‫Google משתמשת בטכנולוגיית AI כדי לתרגם תוכן לשפה המועדפת עליך. בתרגומים כאלו עשויות להיות שגיאות.

איסוף יומנים של SonicWall

נתמך ב:

Google SecOps SIEM

במאמר הזה מוסבר איך לאסוף יומנים של SonicWall באמצעות מעביר של Google Security Operations.

מידע נוסף זמין במאמר בנושא העברת נתונים אל Google Security Operations.

תווית הטמעה מזהה את מנתח התוכן שמנרמל נתוני יומן גולמיים לפורמט UDM מובנה. המידע במסמך הזה רלוונטי למנתח התוכן עם תווית ההטמעה SONIC_FIREWALL.

הגדרת מכשיר אבטחה של SonicWall

נכנסים למסוף SonicWall.
עוברים אל Log (יומן) > Syslog (יומן מערכת).
בקטע Syslog servers (שרתי Syslog), לוחצים על Add (הוספה). מופיע החלון הוספת שרת syslog.
בשדה Name או IP address, מזינים את שם המארח או את כתובת ה-IP של מעביר הנתונים של Google Security Operations.
אם בתצורת syslog לא נעשה שימוש ביציאה 514 שמוגדרת כברירת מחדל, בשדה מספר היציאה מציינים את מספר היציאה.
לוחצים על אישור.
לוחצים על אישור כדי לשמור את כל ההגדרות של שרת ה-syslog.

הגדרת מעביר ו-syslog של Google Security Operations להטמעה של יומני SonicWall

עוברים אל SIEM Settings (הגדרות SIEM) > Forwarders (העברה).
לוחצים על הוספת מעביר חדש.
בשדה שם המעביר, מזינים שם ייחודי למעביר.
לוחצים על שליחה. המעביר נוסף ומופיע החלון Add collector configuration (הוספת הגדרת איסוף).
בשדה Collector name (שם המאסף), מקלידים שם.
בוחרים באפשרות SonicWall בתור סוג היומן.
בוחרים באפשרות Syslog בתור סוג האוסף.
מגדירים את פרמטרי הקלט הבאים שהם חובה:
- פרוטוקול: מציינים את פרוטוקול החיבור שבו הכלי לאיסוף נתונים ישתמש כדי להאזין לנתוני syslog.
- כתובת: מציינים את כתובת ה-IP או את שם המארח של היעד שבו נמצא המאסף והוא מאזין לנתוני syslog.
- יציאה: מציינים את יציאת היעד שבה נמצא האוסף ושדרכה הוא מאזין לנתוני syslog.
לוחצים על שליחה.

מידע נוסף על מעבירי נתונים של Google Security Operations זמין במסמכי התיעוד של מעבירי הנתונים של Google Security Operations.

מידע על הדרישות לכל סוג של מעביר זמין במאמר הגדרת מעביר לפי סוג.

אם נתקלתם בבעיות כשאתם יוצרים כללי העברה, פנו לתמיכה של Google Security Operations.

הפניה למיפוי שדות

הכלי הזה מנתח הודעות syslog של חומת אש של SonicWall, מחלץ מהן צמדי מפתח/ערך, מבצע נורמליזציה של שדות שונים כמו חותמות זמן, כתובות IP ויציאות, וממפה אותם לפורמט UDM. הוא מטפל בכתובות IPv4 ו-IPv6, מבחין בין אירועים מותרים לבין אירועים חסומים, ומחלץ פרטים שרלוונטיים לאבטחה, כמו שמות ותיאורים של כללים.

יומנים לדוגמה של SonicWall שנתמכים

אירוע סטנדרטי בחומת האש

{
  "type": "SONIC_FIREWALL",
  "log": "<134> id=SONICWALL_FIREWALL\n"
         "      sn=DEADD00D1234\n"
         "      time=\"2020-04-08 13:28:45\"\n"
         "      fw=192.0.2.1\n"
         "      pri=6\n"
         "      c=1024\n"
         "      gcat=2\n"
         "      m=97\n"
         "      msg=\"Web site hit\"\n"
         "      srcMac=00:00:5E:00:53:01\n"
         "      src=192.0.2.10:12345:X0\n"
         "      srcZone=LAN\n"
         "      natSrc=192.0.2.10:12345\n"
         "      dstMac=00:00:5E:00:53:02\n"
         "      dst=198.51.100.20:443:X0\n"
         "      dstZone=WAN\n"
         "      natDst=198.51.100.20:443\n"
         "      proto=tcp/https\n"
         "      sent=1247\n"
         "      rcvd=59996\n"
         "      rule=\"14 (LAN->WAN)\"\n"
         "      app=49175\n"
         "      appName=\"General HTTP\"\n"
         "      op=1\n"
         "      dstname=sanitized-host.com\n"
         "      arg=/sanitized/path/file.cab?id=REDACTED\n"
         "      code=27\n"
         "      Category=\"Information Technology/Computers\"\n"
         "      n=3451648"
}

אירוע של סשן SSL-VPN

{
  "type": "SONIC_FIREWALL",
  "log": "<181>SSLVPN: id=sslvpn\n"
         "      sn=DEADD00D1234\n"
         "      time=\"2020-04-10 10:07:11\"\n"
         "      vp_time=\"2020-04-10 08:07:11 UTC\"\n"
         "      fw=192.0.2.1\n"
         "      pri=5\n"
         "      m=2\n"
         "      c=102\n"
         "      src=203.0.113.50\n"
         "      dst=192.0.2.1\n"
         "      user=\"internal_user@company.com\"\n"
         "      usr=\"internal_user@company.com\"\n"
         "      msg=\"NetExtender disconnected\"\n"
         "      rule=access-policy\n"
         "      duration=731\n"
         "      bytesIn=47360\n"
         "      bytesOut=10\n"
         "      agent=\"SonicWALL NetExtender for Windows (REDACTED)\""
}

שליטה מתקדמת באיומים ובאפליקציות

{
  "type": "SONIC_FIREWALL",
  "log": "<129> id=PD_Firewall sn=DEADD00D1234 time=\"2024-03-06 12:33:40\"\n"
         "      fw=192.0.2.1 pri=1 c=0 m=1154 msg=\"Application Control Detection\n"
         "      Alert: PROTOCOLS DNS Protocol -- Standard Query A\" sid=5183\n"
         "      appcat=\"PROTOCOLS DNS Protocol -- Standard Query A\" appid=1283 catid=74\n"
         "      n=3235773 src=192.0.2.15:58482:X0 dst=203.0.113.1:53:X2\n"
         "      srcMac=00:00:5E:00:53:03 dstMac=00:00:5E:00:53:04 proto=udp/dns\n"
         "      fw_action=\"NA\""
}

טבלת מיפוי UDM

שדה ביומן	מיפוי UDM	היגיון
סוכן	`event.idm.read_only_udm.network.http.user_agent`	הערך של השדה `agent` מוקצה לשדה UDM.
appcat	`event.idm.read_only_udm.security_result.summary`	הערך של השדה `appcat` מוקצה לשדה UDM. אם `appcat` מכיל את הערך PROXY-ACCESS,‏ `event.idm.read_only_udm.security_result.category` מוגדר לערך POLICY_VIOLATION ו-`event.idm.read_only_udm.security_result.action` מוגדר לערך BLOCK.
appid	`event.idm.read_only_udm.security_result.rule_id`	הערך של השדה `appid` מוקצה לשדה UDM.
arg	`event.idm.read_only_udm.target.resource.name`	הערך של השדה `arg` מוקצה לשדה UDM.
avgThroughput	`event.idm.read_only_udm.target.resource.attribute.labels`	תווית עם המפתח avgThroughput והערך מהשדה `avgThroughput` מתווספת לשדה UDM.
bytesIn	`event.idm.read_only_udm.network.received_bytes`	הערך של השדה `bytesIn` מומר למספר שלם לא חתום ומוקצה לשדה UDM.
bytesOut	`event.idm.read_only_udm.network.sent_bytes`	הערך של השדה `bytesOut` מומר למספר שלם לא חתום ומוקצה לשדה UDM.
bytesTotal	`event.idm.read_only_udm.target.resource.attribute.labels`	תווית עם המפתח bytesTotal והערך מהשדה `bytesTotal` מתווספת לשדה UDM.
קטגוריה	`event.idm.read_only_udm.security_result.category_details`	הערך של השדה `Category` מוקצה לשדה UDM.
cdur	`event.idm.read_only_udm.security_result.detection_fields`	שדה זיהוי עם המפתח Connection Duration (milli seconds) והערך מהשדה `cdur` נוסף לשדה UDM.
dst	`event.idm.read_only_udm.target.ip`, `event.idm.read_only_udm.target.port`	כתובת ה-IP והיציאה מחולצות מהשדה `dst`. אם `dstV6` לא ריק, כתובת ה-IP מחולצת מ-`dstV6`.
dstMac	`event.idm.read_only_udm.target.mac`	הערך של השדה `dstMac` מוקצה לשדה UDM.
dstV6	`event.idm.read_only_udm.target.ip`	כתובת ה-IP מחולצת מהשדה `dstV6`.
dstname	`event.idm.read_only_udm.target.hostname`	אם `dstname` היא לא כתובת IP, הערך שלה מוקצה לשדה UDM.
duration	`event.idm.read_only_udm.network.session_duration.seconds`	הערך של השדה `duration` מומר למספר שלם ומוקצה לשדה UDM.
fw	`event.idm.read_only_udm.principal.ip`	הערך של השדה `fw` מוקצה לשדה UDM. אם `fw` מכיל את התו '-', תווית עם המפתח 'fw' והערך מהשדה `fw` מתווספת ל-`event.idm.read_only_udm.additional.fields`.
fw_action	`event.idm.read_only_udm.security_result.action_details`, `event.idm.read_only_udm.security_result.summary`, `event.idm.read_only_udm.security_result.action`	הערך של השדה `fw_action` מוקצה ל-`event.idm.read_only_udm.security_result.action_details`. אם הערך של `fw_action` הוא drop, הערך של `event.idm.read_only_udm.security_result.action` מוגדר כ-BLOCK והערך של `event.idm.read_only_udm.security_result.summary` מוגדר כערך של `msg`.
gw	`event.idm.read_only_udm.intermediary.ip`	כתובת ה-IP מחולצת מהשדה `gw` ומוקצית לשדה UDM.
id	`event.idm.read_only_udm.principal.hostname`, `event.idm.read_only_udm.principal.asset.hostname`	הערך של השדה `id` מוקצה לשני שדות UDM.
maxThroughput	`event.idm.read_only_udm.target.resource.attribute.labels`	תווית עם המפתח maxThroughput והערך מהשדה `maxThroughput` מתווספת לשדה UDM.
msg	`event.idm.read_only_udm.security_result.summary`, `event.idm.read_only_udm.metadata.description`	אם הערך של `fw_action` הוא לא drop או אם `appcat` ריק, הערך של השדה `msg` מוקצה ל-`event.idm.read_only_udm.security_result.summary`. אחרת, הוא מוקצה ל-`event.idm.read_only_udm.metadata.description`.
natDst	`event.idm.read_only_udm.target.nat_ip`	כתובת ה-IP מחולצת מהשדה `natDst` ומוקצית לשדה UDM.
natSrc	`event.idm.read_only_udm.principal.nat_ip`	כתובת ה-IP מחולצת מהשדה `natSrc` ומוקצית לשדה UDM.
הערה	`event.idm.read_only_udm.security_result.description`	הערך של השדה `note`, אחרי החילוץ של `dstip`, `srcip`, `gw` ו-`sec_desc`, מוקצה לשדה UDM.
packetsIn	`event.idm.read_only_udm.target.resource.attribute.labels`	תווית עם המפתח packetsIn והערך מהשדה `packetsIn` מתווספת לשדה UDM.
packetsOut	`event.idm.read_only_udm.target.resource.attribute.labels`	תווית עם המפתח packetsOut והערך מהשדה `packetsOut` מתווספת לשדה UDM.
packetsTotal	`event.idm.read_only_udm.target.resource.attribute.labels`	תווית עם המפתח packetsTotal והערך מהשדה `packetsTotal` מתווספת לשדה UDM.
pri	`event.idm.read_only_udm.security_result.severity`	הערך של השדה `pri` קובע את הערך של שדה UDM: ‏ 0, 1, 2 -> CRITICAL;‏ 3 -> ERROR;‏ 4 -> MEDIUM;‏ 5, 7 -> LOW;‏ 6 -> INFORMATIONAL.
proto	`event.idm.read_only_udm.network.ip_protocol`, `event.idm.read_only_udm.network.application_protocol`, `event.idm.read_only_udm.metadata.event_type`	אם `proto` מכיל את הערך udp,‏ UDM `ip_protocol` מוגדר כ-UDP ו-`event_type` מוגדר כ-NETWORK_CONNECTION. אם `proto` מכיל 'https', הערך של UDM `application_protocol` מוגדר כ-'HTTPS'.
rcvd	`event.idm.read_only_udm.network.received_bytes`	הערך של השדה `rcvd` מומר למספר שלם לא חתום ומוקצה לשדה UDM.
כלל	`event.idm.read_only_udm.security_result.rule_name`	הערך של השדה `rule` מוקצה לשדה UDM.
sec_desc	`event.idm.read_only_udm.security_result.description`	הערך של השדה `sec_desc` מוקצה לשדה UDM.
נשלחו	`event.idm.read_only_udm.network.sent_bytes`	הערך של השדה `sent` מומר למספר שלם לא חתום ומוקצה לשדה UDM.
sess	`event.idm.read_only_udm.security_result.detection_fields`	שדה זיהוי עם המפתח Session Type והערך מהשדה `sess` מתווסף לשדה UDM.
sn	`event.idm.read_only_udm.additional.fields`	תווית עם המפתח SN והערך מהשדה `sn` מתווספת לשדה UDM.
spkt	`event.idm.read_only_udm.network.sent_packets`	הערך של השדה `spkt` מומר למספר שלם ומוקצה לשדה UDM.
src	`event.idm.read_only_udm.principal.ip`, `event.idm.read_only_udm.principal.port`	כתובת ה-IP והיציאה מחולצות מהשדה `src`. אם `srcV6` לא ריק, כתובת ה-IP מחולצת מ-`srcV6`.
srcMac	`event.idm.read_only_udm.principal.mac`	הערך של השדה `srcMac` מוקצה לשדה UDM.
srcV6	`event.idm.read_only_udm.principal.ip`	כתובת ה-IP מחולצת מהשדה `srcV6`.
srcip	`event.idm.read_only_udm.additional.fields`, `event.idm.read_only_udm.principal.ip`	אם `srcip` מכיל את התו '-', מתווספת ל-`event.idm.read_only_udm.additional.fields` תווית עם המפתח srcip והערך מהשדה `srcip`. אחרת, הערך של `srcip` מוקצה ל-`event.idm.read_only_udm.principal.ip`.
פעם	`event.idm.read_only_udm.metadata.event_timestamp`	המערכת מנתחת את הערך של השדה `time` וממירה אותו לחותמת זמן, ואז מקצה אותו לשדה UDM.
סוג	`event.idm.read_only_udm.network.ip_protocol`	אם השדה `proto` הוא 'icmp', השדה UDM מוגדר כ-'ICMP'.
user/usr	`event.idm.read_only_udm.principal.user.email_addresses`, `event.idm.read_only_udm.principal.user.user_display_name`, `event.idm.read_only_udm.principal.user.userid`	אם `user` ריק, המערכת משתמשת בערך של `usr`. אם הערך מכיל את התו '@', הוא נחשב לכתובת אימייל ומוסף ל-`email_addresses`. אם הוא מכיל רווח, הוא נחשב כשם מוצג. אחרת, הוא ייחשב כמזהה משתמש.
vpnpolicy	`event.idm.read_only_udm.security_result.detection_fields`	שדה זיהוי עם המפתח vpnpolicy והערך מהשדה `vpnpolicy` מתווסף לשדה UDM. הערך מוטמע בקוד כ-SonicWall. ההגדרה מוצפנת כ-'Firewall'. הערך מוטמע בקוד כ-"SONIC_FIREWALL". נקבע על ידי לוגיקה שמבוססת על הערכים של שדות אחרים. ברירת המחדל היא GENERIC_EVENT, אבל אפשר להשתמש גם בערכים STATUS_UPDATE,‏ NETWORK_CONNECTION או NETWORK_HTTP.
`op`	`event.idm.read_only_udm.network.http.method`	מופה מיומן השינויים
`appName`	`event.idm.read_only_udm.target.application`	מופה מיומן השינויים
`srcZone`	`event.idm.read_only_udm.principal.location.name`	מופה מיומן השינויים
`dstZone`	`event.idm.read_only_udm.target.location.name`	מופה מיומן השינויים
`change`	`event.idm.read_only_udm.security_result.detection_fields`	מופה מיומן השינויים
`app`	`event.idm.read_only_udm.metadata.product_log_id`	מופה מיומן השינויים
`Network_data`	`event.idm.read_only_udm.additional.fields`	מופה מיומן השינויים
`dpi`	`event.idm.read_only_udm.additional.fields`	מופה מיומן השינויים
`src_interface`	`event.idm.read_only_udm.principal.resource.attribute.labels`	מופה מיומן השינויים
`dst_interface`	`event.idm.read_only_udm.target.resource.attribute.labels`	מופה מיומן השינויים
`syslog_priority`	`event.idm.read_only_udm.security_result.detection_fields`	מופה מיומן השינויים
`net_application`	`event.idm.read_only_udm.network.application_protocol`	מופה מיומן השינויים
`firewall_serial_number`	`intermediary.asset_id`	מופה מיומן השינויים
`vpnpolicyDst`	`additional.fields`	מופה מיומן השינויים
`FileId`	`additional.fields`	מופה מיומן השינויים
`firewall_hostname`	`intermediary.hostname`	מופה מיומן השינויים
`sn`	`intermediary.asset_id`	מופה מיומן השינויים
`fw`	`observer.ip`	מופה מיומן השינויים
`id`	`target.resource.id`	מופה מיומן השינויים

יומן שינויים

צפייה ביומן השינויים של מנתח התוכן הזה

הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.