收集 Hillstone 防火牆記錄

支援的國家/地區：

Google SecOps SIEM

本文說明如何使用 Bindplane，將 Hillstone Firewall 記錄檔擷取至 Google Security Operations。

Hillstone Firewall 是新一代防火牆，提供進階威脅偵測和防護功能、應用程式控管、入侵防護和政策自動化功能。防火牆提供全方位的安全防護功能，包括即時威脅防護、統一威脅管理和智慧政策運作，可保護網路基礎架構免受已知和未知威脅。

事前準備

請確認您已完成下列事前準備事項：

Google SecOps 執行個體
Windows Server 2016 以上版本，或搭載 systemd 的 Linux 主機
Bindplane 代理程式與 Hillstone 防火牆之間的網路連線
如果透過 Proxy 執行，請確保防火牆通訊埠已根據 Bindplane 代理程式需求開啟
Hillstone 防火牆管理控制台或裝置的特殊權限存取權
Hillstone 防火牆網頁介面的管理員憑證

取得 Google SecOps 擷取驗證檔案

登入 Google SecOps 控制台。
依序前往「SIEM 設定」>「收集代理程式」。
下載擷取驗證檔案。將檔案安全地儲存在要安裝 Bindplane 的系統上。

取得 Google SecOps 客戶 ID

登入 Google SecOps 控制台。
依序前往「SIEM 設定」>「設定檔」。
複製並儲存「機構詳細資料」專區中的客戶 ID。

安裝 Bindplane 代理程式

請按照下列操作說明，在 Windows 或 Linux 作業系統上安裝 Bindplane 代理程式。

Windows 安裝

以管理員身分開啟「命令提示字元」或「PowerShell」。

執行下列指令：

msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

等待安裝完成。
執行下列指令來驗證安裝：
```
sc query observiq-otel-collector
```

服務應顯示為「RUNNING」(執行中)。

Linux 安裝

開啟具有根層級或 sudo 權限的終端機。

執行下列指令：

sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

等待安裝完成。

執行下列指令來驗證安裝：

sudo systemctl status observiq-otel-collector

服務應顯示為啟用 (執行中)。

其他安裝資源

如需其他安裝選項和疑難排解資訊，請參閱 Bindplane 代理程式安裝指南。

設定 Bindplane 代理程式，擷取系統記錄檔並傳送至 Google SecOps

找出設定檔

Linux：

sudo nano /etc/bindplane-agent/config.yaml

Windows：

notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"

編輯設定檔

將 config.yaml 的所有內容替換為下列設定：

receivers:
  udplog:
    listen_address: "0.0.0.0:514"

exporters:
  chronicle/hillstone_firewall:
    compression: gzip
    creds_file_path: '/etc/bindplane-agent/ingestion-auth.json'
    customer_id: 'YOUR_CUSTOMER_ID'
    endpoint: malachiteingestion-pa.googleapis.com
    log_type: HILLSTONE_NGFW
    raw_log_field: body
    ingestion_labels:
      env: production
      source: hillstone_firewall

service:
  pipelines:
    logs/hillstone_to_chronicle:
      receivers:
        - udplog
      exporters:
        - chronicle/hillstone_firewall

設定參數

請替換下列預留位置：

接收器設定：
- 接收器已設為監聽所有介面 (0.0.0.0) 的 UDP 通訊埠 514。
匯出工具設定：
- creds_file_path：擷取驗證檔案的完整路徑：
  - Linux：/etc/bindplane-agent/ingestion-auth.json
  - Windows：C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
- customer_id：將 YOUR_CUSTOMER_ID 替換為上一個步驟中的客戶 ID。
- endpoint：區域端點網址：
  - 美國：malachiteingestion-pa.googleapis.com
  - 歐洲：europe-malachiteingestion-pa.googleapis.com
  - 亞洲：asia-southeast1-malachiteingestion-pa.googleapis.com
  - 如要查看完整清單，請參閱「區域端點」。
- log_type：設為 HILLSTONE_NGFW，與顯示內容完全一致。
- ingestion_labels：YAML 格式的選用標籤 (可視需要自訂)。

儲存設定檔

編輯完成後，請儲存檔案：

Linux：依序按下 Ctrl+O、Enter 和 Ctrl+X
Windows：依序點選「檔案」>「儲存」

重新啟動 Bindplane 代理程式，以套用變更

如要在 Linux 中重新啟動 Bindplane 代理程式，請執行下列指令：

sudo systemctl restart observiq-otel-collector

確認服務正在執行：

  sudo systemctl status observiq-otel-collector

檢查記錄中是否有錯誤：

  sudo journalctl -u observiq-otel-collector -f

如要在 Windows 中重新啟動 Bindplane 代理程式，請選擇下列任一做法：
- 以管理員身分開啟命令提示字元或 PowerShell：
```
net stop observiq-otel-collector && net start observiq-otel-collector
```
- 服務控制台：
  1. 按下 Win+R 鍵，輸入 services.msc，然後按下 Enter 鍵。
  2. 找出 observIQ OpenTelemetry Collector。
  3. 按一下滑鼠右鍵，然後選取「重新啟動」。
  4. 確認服務正在執行：
```
sc query observiq-otel-collector
```
  5. 檢查記錄中是否有錯誤：
```
type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"
```

設定 Hillstone 防火牆系統記錄檔轉送

建立系統記錄伺服器

登入 Hillstone 防火牆網頁介面。
依序前往「Log」(記錄) >「Configuration」(設定) >「Syslog Server」(系統記錄伺服器)，即可前往「Syslog Server List」(系統記錄伺服器清單) 頁面。
按一下「新增」，建立新的系統記錄伺服器。
在「Syslog Server Configuration」(系統記錄伺服器設定) 對話方塊中，進行下列設定：
- 主機名稱：輸入 Bindplane 代理程式主機的 IP 位址 (例如 192.168.1.100)。
- 繫結：選取「虛擬路由器」，然後從下拉式清單中選取虛擬路由器，或選取「來源介面」，然後從下拉式清單中選取來源介面。
- 通訊協定：從下拉式清單中選取「UDP」。
- 「Port」(通訊埠)：輸入 514。
- 記錄類型：選取要讓系統記錄伺服器接收的記錄類型。可用的記錄類型包括：
  - 事件：系統和管理活動稽核、路由和網路事件。
  - 警報：嚴重性為緊急、警示和重大的記錄檔。
  - 安全性：安全性事件，例如攻擊防禦和應用程式安全性。
  - IPS：網路入侵防護事件。
  - 設定：在指令列介面變更設定。
  - 網路：網路服務作業，例如 PPPoE 和 DDNS。
  - 工作階段：工作階段記錄，包括通訊協定、來源和目的地 IP 位址與通訊埠。
  - NAT：NAT 記錄，包括 NAT 類型、來源和目的地 IP 位址與通訊埠。
按一下「確定」，儲存系統記錄伺服器設定。

為每種記錄類型啟用記錄轉送功能

依序前往「Log」>「Configuration」>「Log」，即可前往「Log Configuration」頁面。
按一下要設定的記錄類型分頁標籤 (例如「事件」、「警報」、「安全性」、「IPS」、「設定」、「網路」、「工作階段」或「NAT」)。
針對要轉送的每種記錄類型：
1. 選取「啟用」即可啟用記錄功能。
2. 選取「系統記錄伺服器」，將記錄檔匯出至系統記錄伺服器。
3. 在「最低嚴重程度」下拉式清單中，選取最低嚴重程度。系統不會匯出低於所選嚴重程度的記錄。
4. 按一下「All syslog servers」(所有系統記錄伺服器) 連結，確認已列出您設定的系統記錄伺服器。
按一下「確定」儲存設定。
針對要轉送至 Google SecOps 的每種記錄類型，重複執行步驟 2 到 4。

確認記錄轉送

在 Bindplane 代理程式主機上，確認是否收到系統記錄訊息：

Linux：

sudo journalctl -u observiq-otel-collector -f

Windows：

type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"

尋找記錄項目，確認系統已成功接收並轉送 Hillstone 防火牆記錄。
5 到 10 分鐘後，請確認記錄是否顯示在 Google SecOps 控制台中。

UDM 對應表

記錄欄位	UDM 對應	邏輯
start_time_label、close_time_label、state_label、vr_label	additional.fields	其他中繼資料欄位
遞減	metadata.description	事件說明
	metadata.event_type	活動類型
	metadata.product_name	產品名稱
	metadata.vendor_name	供應商名稱
protocol_number_src	network.ip_protocol	使用的 IP 通訊協定
receive_bytes	network.received_bytes	接收的位元組數
receive_packets	network.received_packets	接收的封包數
send_bytes	network.sent_bytes	傳送的位元組數
send_packets	network.sent_packets	傳送的封包數
session_id	network.session_id	工作階段 ID
主機	principal.asset.hostname	主要資產的主機名稱
src_ip	principal.asset.ip	主要資產的 IP 位址
zone_val	principal.cloud.availability_zone	Cloud 可用區
主機	principal.hostname	主體的主機名稱
src_ip	principal.ip	主體的 IP 位址
mac_address	principal.mac	主體的 MAC 位址
src_port	principal.port	主體的通訊埠編號
ethernet_src_label	principal.resource.attribute.labels	主體資源屬性的標籤
id	principal.user.userid	主體的使用者 ID
dst_ip	target.asset.ip	目標資產的 IP 位址
dst_ip	target.ip	目標的 IP 位址
dst_port	target.port	目標的通訊埠號碼
ethernet_dst_label	target.resource.attribute.labels	目標資源屬性的標籤
政策	target.resource.name	目標資源名稱
政策	target.resource.type	目標資源類型
使用者	target.user.userid	目標的使用者 ID

還有其他問題嗎？向社群成員和 Google SecOps 專業人員尋求答案。