收集 Sophos DHCP 日志

支持的平台：

Google SecOps SIEM

本文档介绍了如何使用 Bindplane 将 Sophos DHCP 日志注入到 Google Security Operations。

注意： Sophos UTM（包括 DHCP 日志记录）将于 2026 年 6 月 30 日达到生命周期结束。Sophos Firewall (SFOS) 还支持通过配置 > 系统服务 > 日志设置来使用 DHCP syslog。

解析器使用 grok 和/或 kv 从 Sophos DHCP syslog 格式的日志中提取字段。它会将这些值映射到统一数据模型 (UDM)，并为事件来源和类型设置默认元数据值。

准备工作

请确保满足以下前提条件：

• Google SecOps 实例。
• 搭载 systemd 的 Windows 2016 或更高版本或 Linux 主机。
• 网络连接：如果 Bindplane 代理在代理后面运行，请确保防火墙端口已根据 Bindplane 代理要求打开。
• 对 Sophos 防火墙/UTM 管理员界面的特权访问权限。

获取 Google SecOps 注入身份验证文件

1. 登录 Google SecOps 控制台。
2. 依次前往 SIEM 设置 > 收集代理。
3. 下载注入身份验证文件。
   • 将文件安全地保存在将要安装 Bindplane 的系统上。

获取 Google SecOps 客户 ID

1. 登录 Google SecOps 控制台。
2. 依次前往 SIEM 设置 > 配置文件。
3. 复制并保存组织详细信息部分中的客户 ID。

安装 Bindplane 代理

按照以下说明在 Windows 或 Linux 操作系统上安装 Bindplane 代理。

Windows 安装

1. 以管理员身份打开命令提示符或 PowerShell。

2. 运行以下命令：

   msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet
   

Linux 安装

1. 打开具有 root 或 sudo 权限的终端。

2. 运行以下命令：

   sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh
   

其他安装资源

如需了解其他安装选项，请参阅此安装指南。

配置 Bindplane 代理以注入 Syslog 并将其发送到 Google SecOps

1. 访问配置文件：

   • 找到 config.yaml 文件。通常，它位于 Linux 上的 /opt/observiq-otel-collector 目录中，或位于 Windows 上的安装目录中。
   • 使用文本编辑器（例如 nano、vi 或记事本）打开该文件。

2. 按如下方式修改 config.yaml 文件：

   receivers:
     udplog:
       # Replace the port and IP address as required
       listen_address: "0.0.0.0:514"
   
   exporters:
     chronicle/chronicle_w_labels:
       compression: gzip
       # Adjust the path to the credentials file you downloaded in Step 1
       creds_file_path: '/path/to/ingestion-authentication-file.json'
       # Replace with your actual customer ID from Step 2
       customer_id: <customer_id>
       endpoint: malachiteingestion-pa.googleapis.com
       # Add optional ingestion labels for better organization
       log_type: 'SOPHOS_DHCP'
       raw_log_field: body
       ingestion_labels:
   
   service:
     pipelines:
       logs/source0__chronicle_w_labels-0:
         receivers:
           - udplog
         exporters:
           - chronicle/chronicle_w_labels
   

• 根据基础架构的需要替换端口和 IP 地址。
• 将 <customer_id> 替换为您的实际客户 ID。
• 将 /path/to/ingestion-authentication-file.json 更新为在第 1 步中保存身份验证文件的文件路径。

重启 Bindplane 代理以应用更改

1. 如需在 Linux 中重启 Bindplane 代理，请运行以下命令：

   /opt/observiq-otel-collector/config.yaml
   

2. 如需在 Windows 中重启 Bindplane 代理，您可以使用服务控制台，也可以输入以下命令：

   net stop BindPlaneAgent && net start BindPlaneAgent
   

在 Sophos DHCP 上配置 Syslog 转发

1. 使用管理员权限登录 Sophos Firewall/UTM 管理界面。
2. 前往 syslog 设置：
   • Sophos Firewall： 系统服务 > 日志设置。
   • Sophos UTM： 日志记录和报告 > 日志设置 > 远程 Syslog 服务器。
3. 点击 Syslog 服务器下的添加，然后提供以下详细信息：
   • 名称：描述性名称（例如 GoogleSecOps-BindPlane）。
   • IP 地址/网域：Bindplane 代理主机所在的 IP 地址。
   • 端口：Bindplane 代理端口（例如 514）。
   • 设施：DAEMON。
   • 严重级别：信息（根据您的内部政策进行调整）。
   • 格式：设备标准格式 (key=value)，与 SYSLOG + KV 保持一致。
4. 点击保存/应用以开始转发 DHCP 相关日志。

UDM 映射表

日志字段	UDM 映射	逻辑
msg	metadata.description	直接映射
sub	metadata.description	直接映射
log_date	metadata.event_timestamp	解析为 yyyy:MM:dd-HH:mm:ss
log_date_inner	metadata.event_timestamp	解析为 MMM dd HH:mm:ss
event_type	metadata.event_type	直接映射
msg	metadata.event_type	已映射：call=new → GENERIC_EVENT
process_type	metadata.event_type	映射："confd","ulogd" → GENERIC_EVENT、dhcpd → GENERIC_EVENT、dhcpd → `NETWORK_D...
id	metadata.product_event_type	直接映射
process_type	metadata.product_event_type	直接映射
msg	metadata.product_name	已映射：call=new → SOPHOS_DHCP
process_type	metadata.product_name	已映射："confd","ulogd" → SOPHOS_DHCP
msg	metadata.vendor_name	已映射：call=new → SOPHOS
process_type	metadata.vendor_name	已映射："confd","ulogd" → SOPHOS
process_type	network.application_protocol	已映射：dhcpd → DHCP
src_mac	network.dhcp.chaddr	直接映射
src_ip	network.dhcp.ciaddr	直接映射
src_host	network.dhcp.client_hostname	直接映射
dhcp_type	network.dhcp.opcode	映射：DHCPREQUEST → BOOTREQUEST、DHCPACK → BOOTREPLY、DHCPOFFER → BOOTREPLY、`...
process_type	network.dhcp.opcode	映射：dhcpd → BOOTREQUEST，dhcpd → BOOTREPLY
dhcp_type	network.dhcp.type	映射：DHCPREQUEST → REQUEST、DHCPACK → ACK、DHCPOFFER → OFFER、DHCPNAK → NAK
process_type	network.dhcp.type	已映射：dhcpd → REQUEST、dhcpd → ACK、dhcpd → OFFER、dhcpd → NAK
src_ip	network.dhcp.yiaddr	直接映射
ip_protocol_out	network.ip_protocol	直接映射
src_host	observer.hostname	直接映射
dhcp_type	observer.ip	已映射：DHCPREQUEST → src_ip
process_type	observer.ip	已映射：dhcpd → src_ip
src_ip	observer.ip	已合并
client	principal.hostname	直接映射
src_host	principal.hostname	直接映射
dhcp_type	principal.ip	映射：DHCPREQUEST → src_ip，DHCPNAK → src_ip
ip	principal.ip	已合并
msg	principal.ip	已映射：call=new → srcip
oldattr_address	principal.ip	已合并
process_type	principal.ip	已映射："confd","ulogd" → srcip、"confd","ulogd" → oldattr_address、`"confd","ulogd"...
src_ip	principal.ip	已合并
srcip	principal.ip	已合并
dhcp_type	principal.mac	映射：DHCPREQUEST → src_mac，DHCPNAK → src_mac
process_type	principal.mac	映射："confd","ulogd" → srcmac，dhcpd → src_mac
src_mac	principal.mac	已合并
srcmac	principal.mac	已合并
srcport	principal.port	直接映射
pid	principal.process.pid	直接映射
objname	principal.resource.name	直接映射
user	principal.user.userid	直接映射
msg	security_result	已映射：call=new → sec_result
process_type	security_result	映射："confd","ulogd" → sec_result，"confd","ulogd" → security_result
sec_result	security_result	已合并
initf_label	security_result.about.labels	已合并
outitf_label	security_result.about.labels	已合并
process_type	security_result.about.labels	已映射："confd","ulogd" → initf_label、"confd","ulogd" → outitf_label、`"confd","ulo...
sid_label	security_result.about.labels	已合并
tcpflags_label	security_result.about.labels	已合并
action	security_result.action_details	直接映射
action	security_result.category	已映射：portscan → category
category	security_result.category	已合并
process_type	security_result.category	已映射："confd","ulogd" → category
info	security_result.description	直接映射
name	security_result.description	直接映射
fwrule	security_result.rule_id	直接映射
process_type	security_result.severity	映射："confd","ulogd" → INFORMATIONAL，"confd","ulogd" → MEDIUM
severity	security_result.severity	映射："info","debug" → INFORMATIONAL，warn → MEDIUM
call	security_result.summary	直接映射
attr_address	target.ip	已合并
dstip	target.ip	已合并
ip	target.ip	已合并
process_type	target.ip	已映射："confd","ulogd" → dstip、"confd","ulogd" → attr_address、"confd","ulogd" →...
dstmac	target.mac	已合并
process_type	target.mac	已映射："confd","ulogd" → dstmac
dstport	target.port	直接映射
不适用	metadata.event_type	常量：GENERIC_EVENT
不适用	metadata.product_name	常量：SOPHOS_DHCP
不适用	metadata.vendor_name	常量：SOPHOS
不适用	network.application_protocol	常量：DHCP
不适用	network.dhcp.opcode	常量：BOOTREQUEST
不适用	network.dhcp.type	常量：REQUEST
不适用	security_result.severity	常量：INFORMATIONAL

需要更多帮助？获得社区成员和 Google SecOps 专业人士的解答。