Google 會運用 AI 技術將內容翻譯成你偏好的語言，但可能會出錯。

收集 SonicWall 記錄

支援的服務：

Google SecOps SIEM

本文說明如何使用 Google Security Operations 轉寄站收集 SonicWall 記錄。

詳情請參閱「將資料擷取至 Google Security Operations」。

擷取標籤會識別剖析器，將原始記錄資料正規化為結構化 UDM 格式。本文資訊適用於具有 SONIC_FIREWALL 擷取標籤的剖析器。

設定 SonicWall 安全性設備

登入 SonicWall 控制台。
依序前往「Log」>「Syslog」。
在「Syslog 伺服器」部分，按一下「新增」。「Add syslog server」(新增系統記錄伺服器) 視窗隨即顯示。
在「Name」或「IP address」欄位中，提供 Google Security Operations 轉寄站主機名稱或 IP 位址。
如果 Syslog 設定並非使用預設的 514 通訊埠，請在「Port number」(通訊埠編號) 欄位中指定通訊埠編號。
按一下 [確定]。
按一下「接受」，儲存所有 Syslog 伺服器設定。

設定 Google Security Operations 轉寄站和 syslog，以便擷取 SonicWall 記錄

依序前往「Settings」>「Data Management」>「Forwarders」。如果使用的是 SIEM 專用平台，請依序前往「Settings」>「Forwarders」。
按一下「Add new forwarder」。
在「Forwarder Name」(轉寄站名稱) 欄位中，輸入轉寄站的專屬名稱。
按一下「提交」。轉寄站新增完成，系統會顯示「Add collector configuration」(新增收集器設定) 視窗。
在「Collector name」(收集器名稱) 欄位中輸入名稱。
選取「SonicWall」做為「記錄類型」。
在「Collector type」(收集器類型) 中選取「Syslog」。
設定下列必要輸入參數：
- 通訊協定：指定收集器用於監聽 syslog 資料的連線通訊協定。
- 位址：指定收集器所在位置的目標 IP 位址或主機名稱，並監聽 syslog 資料。
- 通訊埠：指定收集器所在位置和監聽系統記錄資料的目標通訊埠。
按一下「提交」。

如要進一步瞭解 Google Security Operations 轉寄站，請參閱 Google Security Operations 轉寄站說明文件。

如要瞭解各轉寄站類型的需求條件，請參閱「依類型設定轉寄站」。

如果在建立轉寄站時遇到問題，請與 Google Security Operations 支援團隊聯絡。

欄位對應參考資料

這個剖析器會從 SonicWall 防火牆系統記錄訊息中擷取鍵/值組合，並正規化時間戳記、IP 位址和通訊埠等各種欄位，然後對應至 UDM 格式。這項工具可處理 IPv4 和 IPv6 位址、區分允許和封鎖的事件，並擷取與安全性相關的詳細資料，例如規則名稱和說明。

支援的 SonicWall 記錄範例

標準防火牆事件

{
  "type": "SONIC_FIREWALL",
  "log": "<134> id=SONICWALL_FIREWALL\n"
         "      sn=DEADD00D1234\n"
         "      time=\"2020-04-08 13:28:45\"\n"
         "      fw=192.0.2.1\n"
         "      pri=6\n"
         "      c=1024\n"
         "      gcat=2\n"
         "      m=97\n"
         "      msg=\"Web site hit\"\n"
         "      srcMac=00:00:5E:00:53:01\n"
         "      src=192.0.2.10:12345:X0\n"
         "      srcZone=LAN\n"
         "      natSrc=192.0.2.10:12345\n"
         "      dstMac=00:00:5E:00:53:02\n"
         "      dst=198.51.100.20:443:X0\n"
         "      dstZone=WAN\n"
         "      natDst=198.51.100.20:443\n"
         "      proto=tcp/https\n"
         "      sent=1247\n"
         "      rcvd=59996\n"
         "      rule=\"14 (LAN->WAN)\"\n"
         "      app=49175\n"
         "      appName=\"General HTTP\"\n"
         "      op=1\n"
         "      dstname=sanitized-host.com\n"
         "      arg=/sanitized/path/file.cab?id=REDACTED\n"
         "      code=27\n"
         "      Category=\"Information Technology/Computers\"\n"
         "      n=3451648"
}

SSL-VPN 工作階段事件

{
  "type": "SONIC_FIREWALL",
  "log": "<181>SSLVPN: id=sslvpn\n"
         "      sn=DEADD00D1234\n"
         "      time=\"2020-04-10 10:07:11\"\n"
         "      vp_time=\"2020-04-10 08:07:11 UTC\"\n"
         "      fw=192.0.2.1\n"
         "      pri=5\n"
         "      m=2\n"
         "      c=102\n"
         "      src=203.0.113.50\n"
         "      dst=192.0.2.1\n"
         "      user=\"internal_user@company.com\"\n"
         "      usr=\"internal_user@company.com\"\n"
         "      msg=\"NetExtender disconnected\"\n"
         "      rule=access-policy\n"
         "      duration=731\n"
         "      bytesIn=47360\n"
         "      bytesOut=10\n"
         "      agent=\"SonicWALL NetExtender for Windows (REDACTED)\""
}

進階威脅/應用程式控制

{
  "type": "SONIC_FIREWALL",
  "log": "<129> id=PD_Firewall sn=DEADD00D1234 time=\"2024-03-06 12:33:40\"\n"
         "      fw=192.0.2.1 pri=1 c=0 m=1154 msg=\"Application Control Detection\n"
         "      Alert: PROTOCOLS DNS Protocol -- Standard Query A\" sid=5183\n"
         "      appcat=\"PROTOCOLS DNS Protocol -- Standard Query A\" appid=1283 catid=74\n"
         "      n=3235773 src=192.0.2.15:58482:X0 dst=203.0.113.1:53:X2\n"
         "      srcMac=00:00:5E:00:53:03 dstMac=00:00:5E:00:53:04 proto=udp/dns\n"
         "      fw_action=\"NA\""
}

UDM 對應表

記錄欄位	UDM 對應	邏輯
代理程式	`event.idm.read_only_udm.network.http.user_agent`	`agent` 欄位的值會指派給 UDM 欄位。
appcat	`event.idm.read_only_udm.security_result.summary`	`appcat` 欄位的值會指派給 UDM 欄位。如果 `appcat` 包含「PROXY-ACCESS」，`event.idm.read_only_udm.security_result.category` 會設為「POLICY_VIOLATION」，`event.idm.read_only_udm.security_result.action` 則會設為「BLOCK」。
appid	`event.idm.read_only_udm.security_result.rule_id`	`appid` 欄位的值會指派給 UDM 欄位。
arg	`event.idm.read_only_udm.target.resource.name`	`arg` 欄位的值會指派給 UDM 欄位。
avgThroughput	`event.idm.read_only_udm.target.resource.attribute.labels`	系統會將鍵為「avgThroughput」且值來自 `avgThroughput` 欄位的標籤新增至 UDM 欄位。
bytesIn	`event.idm.read_only_udm.network.received_bytes`	`bytesIn` 欄位的值會轉換為不帶正負號的整數，並指派給 UDM 欄位。
bytesOut	`event.idm.read_only_udm.network.sent_bytes`	`bytesOut` 欄位的值會轉換為不帶正負號的整數，並指派給 UDM 欄位。
bytesTotal	`event.idm.read_only_udm.target.resource.attribute.labels`	系統會將鍵為「bytesTotal」且值來自 `bytesTotal` 欄位的標籤，新增至 UDM 欄位。
類別	`event.idm.read_only_udm.security_result.category_details`	`Category` 欄位的值會指派給 UDM 欄位。
cdur	`event.idm.read_only_udm.security_result.detection_fields`	系統會將偵測欄位新增至 UDM 欄位，其鍵為「Connection Duration (milli seconds)」，值則來自 `cdur` 欄位。
dst	`event.idm.read_only_udm.target.ip`、`event.idm.read_only_udm.target.port`	IP 和通訊埠是從 `dst` 欄位擷取。如果 `dstV6` 不是空白，系統會改為從 `dstV6` 擷取 IP。
dstMac	`event.idm.read_only_udm.target.mac`	`dstMac` 欄位的值會指派給 UDM 欄位。
dstV6	`event.idm.read_only_udm.target.ip`	系統會從 `dstV6` 欄位擷取 IP。
dstname	`event.idm.read_only_udm.target.hostname`	如果 `dstname` 不是 IP 位址，系統會將其值指派給 UDM 欄位。
持續時間	`event.idm.read_only_udm.network.session_duration.seconds`	`duration` 欄位的值會轉換為整數，並指派給 UDM 欄位。
fw	`event.idm.read_only_udm.principal.ip`	`fw` 欄位的值會指派給 UDM 欄位。如果 `fw` 包含「-」，則會將鍵為「fw」且值來自 `fw` 欄位的標籤新增至 `event.idm.read_only_udm.additional.fields`。
fw_action	`event.idm.read_only_udm.security_result.action_details`、`event.idm.read_only_udm.security_result.summary`、`event.idm.read_only_udm.security_result.action`	`fw_action` 欄位的值會指派給 `event.idm.read_only_udm.security_result.action_details`。如果 `fw_action` 為「drop」，`event.idm.read_only_udm.security_result.action` 會設為「BLOCK」，`event.idm.read_only_udm.security_result.summary` 則會設為 `msg` 的值。
gw	`event.idm.read_only_udm.intermediary.ip`	系統會從 `gw` 欄位擷取 IP 位址，並指派給 UDM 欄位。
id	`event.idm.read_only_udm.principal.hostname`、`event.idm.read_only_udm.principal.asset.hostname`	`id` 欄位的值會指派給這兩個 UDM 欄位。
maxThroughput	`event.idm.read_only_udm.target.resource.attribute.labels`	系統會將鍵為「maxThroughput」且值來自 `maxThroughput` 欄位的標籤新增至 UDM 欄位。
msg	`event.idm.read_only_udm.security_result.summary`、`event.idm.read_only_udm.metadata.description`	如果 `fw_action` 不是「drop」或 `appcat` 為空白，系統會將 `msg` 欄位的值指派給 `event.idm.read_only_udm.security_result.summary`。否則會指派給 `event.idm.read_only_udm.metadata.description`。
natDst	`event.idm.read_only_udm.target.nat_ip`	系統會從 `natDst` 欄位擷取 IP 位址，並指派給 UDM 欄位。
natSrc	`event.idm.read_only_udm.principal.nat_ip`	系統會從 `natSrc` 欄位擷取 IP 位址，並指派給 UDM 欄位。
附註	`event.idm.read_only_udm.security_result.description`	擷取 `dstip`、`srcip`、`gw` 和 `sec_desc` 後，`note` 欄位的值會指派給 UDM 欄位。
packetsIn	`event.idm.read_only_udm.target.resource.attribute.labels`	系統會將鍵為「packetsIn」且值來自 `packetsIn` 欄位的標籤新增至 UDM 欄位。
packetsOut	`event.idm.read_only_udm.target.resource.attribute.labels`	系統會將鍵為「packetsOut」且值來自 `packetsOut` 欄位的標籤新增至 UDM 欄位。
packetsTotal	`event.idm.read_only_udm.target.resource.attribute.labels`	系統會將鍵為「packetsTotal」且值來自 `packetsTotal` 欄位的標籤，新增至 UDM 欄位。
pri	`event.idm.read_only_udm.security_result.severity`	`pri` 欄位的值會決定 UDM 欄位的值：0、1、2 -> CRITICAL；3 -> ERROR；4 -> MEDIUM；5、7 -> LOW；6 -> INFORMATIONAL。
proto	`event.idm.read_only_udm.network.ip_protocol`、`event.idm.read_only_udm.network.application_protocol`、`event.idm.read_only_udm.metadata.event_type`	如果 `proto` 包含「udp」，UDM `ip_protocol` 會設為「UDP」，`event_type` 則設為「NETWORK_CONNECTION」。如果 `proto` 包含「https」，UDM `application_protocol` 會設為「HTTPS」。
rcvd	`event.idm.read_only_udm.network.received_bytes`	`rcvd` 欄位的值會轉換為不帶正負號的整數，並指派給 UDM 欄位。
規則	`event.idm.read_only_udm.security_result.rule_name`	`rule` 欄位的值會指派給 UDM 欄位。
sec_desc	`event.idm.read_only_udm.security_result.description`	`sec_desc` 欄位的值會指派給 UDM 欄位。
已傳送	`event.idm.read_only_udm.network.sent_bytes`	`sent` 欄位的值會轉換為不帶正負號的整數，並指派給 UDM 欄位。
sess	`event.idm.read_only_udm.security_result.detection_fields`	系統會將偵測欄位新增至 UDM 欄位，其鍵為「Session Type」，值則來自 `sess` 欄位。
sn	`event.idm.read_only_udm.additional.fields`	系統會將鍵為「SN」且值來自 `sn` 欄位的標籤新增至 UDM 欄位。
spkt	`event.idm.read_only_udm.network.sent_packets`	`spkt` 欄位的值會轉換為整數，並指派給 UDM 欄位。
src	`event.idm.read_only_udm.principal.ip`、`event.idm.read_only_udm.principal.port`	IP 和通訊埠是從 `src` 欄位擷取。如果 `srcV6` 不是空白，系統會改為從 `srcV6` 擷取 IP。
srcMac	`event.idm.read_only_udm.principal.mac`	`srcMac` 欄位的值會指派給 UDM 欄位。
srcV6	`event.idm.read_only_udm.principal.ip`	系統會從 `srcV6` 欄位擷取 IP。
srcip	`event.idm.read_only_udm.additional.fields`、`event.idm.read_only_udm.principal.ip`	如果 `srcip` 包含「-」，則會將鍵為「srcip」且值來自 `srcip` 欄位的標籤新增至 `event.idm.read_only_udm.additional.fields`。否則，系統會將 `srcip` 的值指派給 `event.idm.read_only_udm.principal.ip`。
時間	`event.idm.read_only_udm.metadata.event_timestamp`	系統會剖析 `time` 欄位的值，並轉換為時間戳記，然後指派給 UDM 欄位。
類型	`event.idm.read_only_udm.network.ip_protocol`	如果 `proto` 欄位為「icmp」，UDM 欄位會設為「ICMP」。
user/usr	`event.idm.read_only_udm.principal.user.email_addresses`、`event.idm.read_only_udm.principal.user.user_display_name`、`event.idm.read_only_udm.principal.user.userid`	如果 `user` 空白，系統會改用 `usr` 的值。如果值包含「@」，系統會將其視為電子郵件地址，並新增至 `email_addresses`。如果含有空格，則會視為顯示名稱。否則，系統會將其視為使用者 ID。
vpnpolicy	`event.idm.read_only_udm.security_result.detection_fields`	系統會將偵測欄位新增至 UDM 欄位，其鍵為「vpnpolicy」，值則來自 `vpnpolicy` 欄位。硬式編碼為「SonicWall」。硬式編碼為「Firewall」。硬式編碼為「SONIC_FIREWALL」。根據其他欄位的值，由邏輯決定。預設為「GENERIC_EVENT」，可為「STATUS_UPDATE」、「NETWORK_CONNECTION」或「NETWORK_HTTP」。
`op`	`event.idm.read_only_udm.network.http.method`	從變更記錄對應
`appName`	`event.idm.read_only_udm.target.application`	從變更記錄對應
`srcZone`	`event.idm.read_only_udm.principal.location.name`	從變更記錄對應
`dstZone`	`event.idm.read_only_udm.target.location.name`	從變更記錄對應
`change`	`event.idm.read_only_udm.security_result.detection_fields`	從變更記錄對應
`app`	`event.idm.read_only_udm.metadata.product_log_id`	從變更記錄對應
`Network_data`	`event.idm.read_only_udm.additional.fields`	從變更記錄對應
`dpi`	`event.idm.read_only_udm.additional.fields`	從變更記錄對應
`src_interface`	`event.idm.read_only_udm.principal.resource.attribute.labels`	從變更記錄對應
`dst_interface`	`event.idm.read_only_udm.target.resource.attribute.labels`	從變更記錄對應
`syslog_priority`	`event.idm.read_only_udm.security_result.detection_fields`	從變更記錄對應
`net_application`	`event.idm.read_only_udm.network.application_protocol`	從變更記錄對應
`firewall_serial_number`	`intermediary.asset_id`	從變更記錄對應
`vpnpolicyDst`	`additional.fields`	從變更記錄對應
`FileId`	`additional.fields`	從變更記錄對應
`firewall_hostname`	`intermediary.hostname`	從變更記錄對應
`sn`	`intermediary.asset_id`	從變更記錄對應
`fw`	`observer.ip`	從變更記錄對應
`id`	`target.resource.id`	從變更記錄對應

變更記錄

查看這個剖析器的變更記錄

還有其他問題嗎？向社群成員和 Google SecOps 專業人員尋求解答。