Sophos Firewall-Logs (SFOS) erfassen

Unterstützt in:

Google SecOps SIEM

In diesem Dokument wird beschrieben, wie Sie Sophos Firewall-Logs mit Bindplane in Google Security Operations aufnehmen. Sophos Firewall (SFOS) ist eine Firewall der nächsten Generation, die Netzwerksicherheit, Webfilterung, Anwendungskontrolle, IPS, VPN und erweiterten Bedrohungsschutz bietet. SFOS wird auf Hardware-Appliances der Sophos XGS-Serie, virtuellen und Cloud-Bereitstellungen ausgeführt und generiert detaillierte Logs für Firewallregeln, Webfilterung, IPS-Ereignisse, Authentifizierung, VPN-Verbindungen und Systemaktivitäten.

Hinweis: Die Sophos XG Series-Hardware hat am 31. März 2025 das Ende ihres Lebenszyklus erreicht. Dieser Leitfaden gilt für die aktuelle Sophos XGS-Hardware und SFOS-Softwarebereitstellungen.

Weitere Informationen finden Sie unter Sophos Firewall-Protokolle erfassen.

Hinweis

Prüfen Sie, ob folgende Voraussetzungen erfüllt sind:

• Eine Google SecOps-Instanz.
• Ein Windows 2016- oder höher- oder Linux-Host mit systemd.
• Wenn Sie den Agent hinter einem Proxy ausführen, müssen die Firewallports gemäß den Anforderungen des Bindplane-Agents geöffnet sein.
• Privilegierter Zugriff auf die Web-Admin-Konsole der Sophos Firewall mit Administratorrolle.
• Sophos Firewall mit SFOS v18 oder höher.

Google SecOps-Anmeldedaten für den Bindplane-Agenten abrufen

Wählen Sie eine der folgenden Methoden aus, um den Bindplane-Agenten bei Google SecOps zu authentifizieren:

• Neue Deployments: Verwenden Sie die Chronicle API (Option 1).
• Legacy-Bereitstellungen: Verwenden Sie die Authentifizierungsdatei für die Datenaufnahme (Option 2) weiter, bis die Ingestion API am 20. Juli 2027 eingestellt wird.

Option 1: Dienstkonto für die Chronicle API erstellen (empfohlen)

1. Melden Sie sich in der Google Cloud -Konsole an und wählen Sie das Google Cloud -Projekt aus, das mit Ihrer Google SecOps-Instanz verknüpft ist.
2. Rufen Sie IAM und Verwaltung > Dienstkonten auf.
3. Klicken Sie auf Dienstkonto erstellen.
4. Geben Sie die folgenden Konfigurationsdetails an:
   • Name des Dienstkontos: Geben Sie einen Namen für das Konto ein, z. B. bindplane-ingest.
   • Dienstkontobeschreibung: Geben Sie eine Beschreibung ein (z. B. Bindplane agent log ingestion).
5. Klicken Sie auf Erstellen und fortfahren.
6. Klicken Sie im Abschnitt Diesem Dienstkonto Zugriff auf das Projekt erteilen auf Rolle auswählen und wählen Sie Chronicle-Bearbeiter aus.
7. Klicken Sie auf Weiter und dann auf Fertig.
8. Klicken Sie auf das erstellte Dienstkonto und rufen Sie dann den Tab Schlüssel auf.
9. Klicken Sie auf Schlüssel hinzufügen > Neuen Schlüssel erstellen.
10. Wählen Sie JSON aus und klicken Sie auf Erstellen. Die Schlüsseldatei wird auf Ihren Computer heruntergeladen.
11. Speichern Sie die Schlüsseldatei als ingestion-auth.json im Bindplane-Collector-Verzeichnis (/opt/observiq-otel-collector/ingestion-auth.json unter Linux oder C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json unter Windows) oder aktualisieren Sie creds_file_path in config.yaml, sodass der Pfad mit dem Pfad übereinstimmt, unter dem Sie die Datei speichern.
12. Rufen Sie IAM und Verwaltung > Einstellungen auf und kopieren Sie die Projektnummer. Sie benötigen sie für die Exporter-Konfiguration.

Hinweis: Der JSON-Schlüssel ist ein Berechtigungsnachweis. Beschränken Sie den Zugriff auf die Datei auf dem Bindplane-Host und rotieren Sie den Schlüssel gemäß den Richtlinien Ihrer Organisation.

Option 2: Authentifizierungsdatei für die Datenaufnahme herunterladen (Legacy)

1. Melden Sie sich in der Google SecOps-Konsole an.
2. Rufen Sie die SIEM-Einstellungen > Collection Agents auf.
3. Laden Sie die Authentifizierungsdatei für die Aufnahme herunter.
4. Speichern Sie die Datei sicher auf dem System, auf dem der Bindplane-Agent installiert werden soll.

Hinweis: Mit dieser Datei wird der Agent bei der alten Ingestion API (malachiteingestion-pa.googleapis.com) authentifiziert, die Google am 20. Juli 2027 einstellen wird. Planen Sie, vor diesem Datum zu Option 1 zu wechseln.

Google SecOps-Kundennummer abrufen

1. Melden Sie sich in der Google SecOps-Konsole an.
2. Rufen Sie die SIEM-Einstellungen > Profil auf.
3. Kopieren und speichern Sie die Kundennummer aus dem Bereich Organization Details (Organisationsdetails).

Bindplane-Agent installieren

Installieren Sie den Bindplane-Agent auf Ihrem Windows- oder Linux-Betriebssystem gemäß der folgenden Anleitung.

Windows-Installation

1. Öffnen Sie die Eingabeaufforderung oder PowerShell als Administrator.

2. Führen Sie dazu diesen Befehl aus:

   msiexec /i "[https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi](https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi)" /quiet
   

Linux-Installation

1. Öffnen Sie ein Terminal mit Root- oder Sudo-Berechtigungen.

2. Führen Sie dazu diesen Befehl aus:

   sudo sh -c "$(curl -fsSlL [https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh](https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh))" install_unix.sh
   

Zusätzliche Installationsressourcen

Weitere Installationsoptionen finden Sie in dieser Installationsanleitung.

Hinweis: Für die Konfiguration des Chronicle API-Exporters ist Bindplane Collector v1.106.0 oder höher erforderlich. Mit den vorherigen Befehlen wird die neueste Version installiert. Wenn Sie eine vorhandene Installation aktualisieren, aktualisieren Sie den Collector, bevor Sie die Konfiguration ändern.

Bindplane-Agent so konfigurieren, dass Syslog-Daten aufgenommen und an Google SecOps gesendet werden

1. Greifen Sie auf die Konfigurationsdatei zu:

   • Suchen Sie die Datei config.yaml. In der Regel befindet sie sich unter Linux im Verzeichnis /opt/observiq-otel-collector/config.yaml oder unter Windows im Installationsverzeichnis.
   • Öffnen Sie die Datei mit einem Texteditor (z. B. nano, vi oder Notepad).

2. Bearbeiten Sie die Datei config.yamlso:

   receivers:
     udplog:
       listen_address: "0.0.0.0:514"
   
   exporters:
     chronicle/sophos_firewall:
       protocol: https
       # Region of your instance, for example us, europe, asia-southeast1
       location: <LOCATION>
       # Project number of the Google Cloud project linked to the instance
       project: '<PROJECT_NUMBER>'
       compression: gzip
       creds_file_path: '/path/to/ingestion-authentication-file.json'
       customer_id: '<CUSTOMER_ID>'
       endpoint: chronicle.googleapis.com
       log_type: SOPHOS_FIREWALL
       raw_log_field: body
       ingestion_labels:
   
   service:
     pipelines:
       logs/sophos_fw_to_chronicle:
         receivers:
           - udplog
         exporters:
           - chronicle/sophos_firewall
   

• Ersetzen Sie den Port und die IP-Adresse nach Bedarf in Ihrer Infrastruktur.
• Ersetzen Sie <LOCATION> durch die Region Ihrer Google SecOps-Instanz (z. B. us, europe oder asia-southeast1). Der Exporter stellt diesem Wert chronicle.googleapis.com voran.
• Ersetzen Sie <PROJECT_NUMBER> durch die Projektnummer unter IAM & Verwaltung > Einstellungen.
• Ersetzen Sie <CUSTOMER_ID> durch die tatsächliche Kundennummer.
• Aktualisieren Sie /path/to/ingestion-authentication-file.json auf den Pfad, in dem die Dienstkontoschlüsseldatei (Option 1) gespeichert wurde.

Legacy-Ingestion-API-Exporter

• Wenn Sie die Datei zur Authentifizierung bei der Aufnahme aus Option 2 verwenden, ersetzen Sie den Block exporters durch Folgendes. Legen Sie für creds_file_path den Pfad zur Authentifizierungsdatei für die Datenaufnahme fest. Wenn sich Ihre Instanz außerhalb der USA befindet, ersetzen Sie malachiteingestion-pa.googleapis.com durch Ihren regionalen Endpunkt (z. B. europe-malachiteingestion-pa.googleapis.com).

  exporters:
    chronicle/sophos_firewall:
      compression: gzip
      creds_file_path: '/path/to/ingestion-authentication-file.json'
      customer_id: '<CUSTOMER_ID>'
      endpoint: malachiteingestion-pa.googleapis.com
      log_type: SOPHOS_FIREWALL
      raw_log_field: body
      ingestion_labels:
  

Hinweis: Dieser Exporter funktioniert nicht mehr, wenn die Ingestion API am 20. Juli 2027 eingestellt wird.

Starten Sie den Bindplane-Agent neu, um die Änderungen zu übernehmen.

1. Führen Sie den folgenden Befehl aus, um den Bindplane-Agenten unter Linux neu zu starten:

   sudo systemctl restart observiq-otel-collector
   

2. Wenn Sie den Bindplane-Agenten unter Windows neu starten möchten, können Sie entweder die Konsole Dienste verwenden oder den folgenden Befehl eingeben:

   net stop observiq-otel-collector && net start observiq-otel-collector
   

Syslog-Weiterleitung auf der Sophos Firewall konfigurieren

Syslog-Server hinzufügen

1. Melden Sie sich in der Web-Admin-Konsole der Sophos Firewall an.
2. Gehen Sie zu Systemdienste > Protokolleinstellungen.
3. Scrollen Sie nach unten zum Abschnitt Syslog-Server.

4. Klicken Sie auf Hinzufügen, um einen neuen Syslog-Server hinzuzufügen.

5. Geben Sie die folgenden Konfigurationsdetails an:

   • Name: Geben Sie einen aussagekräftigen Namen ein, z. B. Bindplane-SecOps.
   • IP-Adresse/Domain: Geben Sie die IP-Adresse des Bindplane-Agent-Hosts ein.
   • Port: Geben Sie 514 (oder den konfigurierten Port) ein.
   • Einrichtung: Wählen Sie DAEMON aus.
   • Schweregrad: Wählen Sie Information aus (empfohlen für umfassendes Logging).
   • Format: Wählen Sie Device Standard Format aus.

6. Klicken Sie auf Speichern.

Logtypen für die Weiterleitung auswählen

1. Klicken Sie im Abschnitt Syslog-Server auf den Syslog-Servereintrag Bindplane-SecOps.

2. Aktivieren Sie im Abschnitt Logtyp die Logkategorien, die weitergeleitet werden sollen:

   • Firewall: Firewallregel-Treffer, verworfener Traffic und zugelassene Verbindungen.
   • IPS: Intrusion Prevention System-Benachrichtigungen und -Ereignisse.
   • Antivirus: Ereignisse zur Erkennung von Malware.
   • Anti-Spam: Ereignisse zur Spamerkennung und -filterung.
   • Inhaltsfilterung: Ereignisse im Zusammenhang mit Webfilterung und URL-Kategorisierung.
   • Ereignisse: Systemereignisse, Authentifizierung und administrative Aktivitäten.
   • Web Server Protection: WAF-Ereignisse.
   • Advanced Threat Protection: Sandstorm- und ATP-Erkennungsereignisse.
   • Wireless: Ereignisse von Wireless Access Points (falls zutreffend).
   • Heartbeat: Statusänderungen des Sophos Security Heartbeat (wenn Synchronized Security aktiviert ist).
   • Systemzustand: Hardware- und Softwarezustandsereignisse.
   • Authentifizierung: Ereignisse zur Nutzer- und Administratorauthentifizierung.
   • Admin: Aktivitäten in der Verwaltungskonsole.

3. Klicken Sie auf Übernehmen.

Syslog-Weiterleitung prüfen

1. Rufen Sie in der Web-Admin-Konsole der Sophos Firewall die Loganzeige auf.
2. Prüfen Sie, ob Logeinträge generiert werden.

3. Prüfen Sie die Bindplane-Agent-Logs, um zu bestätigen, dass Syslog-Nachrichten empfangen werden:

   sudo journalctl -u observiq-otel-collector -f
   

Weitere Informationen finden Sie in der Syslog-Dokumentation für Sophos Firewall.

UDM-Zuordnungstabelle

Logfeld	UDM-Zuordnung	Logik
device_id	intermediary.asset.asset_id	Direkt zugeordnet
device_serial_id	intermediary.asset.asset_id	Direkt zugeordnet
device_model	intermediary.hostname	Direkt zugeordnet
device_name	intermediary.hostname	Direkt zugeordnet
log_msg	metadata.description	Direkt zugeordnet
date_time	metadata.event_timestamp	Geparst als yyyy-MM-dd HH:mm:ss Z
timestamp	metadata.event_timestamp	Als yyyy-MM-ddTHH:mm:ssZ geparst
log_component	metadata.product_event_type	Direkt zugeordnet
log_id	metadata.product_log_id	Direkt zugeordnet
client_physical_address	network.dhcp.chaddr	Direkt zugeordnet
ipaddress	network.dhcp.ciaddr	Direkt zugeordnet
client_host_name	network.dhcp.client_hostname	Direkt zugeordnet
user_agent	network.http.parsed_user_agent	Umbenannt/zugeordnet
referer	network.http.referral_url	Direkt zugeordnet
http_status	network.http.response_code	Umbenannt/zugeordnet
status_code	network.http.response_code	Umbenannt/zugeordnet
user_agent	network.http.user_agent	Direkt zugeordnet
ip_protocol_out	network.ip_protocol	Direkt zugeordnet
bytes_received	network.received_bytes	Umbenannt/zugeordnet
recv_bytes	network.received_bytes	Umbenannt/zugeordnet
packets_received	network.received_packets	Umbenannt/zugeordnet
recv_pkts	network.received_packets	Umbenannt/zugeordnet
bytes_sent	network.sent_bytes	Umbenannt/zugeordnet
sent_bytes	network.sent_bytes	Umbenannt/zugeordnet
packets_sent	network.sent_packets	Umbenannt/zugeordnet
sent_pkts	network.sent_packets	Umbenannt/zugeordnet
duration	network.session_duration.seconds	Umbenannt/zugeordnet
domain	principal.administrative_domain	Umbenannt/zugeordnet
app_name	principal.application	Direkt zugeordnet
application	principal.application	Direkt zugeordnet
ipaddress	principal.ip	Zusammengeführt
src_ip	principal.ip	Zusammengeführt
src_country	principal.location.country_or_region	Direkt zugeordnet
src_country_code	principal.location.country_or_region	Direkt zugeordnet
src_mac	principal.mac	Zusammengeführt
src_trans_ip	principal.nat_ip	Zusammengeführt
tran_src_ip	principal.nat_ip	Zusammengeführt
src_trans_port	principal.nat_port	Umbenannt/zugeordnet
tran_src_port	principal.nat_port	Umbenannt/zugeordnet
src_port	principal.port	Umbenannt/zugeordnet
user_name	principal.user.email_addresses	Zugeordnet: .*?@.* → user_name
user_name	principal.user.userid	Direkt zugeordnet
action	security_result.action	Zusammengeführt
status	security_result.action_details	Direkt zugeordnet
_about0	security_result.detection_fields	Zusammengeführt
_about2	security_result.detection_fields	Zusammengeführt
activityname_label	security_result.detection_fields	Zusammengeführt
appCategory_label	security_result.detection_fields	Zusammengeführt
appTech_label	security_result.detection_fields	Zusammengeführt
app_filter_policy_id_label	security_result.detection_fields	Zusammengeführt
app_is_cloud_label	security_result.detection_fields	Zusammengeführt
app_resolved_by_label	security_result.detection_fields	Zusammengeführt
category_type_label	security_result.detection_fields	Zusammengeführt
con_event_label	security_result.detection_fields	Zusammengeführt
con_id_label	security_result.detection_fields	Zusammengeführt
connevent_label	security_result.detection_fields	Zusammengeführt
connid_label	security_result.detection_fields	Zusammengeführt
dst_zone_type_label	security_result.detection_fields	Zusammengeführt
dstzonetype_label	security_result.detection_fields	Zusammengeführt
ether_type_label	security_result.detection_fields	Zusammengeführt
exceptions_label	security_result.detection_fields	Zusammengeführt
gw_id_request_label	security_result.detection_fields	Zusammengeführt
gw_name_request_label	security_result.detection_fields	Zusammengeführt
hb_health_label	security_result.detection_fields	Zusammengeführt
hb_status_label	security_result.detection_fields	Zusammengeführt
http_category_label	security_result.detection_fields	Zusammengeführt
http_category_type_label	security_result.detection_fields	Zusammengeführt
in_display_interface_label	security_result.detection_fields	Zusammengeführt
in_interface_label	security_result.detection_fields	Zusammengeführt
log_component_label	security_result.detection_fields	Zusammengeführt
log_occurrence_label	security_result.detection_fields	Zusammengeführt
log_subtype_label	security_result.detection_fields	Zusammengeführt
log_type_label	security_result.detection_fields	Zusammengeführt
log_version_label	security_result.detection_fields	Zusammengeführt
nat_rule_id_label	security_result.detection_fields	Zusammengeführt
nat_rule_name_label	security_result.detection_fields	Zusammengeführt
out_display_interface_label	security_result.detection_fields	Zusammengeführt
out_interface_label	security_result.detection_fields	Zusammengeführt
qualifier_label	security_result.detection_fields	Zusammengeführt
reason_label	security_result.detection_fields	Zusammengeführt
risk_label	security_result.detection_fields	Zusammengeführt
src_zone_type_label	security_result.detection_fields	Zusammengeführt
srczonetype_label	security_result.detection_fields	Zusammengeführt
used_quota_label	security_result.detection_fields	Zusammengeführt
web_policy_id_label	security_result.detection_fields	Zusammengeführt
fw_rule_id	security_result.rule_id	Direkt zugeordnet
fw_rule_name	security_result.rule_name	Direkt zugeordnet
fw_rule_section	security_result.rule_set	Direkt zugeordnet
fw_rule_type	security_result.rule_type	Direkt zugeordnet
priority	security_result.severity	Zugeordnet: "INFORMATION", "NOTIFICATION", "NOTICE" → INFORMATIONAL, "ERROR","WARNING" → `...
reason	security_result.summary	Direkt zugeordnet
domain	target.hostname	Direkt zugeordnet
dst_ip	target.ip	Zusammengeführt
dst_country	target.location.country_or_region	Direkt zugeordnet
dst_country_code	target.location.country_or_region	Direkt zugeordnet
dst_mac	target.mac	Zusammengeführt
dst_trans_ip	target.nat_ip	Zusammengeführt
tran_dst_ip	target.nat_ip	Zusammengeführt
dst_trans_port	target.nat_port	Umbenannt/zugeordnet
tran_dst_port	target.nat_port	Umbenannt/zugeordnet
dst_port	target.port	Umbenannt/zugeordnet
url	target.url	Direkt zugeordnet
–	extensions.auth.type	Konstante: VPN
–	metadata.event_type	Konstante: NETWORK_HTTP
–	metadata.product_name	Konstante: SOPHOS Firewall
–	metadata.vendor_name	Konstante: SOPHOS
–	network.application_protocol	Konstante: DHCP
–	security_result.severity	Konstante: INFORMATIONAL
date_time	event.idm.read_only_udm.metadata.event_timestamp	Aus Änderungsprotokoll zugeordnet
referer	network.http.referer_url	Aus Änderungsprotokoll zugeordnet
device_serial_id	principal.asset.asset_id	Aus Änderungsprotokoll zugeordnet
application_category, application_risk and application_technology	security_result.detection_fields	Aus Änderungsprotokoll zugeordnet
user_name	event.idm.read_only_udm.principal.user.userid	Aus Änderungsprotokoll zugeordnet
device_id	event.idm.read_only_udm.principal.asset.asset_id	Aus Änderungsprotokoll zugeordnet

Änderungsprotokoll

Änderungsprotokoll für diesen Parser ansehen

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten