Google utiliza tecnología de IA para traducir contenido a tu idioma preferido. Las traducciones realizadas con IA pueden contener errores.

Recopila registros de SonicWall

Compatible con:

Google SecOps SIEM

En este documento, se describe cómo puedes recopilar registros de SonicWall con un reenviador de Google Security Operations.

Para obtener más información, consulta Transferencia de datos a Google Security Operations.

Una etiqueta de transferencia identifica el analizador que normaliza los datos de registro sin procesar en formato UDM estructurado. La información de este documento se aplica al analizador con la etiqueta de transferencia SONIC_FIREWALL.

Configura el dispositivo de seguridad de SonicWall

Accede a la consola de SonicWall.
Ve a Log > Syslog.
En la sección Servidores Syslog, haz clic en Agregar. Aparecerá la ventana Agregar servidor Syslog.
En el campo Nombre o Dirección IP, proporciona el nombre de host o la dirección IP del reenviador de Google Security Operations.
Si tu configuración de syslog no usa el puerto 514 predeterminado, especifica el número de puerto en el campo Número de puerto.
Haz clic en Aceptar.
Haz clic en Aceptar para guardar todos los parámetros de configuración del Servidor Syslog.

Configura el reenviador de Google Security Operations y syslog para transferir registros de SonicWall

Ve a Settings > Data Management > Forwarders. Si estás en una plataforma solo de SIEM, ve a Configuración > Reenviadores.
Haz clic en Agregar nuevo reenviador.
En el campo Nombre del agente de reenvío, ingresa un nombre único para el agente de reenvío.
Haz clic en Enviar. Se agrega el agente de reenvío y aparece la ventana Agregar configuración del recopilador.
En el campo Nombre del recopilador, escribe un nombre.
Selecciona SonicWall como el Tipo de registro.
Selecciona Syslog como el Tipo de recopilador.
Configura los siguientes parámetros de entrada obligatorios:
- Protocolo: Especifica el protocolo de conexión que usará el recopilador para escuchar los datos de syslog.
- Dirección: Especifica la dirección IP o el nombre de host de destino en el que reside el recopilador y escucha los datos de syslog.
- Puerto: Especifica el puerto de destino en el que reside el recopilador y escucha los datos de syslog.
Haz clic en Enviar.

Para obtener más información sobre los reenviadores de Google Security Operations, consulta la documentación de los reenviadores de Google Security Operations.

Para obtener información sobre los requisitos de cada tipo de agente de reenvío, consulta Configuración del agente de reenvío por tipo.

Si tienes problemas para crear reenviadores, comunícate con el equipo de asistencia de Google Security Operations.

Referencia de asignación de campos

Este analizador extrae pares clave-valor de los mensajes de syslog del firewall de SonicWall, normaliza varios campos, como marcas de tiempo, direcciones IP y puertos, y los asigna al formato de UDM. Controla las direcciones IPv4 e IPv6, distingue entre los eventos permitidos y bloqueados, y extrae detalles relevantes para la seguridad, como los nombres y las descripciones de las reglas.

Registros de muestra de SonicWall compatibles

Evento de firewall estándar

{
  "type": "SONIC_FIREWALL",
  "log": "<134> id=SONICWALL_FIREWALL\n"
         "      sn=DEADD00D1234\n"
         "      time=\"2020-04-08 13:28:45\"\n"
         "      fw=192.0.2.1\n"
         "      pri=6\n"
         "      c=1024\n"
         "      gcat=2\n"
         "      m=97\n"
         "      msg=\"Web site hit\"\n"
         "      srcMac=00:00:5E:00:53:01\n"
         "      src=192.0.2.10:12345:X0\n"
         "      srcZone=LAN\n"
         "      natSrc=192.0.2.10:12345\n"
         "      dstMac=00:00:5E:00:53:02\n"
         "      dst=198.51.100.20:443:X0\n"
         "      dstZone=WAN\n"
         "      natDst=198.51.100.20:443\n"
         "      proto=tcp/https\n"
         "      sent=1247\n"
         "      rcvd=59996\n"
         "      rule=\"14 (LAN->WAN)\"\n"
         "      app=49175\n"
         "      appName=\"General HTTP\"\n"
         "      op=1\n"
         "      dstname=sanitized-host.com\n"
         "      arg=/sanitized/path/file.cab?id=REDACTED\n"
         "      code=27\n"
         "      Category=\"Information Technology/Computers\"\n"
         "      n=3451648"
}

Evento de sesión de SSL-VPN

{
  "type": "SONIC_FIREWALL",
  "log": "<181>SSLVPN: id=sslvpn\n"
         "      sn=DEADD00D1234\n"
         "      time=\"2020-04-10 10:07:11\"\n"
         "      vp_time=\"2020-04-10 08:07:11 UTC\"\n"
         "      fw=192.0.2.1\n"
         "      pri=5\n"
         "      m=2\n"
         "      c=102\n"
         "      src=203.0.113.50\n"
         "      dst=192.0.2.1\n"
         "      user=\"internal_user@company.com\"\n"
         "      usr=\"internal_user@company.com\"\n"
         "      msg=\"NetExtender disconnected\"\n"
         "      rule=access-policy\n"
         "      duration=731\n"
         "      bytesIn=47360\n"
         "      bytesOut=10\n"
         "      agent=\"SonicWALL NetExtender for Windows (REDACTED)\""
}

Control avanzado de amenazas y apps

{
  "type": "SONIC_FIREWALL",
  "log": "<129> id=PD_Firewall sn=DEADD00D1234 time=\"2024-03-06 12:33:40\"\n"
         "      fw=192.0.2.1 pri=1 c=0 m=1154 msg=\"Application Control Detection\n"
         "      Alert: PROTOCOLS DNS Protocol -- Standard Query A\" sid=5183\n"
         "      appcat=\"PROTOCOLS DNS Protocol -- Standard Query A\" appid=1283 catid=74\n"
         "      n=3235773 src=192.0.2.15:58482:X0 dst=203.0.113.1:53:X2\n"
         "      srcMac=00:00:5E:00:53:03 dstMac=00:00:5E:00:53:04 proto=udp/dns\n"
         "      fw_action=\"NA\""
}

Tabla de asignación de UDM

Campo de registro	Asignación de UDM	Lógica
agente	`event.idm.read_only_udm.network.http.user_agent`	El valor del campo `agent` se asigna al campo de UDM.
appcat	`event.idm.read_only_udm.security_result.summary`	El valor del campo `appcat` se asigna al campo de UDM. Si `appcat` contiene "PROXY-ACCESS", `event.idm.read_only_udm.security_result.category` se establece en "POLICY_VIOLATION" y `event.idm.read_only_udm.security_result.action` se establece en "BLOCK".
id de app	`event.idm.read_only_udm.security_result.rule_id`	El valor del campo `appid` se asigna al campo de UDM.
argumento	`event.idm.read_only_udm.target.resource.name`	El valor del campo `arg` se asigna al campo de UDM.
avgThroughput	`event.idm.read_only_udm.target.resource.attribute.labels`	Se agrega una etiqueta con la clave "avgThroughput" y el valor del campo `avgThroughput` al campo de UDM.
bytesIn	`event.idm.read_only_udm.network.received_bytes`	El valor del campo `bytesIn` se convierte en un número entero sin firma y se asigna al campo de UDM.
bytesOut	`event.idm.read_only_udm.network.sent_bytes`	El valor del campo `bytesOut` se convierte en un número entero sin firma y se asigna al campo de UDM.
bytesTotal	`event.idm.read_only_udm.target.resource.attribute.labels`	Se agrega una etiqueta con la clave "bytesTotal" y el valor del campo `bytesTotal` al campo de UDM.
Categoría	`event.idm.read_only_udm.security_result.category_details`	El valor del campo `Category` se asigna al campo de UDM.
cdur	`event.idm.read_only_udm.security_result.detection_fields`	Se agrega un campo de detección con la clave "Connection Duration (milli seconds)" y el valor del campo `cdur` al campo de UDM.
DST	`event.idm.read_only_udm.target.ip`, `event.idm.read_only_udm.target.port`	La IP y el puerto se extraen del campo `dst`. Si `dstV6` no está vacío, la IP se extrae de `dstV6`.
dstMac	`event.idm.read_only_udm.target.mac`	El valor del campo `dstMac` se asigna al campo de UDM.
dstV6	`event.idm.read_only_udm.target.ip`	La IP se extrae del campo `dstV6`.
dstname	`event.idm.read_only_udm.target.hostname`	Si `dstname` no es una dirección IP, su valor se asigna al campo de UDM.
duración	`event.idm.read_only_udm.network.session_duration.seconds`	El valor del campo `duration` se convierte en un número entero y se asigna al campo de UDM.
fw	`event.idm.read_only_udm.principal.ip`	El valor del campo `fw` se asigna al campo de UDM. Si `fw` contiene "-", se agrega a `event.idm.read_only_udm.additional.fields` una etiqueta con la clave "fw" y el valor del campo `fw`.
fw_action	`event.idm.read_only_udm.security_result.action_details`, `event.idm.read_only_udm.security_result.summary`, `event.idm.read_only_udm.security_result.action`	El valor del campo `fw_action` se asigna a `event.idm.read_only_udm.security_result.action_details`. Si `fw_action` es "drop", `event.idm.read_only_udm.security_result.action` se establece en "BLOCK" y `event.idm.read_only_udm.security_result.summary` se establece en el valor de `msg`.
gw	`event.idm.read_only_udm.intermediary.ip`	La dirección IP se extrae del campo `gw` y se asigna al campo de UDM.
id	`event.idm.read_only_udm.principal.hostname`, `event.idm.read_only_udm.principal.asset.hostname`	El valor del campo `id` se asigna a ambos campos de UDM.
maxThroughput	`event.idm.read_only_udm.target.resource.attribute.labels`	Se agrega una etiqueta con la clave "maxThroughput" y el valor del campo `maxThroughput` al campo de UDM.
msg	`event.idm.read_only_udm.security_result.summary`, `event.idm.read_only_udm.metadata.description`	Si `fw_action` no es "drop" o `appcat` está vacío, el valor del campo `msg` se asigna a `event.idm.read_only_udm.security_result.summary`. De lo contrario, se asigna a `event.idm.read_only_udm.metadata.description`.
natDst	`event.idm.read_only_udm.target.nat_ip`	La dirección IP se extrae del campo `natDst` y se asigna al campo de UDM.
natSrc	`event.idm.read_only_udm.principal.nat_ip`	La dirección IP se extrae del campo `natSrc` y se asigna al campo de UDM.
nota	`event.idm.read_only_udm.security_result.description`	El valor del campo `note`, después de extraer `dstip`, `srcip`, `gw` y `sec_desc`, se asigna al campo de UDM.
packetsIn	`event.idm.read_only_udm.target.resource.attribute.labels`	Se agrega una etiqueta con la clave "packetsIn" y el valor del campo `packetsIn` al campo de UDM.
packetsOut	`event.idm.read_only_udm.target.resource.attribute.labels`	Se agrega una etiqueta con la clave "packetsOut" y el valor del campo `packetsOut` al campo de UDM.
packetsTotal	`event.idm.read_only_udm.target.resource.attribute.labels`	Se agrega una etiqueta con la clave "packetsTotal" y el valor del campo `packetsTotal` al campo de UDM.
pri	`event.idm.read_only_udm.security_result.severity`	El valor del campo `pri` determina el valor del campo de UDM: 0, 1, 2 -> CRITICAL; 3 -> ERROR; 4 -> MEDIUM; 5, 7 -> LOW; 6 -> INFORMATIONAL.
protocolo	`event.idm.read_only_udm.network.ip_protocol`, `event.idm.read_only_udm.network.application_protocol`, `event.idm.read_only_udm.metadata.event_type`	Si `proto` contiene "udp", el `ip_protocol` de UDM se establece en "UDP" y `event_type` se establece en "NETWORK_CONNECTION". Si `proto` contiene "https", el UDM `application_protocol` se establece en "HTTPS".
rcvd	`event.idm.read_only_udm.network.received_bytes`	El valor del campo `rcvd` se convierte en un número entero sin firma y se asigna al campo de UDM.
regla	`event.idm.read_only_udm.security_result.rule_name`	El valor del campo `rule` se asigna al campo de UDM.
sec_desc	`event.idm.read_only_udm.security_result.description`	El valor del campo `sec_desc` se asigna al campo de UDM.
enviados	`event.idm.read_only_udm.network.sent_bytes`	El valor del campo `sent` se convierte en un número entero sin firma y se asigna al campo de UDM.
sess	`event.idm.read_only_udm.security_result.detection_fields`	Se agrega un campo de detección con la clave "Tipo de sesión" y el valor del campo `sess` al campo de UDM.
sn	`event.idm.read_only_udm.additional.fields`	Se agrega una etiqueta con la clave "SN" y el valor del campo `sn` al campo de UDM.
spkt	`event.idm.read_only_udm.network.sent_packets`	El valor del campo `spkt` se convierte en un número entero y se asigna al campo de UDM.
src	`event.idm.read_only_udm.principal.ip`, `event.idm.read_only_udm.principal.port`	La IP y el puerto se extraen del campo `src`. Si `srcV6` no está vacío, la IP se extrae de `srcV6`.
srcMac	`event.idm.read_only_udm.principal.mac`	El valor del campo `srcMac` se asigna al campo de UDM.
srcV6	`event.idm.read_only_udm.principal.ip`	La IP se extrae del campo `srcV6`.
srcip	`event.idm.read_only_udm.additional.fields`, `event.idm.read_only_udm.principal.ip`	Si `srcip` contiene "-", se agrega a `event.idm.read_only_udm.additional.fields` una etiqueta con la clave "srcip" y el valor del campo `srcip`. De lo contrario, el valor de `srcip` se asigna a `event.idm.read_only_udm.principal.ip`.
hora	`event.idm.read_only_udm.metadata.event_timestamp`	El valor del campo `time` se analiza y se convierte en una marca de tiempo, que luego se asigna al campo de UDM.
tipo	`event.idm.read_only_udm.network.ip_protocol`	Si el campo `proto` es "icmp", el campo de UDM se establece en "ICMP".
user/usr	`event.idm.read_only_udm.principal.user.email_addresses`, `event.idm.read_only_udm.principal.user.user_display_name`, `event.idm.read_only_udm.principal.user.userid`	Si `user` está vacío, se usa el valor de `usr` en su lugar. Si el valor contiene "@", se trata como una dirección de correo electrónico y se agrega a `email_addresses`. Si contiene un espacio, se trata como un nombre visible. De lo contrario, se trata como un ID de usuario.
vpnpolicy	`event.idm.read_only_udm.security_result.detection_fields`	Se agrega un campo de detección con la clave "vpnpolicy" y el valor del campo `vpnpolicy` al campo de UDM. Está codificado como "SonicWall". Está codificado como "Firewall". Está codificado como "SONIC_FIREWALL". Se determina por lógica según los valores de otros campos. El valor predeterminado es "GENERIC_EVENT", pero puede ser "STATUS_UPDATE", "NETWORK_CONNECTION" o "NETWORK_HTTP".
`op`	`event.idm.read_only_udm.network.http.method`	Asignado desde el registro de cambios
`appName`	`event.idm.read_only_udm.target.application`	Asignado desde el registro de cambios
`srcZone`	`event.idm.read_only_udm.principal.location.name`	Asignado desde el registro de cambios
`dstZone`	`event.idm.read_only_udm.target.location.name`	Asignado desde el registro de cambios
`change`	`event.idm.read_only_udm.security_result.detection_fields`	Asignado desde el registro de cambios
`app`	`event.idm.read_only_udm.metadata.product_log_id`	Asignado desde el registro de cambios
`Network_data`	`event.idm.read_only_udm.additional.fields`	Asignado desde el registro de cambios
`dpi`	`event.idm.read_only_udm.additional.fields`	Asignado desde el registro de cambios
`src_interface`	`event.idm.read_only_udm.principal.resource.attribute.labels`	Asignado desde el registro de cambios
`dst_interface`	`event.idm.read_only_udm.target.resource.attribute.labels`	Asignado desde el registro de cambios
`syslog_priority`	`event.idm.read_only_udm.security_result.detection_fields`	Asignado desde el registro de cambios
`net_application`	`event.idm.read_only_udm.network.application_protocol`	Asignado desde el registro de cambios
`firewall_serial_number`	`intermediary.asset_id`	Asignado desde el registro de cambios
`vpnpolicyDst`	`additional.fields`	Asignado desde el registro de cambios
`FileId`	`additional.fields`	Asignado desde el registro de cambios
`firewall_hostname`	`intermediary.hostname`	Asignado desde el registro de cambios
`sn`	`intermediary.asset_id`	Asignado desde el registro de cambios
`fw`	`observer.ip`	Asignado desde el registro de cambios
`id`	`target.resource.id`	Asignado desde el registro de cambios

Registro de cambios

Consulta el registro de cambios de este analizador

¿Necesitas más ayuda? Obtén respuestas de miembros de la comunidad y profesionales de Google SecOps.