
    pipelines:
        logs/webproxy_to_chronicle:
            receivers:
                - udplog
            exporters:
                - chronicle/fortinet_webproxy

設定參數

請替換下列預留位置：

接收器設定：
- udplog：根據通訊協定的接收器類型：
  - udplog (適用於 UDP syslog)
  - tcplog (適用於 TCP Syslog)
- 0.0.0.0：要接聽的 IP 位址：
  - 0.0.0.0 在所有介面接聽電話 (建議)
  - 監聽單一介面的特定 IP 位址
- 514：要監聽的通訊埠編號 (例如 514、1514、6514)
匯出工具設定：
- fortinet_webproxy：匯出工具的說明名稱
- creds_file_path：擷取驗證檔案的完整路徑：
  - Linux：/etc/bindplane-agent/ingestion-auth.json
  - Windows：C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
- <customer_id>：上一步取得的客戶 ID
- endpoint：區域端點網址：
  - 美國：malachiteingestion-pa.googleapis.com
  - 歐洲：europe-malachiteingestion-pa.googleapis.com
  - 亞洲：asia-southeast1-malachiteingestion-pa.googleapis.com
  - 如需完整清單，請參閱「區域端點」
- FORTINET_WEBPROXY：記錄類型，與 Chronicle 中顯示的完全相同
- ingestion_labels：YAML 格式的選用標籤 (例如 env: production)
管道設定：
- webproxy_to_chronicle：管道的說明名稱

儲存設定檔

編輯完畢後，請儲存檔案：
- Linux：依序按下 Ctrl+O、Enter 和 Ctrl+X
- Windows：依序點選「檔案」 > 「儲存」

重新啟動 Bindplane 代理程式，套用變更

如要在 Linux 中重新啟動 Bindplane 代理程式，請執行下列指令：

sudo systemctl restart observiq-otel-collector

確認服務正在執行：

sudo systemctl status observiq-otel-collector

查看記錄檔是否有錯誤：

sudo journalctl -u observiq-otel-collector -f

如要在 Windows 中重新啟動 Bindplane 代理程式，請選擇下列任一選項：
- 以管理員身分開啟命令提示字元或 PowerShell：
```
net stop observiq-otel-collector && net start observiq-otel-collector
```
- 服務控制台：
  1. 按下 Win+R，輸入 services.msc，然後按下 Enter 鍵。
  2. 找出「observIQ OpenTelemetry Collector」。
  3. 按一下滑鼠右鍵，然後選取「重新啟動」。
  4. 確認服務是否正在執行：
```
sc query observiq-otel-collector
```
  5. 檢查記錄是否有錯誤：
```
type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"
```

設定 Fortinet FortiGate 網路 Proxy syslog 轉送

登入 FortiGate 網頁介面。
依序前往「記錄和報告」>「記錄設定」。
向下捲動至「遠端記錄和封存」部分。
在「系統記錄檔」下方，按一下「新增」。
提供下列設定詳細資料：
- 名稱：輸入描述性名稱 (例如 Chronicle-Bindplane)。
- IP 位址/FQDN：輸入 Bindplane 代理程式主機的 IP 位址 (例如 192.168.1.100)。
- 通訊埠：輸入 514 (必須與 Bindplane 代理程式接收器通訊埠相符)。
- 「通訊協定」：選取「UDP」。
- 最低層級：選取「資訊」或「通知」。
確認已啟用「Web Proxy」記錄類別。或者，您也可以使用 CLI 設定系統記錄篩選器：
```
config log syslogd setting
    set status enable
    set server <BINDPLANE_AGENT_IP>
    set port 514
end
config log syslogd filter
    set filter "logid(0300)"
    set filter-type include
end
```
- 0300 記錄 ID 範圍涵蓋網路 Proxy 事件。根據環境調整濾鏡。
- 將 <BINDPLANE_AGENT_IP> 替換為 Bindplane 代理程式主機的 IP 位址。
按一下「確定」儲存。
按一下右上方的「套用」，套用設定。
檢查 Bindplane 代理程式記錄，確認系統是否收到 Syslog 訊息。

UDM 對應表

記錄欄位	UDM 對應	邏輯
group、profile、agent、subtype、catdesc、reqtype	additional.fields	與從各欄位建立的標籤合併
action、has_network、has_principal、has_target	metadata.event_type	如果動作是 auth-logon，則設為 USER_LOGIN；如果 has_network 為 true，則設為 NETWORK_HTTP；如果 has_principal 和 has_target 為 true，則設為 NETWORK_CONNECTION；如果 has_principal 為 true，則設為 STATUS_UPDATE；否則設為 GENERIC_EVENT
eventtype	metadata.product_event_type	直接複製值
logid	metadata.product_log_id	直接複製值
	metadata.product_name	設為「FORTINET_WEBPROXY」
	metadata.vendor_name	設為「FORTINET_WEBPROXY」
服務	network.application_protocol	如果服務採用 HTTP 或 HTTPS，則直接複製值
方向	network.direction	如果是傳入、內送或回覆，請設為 INBOUND；如果是傳出或外寄，請設為 OUTBOUND
httpmethod	network.http.method	如果 httpmethod 為 GET、POST，則直接複製值
referralurl	network.http.referral_url	直接複製值
proto、子類型、服務	network.ip_protocol	如果 proto=17，請設為 UDP；如果 proto=6 或 subtype=wad，請設為 TCP；如果 proto=41，請設為 IP6IN4；如果 service=PING 或 proto=1 或 service 符合 ICMP，請設為 ICMP
rcvdbyte	network.received_bytes	已轉換為非帶號整數
sentbyte	network.sent_bytes	已轉換為不帶正負號的整數
sessionid	network.session_id	直接複製值
devname	principal.asset.hostname	直接複製值
srcip	principal.asset.ip	直接複製值
devname	principal.hostname	直接複製值
srcip	principal.ip	直接複製值
srccountry	principal.location.country_or_region	如果不是「Reserved」且不為空白，則直接複製值
srcport	principal.port	已轉換為整數
srcuuid	principal.user.product_object_id	直接複製值
vd	principal.user.user_display_name	直接複製值
使用者	principal.user.userid	直接複製值
filtername	security_result.about.resource.attribute.labels	如果不是空白或「-」，則會與從篩選器名稱建立的標籤合併
動作	security_result.action	如果 action=blocked，則設為 BLOCK；如果 action 為 accept、passthrough，則設為 ALLOW
devid、policyid、srcintf、srcintfrole、ratemethod、cat	security_result.detection_fields	與從各個欄位建立的標籤合併
msg	security_result.description	直接複製值
poluuid	security_result.rule_id	直接複製值
policytype	security_result.rule_type	直接複製值
level	security_result.severity	如果 level=warning，則設為 HIGH；如果 level=notice，則設為 MEDIUM
類型	security_result.summary	直接複製值
dstip	target.asset.ip	直接複製值
filename	target.file.full_path	直接複製值
filetype	target.file.mime_type	直接複製值
filesize	target.file.size	已轉換為非帶號整數
主機名稱	target.hostname	直接複製值
dstip	target.ip	直接複製值
dstcountry	target.location.country_or_region	直接複製值
dstport	target.port	已轉換為整數
dstintf、dstintfrole	target.resource.attribute.labels	與從各欄位建立的標籤合併
dstuuid	target.resource.product_object_id	直接複製值
網址	target.url	直接複製值
`eventtime`	`event.idm.read_only_udm.metadata.event_timestamp`	從變更記錄對應
`ts`	`event.idm.read_only_udm.metadata.collected_timestamp`	從變更記錄對應
`transid`	`event.idm.read_only_udm.additional.fields`	從變更記錄對應
`method`	`event.idm.read_only_udm.security_result.detection_fields`	從變更記錄對應

變更記錄

查看這個剖析器的變更記錄

還有其他問題嗎？向社群成員和 Google SecOps 專業人員尋求解答。