Sophos Firewall-Logs (SFOS) erfassen

Unterstützt in:

Google SecOps SIEM

In diesem Dokument wird beschrieben, wie Sie Sophos Firewall-Logs mit Bindplane in Google Security Operations aufnehmen. Die Sophos Firewall (SFOS) ist eine Firewall der nächsten Generation, die Netzwerksicherheit, Webfilterung, Anwendungskontrolle, IPS, VPN und erweiterten Bedrohungsschutz bietet. SFOS wird auf Hardware-Appliances der Sophos XGS-Serie, virtuellen und Cloud-Bereitstellungen ausgeführt und generiert detaillierte Logs für Firewallregeln, Webfilterung, IPS-Ereignisse, Authentifizierung, VPN-Verbindungen und Systemaktivitäten.

Hinweis: Die Hardware der Sophos XG-Serie hat am 31. März 2025 das Ende des Produktzyklus erreicht. Diese Anleitung gilt für die aktuelle Hardware der Sophos XGS-Serie und SFOS-Softwarebereitstellungen.

Weitere Informationen finden Sie unter Sophos Firewall-Logs erfassen.

Hinweis

Prüfen Sie, ob folgende Voraussetzungen erfüllt sind:

• Eine Google SecOps-Instanz.
• Ein Windows 2016- oder höher- oder Linux-Host mit systemd.
• Wenn Sie den Agent hinter einem Proxy ausführen, achten Sie darauf, dass die Firewallports gemäß den Anforderungen des Bindplane-Agents geöffnet sind.
• Privilegierter Zugriff auf die Web-Admin-Konsole der Sophos Firewall mit Administratorrolle.
• Sophos Firewall mit SFOS v18 oder höher.

Authentifizierungsdatei für die Google SecOps-Datenaufnahme abrufen

1. Melden Sie sich in der Google SecOps-Konsole an.
2. Rufen Sie die SIEM-Einstellungen > Collection Agent auf.

3. Laden Sie die Authentifizierungsdatei für die Aufnahme herunter.

   • Speichern Sie die Datei sicher auf dem System, auf dem BindPlane installiert wird.

Google SecOps-Kundennummer abrufen

1. Melden Sie sich in der Google SecOps-Konsole an.
2. Rufen Sie die SIEM-Einstellungen > Profile auf.
3. Kopieren und speichern Sie die Kunden-ID aus dem Bereich Organisationsdetails.

BindPlane-Agent installieren

Installieren Sie den Bindplane-Agent auf Ihrem Windows- oder Linux-Betriebssystem gemäß der folgenden Anleitung.

Fenstereinbau

1. Öffnen Sie die Eingabeaufforderung oder PowerShell als Administrator.

2. Führen Sie dazu diesen Befehl aus:

   msiexec /i "[https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi](https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi)" /quiet
   

Linux-Installation

1. Öffnen Sie ein Terminal mit Root- oder Sudo-Berechtigungen.

2. Führen Sie dazu diesen Befehl aus:

   sudo sh -c "$(curl -fsSlL [https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh](https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh))" install_unix.sh
   

Zusätzliche Installationsressourcen

Weitere Installationsoptionen finden Sie in diesem Installationsleitfaden.

BindPlane-Agent zum Erfassen von Syslog-Daten und Senden an Google SecOps konfigurieren

1. Konfigurationsdatei aufrufen:

   • Suchen Sie die Datei config.yaml. Normalerweise befindet sie sich unter Linux im Verzeichnis /opt/observiq-otel-collector/config.yaml oder unter Windows im Installationsverzeichnis.
   • Öffnen Sie die Datei mit einem Texteditor (z. B. nano, vi oder Notepad).

2. Bearbeiten Sie die Datei config.yamlso:

   receivers:
       udplog:
           listen_address: "0.0.0.0:514"
   
   exporters:
       chronicle/sophos_firewall:
           compression: gzip
           creds_file_path: '/path/to/ingestion-authentication-file.json'
           customer_id: '<CUSTOMER_ID>'
           endpoint: malachiteingestion-pa.googleapis.com
           log_type: SOPHOS_FIREWALL
           raw_log_field: body
           ingestion_labels:
   
   service:
       pipelines:
           logs/sophos_fw_to_chronicle:
               receivers:
                   - udplog
               exporters:
                   - chronicle/sophos_firewall
   

• Ersetzen Sie den Port und die IP-Adresse nach Bedarf in Ihrer Infrastruktur.
• Ersetzen Sie <CUSTOMER_ID> durch die tatsächliche Kunden-ID.
• Aktualisieren Sie /path/to/ingestion-authentication-file.json auf den Pfad, in dem die Authentifizierungsdatei gespeichert wurde.

Bindplane-Agent neu starten, um die Änderungen zu übernehmen

1. Führen Sie den folgenden Befehl aus, um den Bindplane-Agent unter Linux neu zu starten:

   sudo systemctl restart observiq-otel-collector
   

2. Wenn Sie den Bindplane-Agent unter Windows neu starten möchten, können Sie entweder die Konsole Dienste verwenden oder den folgenden Befehl eingeben:

   net stop observiq-otel-collector && net start observiq-otel-collector
   

Syslog-Weiterleitung auf Sophos Firewall konfigurieren

Syslog-Server hinzufügen

1. Melden Sie sich in der Sophos Firewall-Web-Admin-Konsole an.
2. Gehen Sie zu Systemdienste> Protokolleinstellungen.
3. Scrollen Sie nach unten zum Abschnitt Syslog-Server.

4. Klicken Sie auf Hinzufügen, um einen neuen Syslog-Server hinzuzufügen.

5. Geben Sie die folgenden Konfigurationsdetails an:

   • Name: Geben Sie einen aussagekräftigen Namen ein, z. B. Bindplane-SecOps.
   • IP-Adresse/Domain: Geben Sie die IP-Adresse des Bindplane-Agent-Hosts ein.
   • Port: Geben Sie 514 (oder den konfigurierten Port) ein.
   • Einrichtung: Wählen Sie DAEMON aus.
   • Schweregrad: Wählen Sie Information aus (empfohlen für umfassendes Logging).
   • Format: Wählen Sie Device Standard Format aus.

6. Klicken Sie auf Speichern.

Weiterzuleitende Logtypen auswählen

1. Klicken Sie im Bereich Syslog-Server auf den Syslog-Servereintrag Bindplane-SecOps.

2. Aktivieren Sie im Abschnitt Log-Typ die Log-Kategorien, die weitergeleitet werden sollen:

   • Firewall: Treffer bei Firewallregeln, verworfener Traffic und zugelassene Verbindungen.
   • IPS: Warnungen und Ereignisse des Intrusion Prevention-Systems.
   • Antivirus: Ereignisse zur Malware-Erkennung.
   • Anti-Spam: Ereignisse zur Spam-Erkennung und ‑Filterung.
   • Inhaltsfilterung: Ereignisse zur Webfilterung und URL-Kategorisierung.
   • Ereignisse: Systemereignisse, Authentifizierung und Administratoraktivitäten.
   • Web Server Protection: WAF-Ereignisse.
   • Advanced Threat Protection: Sandstorm- und ATP-Erkennungsereignisse.
   • Wireless: Ereignisse von Wireless Access Points (falls zutreffend).
   • Heartbeat: Änderungen des Sophos Security Heartbeat-Status (wenn Synchronized Security aktiviert ist).
   • System Health (Systemstatus): Hardware- und Softwarestatusereignisse.
   • Authentifizierung: Ereignisse zur Nutzer- und Administratorauthentifizierung.
   • Admin: Aktivitäten in der Admin-Konsole.

3. Klicken Sie auf Übernehmen.

Syslog-Weiterleitung bestätigen

1. Rufen Sie in der Web-Admin-Konsole der Sophos Firewall die Loganzeige auf.
2. Prüfen Sie, ob Logeinträge generiert werden.

3. Prüfen Sie die Bindplane-Agent-Logs, um zu bestätigen, dass Syslog-Nachrichten empfangen werden:

   sudo journalctl -u observiq-otel-collector -f
   

Weitere Informationen finden Sie in der Syslog-Dokumentation zur Sophos Firewall.

UDM-Zuordnungstabelle

Logfeld	UDM-Zuordnung	Logik
device_id	intermediary.asset.asset_id	Direkt zugeordnet
device_serial_id	intermediary.asset.asset_id	Direkt zugeordnet
device_model	intermediary.hostname	Direkt zugeordnet
device_name	intermediary.hostname	Direkt zugeordnet
log_msg	metadata.description	Direkt zugeordnet
date_time	metadata.event_timestamp	Geparst als yyyy-MM-dd HH:mm:ss Z
timestamp	metadata.event_timestamp	Geparst als yyyy-MM-ddTHH:mm:ssZ
log_component	metadata.product_event_type	Direkt zugeordnet
log_id	metadata.product_log_id	Direkt zugeordnet
client_physical_address	network.dhcp.chaddr	Direkt zugeordnet
ipaddress	network.dhcp.ciaddr	Direkt zugeordnet
client_host_name	network.dhcp.client_hostname	Direkt zugeordnet
user_agent	network.http.parsed_user_agent	Umbenannt/zugeordnet
referer	network.http.referral_url	Direkt zugeordnet
http_status	network.http.response_code	Umbenannt/zugeordnet
status_code	network.http.response_code	Umbenannt/zugeordnet
user_agent	network.http.user_agent	Direkt zugeordnet
ip_protocol_out	network.ip_protocol	Direkt zugeordnet
bytes_received	network.received_bytes	Umbenannt/zugeordnet
recv_bytes	network.received_bytes	Umbenannt/zugeordnet
packets_received	network.received_packets	Umbenannt/zugeordnet
recv_pkts	network.received_packets	Umbenannt/zugeordnet
bytes_sent	network.sent_bytes	Umbenannt/zugeordnet
sent_bytes	network.sent_bytes	Umbenannt/zugeordnet
packets_sent	network.sent_packets	Umbenannt/zugeordnet
sent_pkts	network.sent_packets	Umbenannt/zugeordnet
duration	network.session_duration.seconds	Umbenannt/zugeordnet
domain	principal.administrative_domain	Umbenannt/zugeordnet
app_name	principal.application	Direkt zugeordnet
application	principal.application	Direkt zugeordnet
ipaddress	principal.ip	Zusammengeführt
src_ip	principal.ip	Zusammengeführt
src_country	principal.location.country_or_region	Direkt zugeordnet
src_country_code	principal.location.country_or_region	Direkt zugeordnet
src_mac	principal.mac	Zusammengeführt
src_trans_ip	principal.nat_ip	Zusammengeführt
tran_src_ip	principal.nat_ip	Zusammengeführt
src_trans_port	principal.nat_port	Umbenannt/zugeordnet
tran_src_port	principal.nat_port	Umbenannt/zugeordnet
src_port	principal.port	Umbenannt/zugeordnet
user_name	principal.user.email_addresses	Zugeordnet: .*?@.* → user_name
user_name	principal.user.userid	Direkt zugeordnet
action	security_result.action	Zusammengeführt
status	security_result.action_details	Direkt zugeordnet
_about0	security_result.detection_fields	Zusammengeführt
_about2	security_result.detection_fields	Zusammengeführt
activityname_label	security_result.detection_fields	Zusammengeführt
appCategory_label	security_result.detection_fields	Zusammengeführt
appTech_label	security_result.detection_fields	Zusammengeführt
app_filter_policy_id_label	security_result.detection_fields	Zusammengeführt
app_is_cloud_label	security_result.detection_fields	Zusammengeführt
app_resolved_by_label	security_result.detection_fields	Zusammengeführt
category_type_label	security_result.detection_fields	Zusammengeführt
con_event_label	security_result.detection_fields	Zusammengeführt
con_id_label	security_result.detection_fields	Zusammengeführt
connevent_label	security_result.detection_fields	Zusammengeführt
connid_label	security_result.detection_fields	Zusammengeführt
dst_zone_type_label	security_result.detection_fields	Zusammengeführt
dstzonetype_label	security_result.detection_fields	Zusammengeführt
ether_type_label	security_result.detection_fields	Zusammengeführt
exceptions_label	security_result.detection_fields	Zusammengeführt
gw_id_request_label	security_result.detection_fields	Zusammengeführt
gw_name_request_label	security_result.detection_fields	Zusammengeführt
hb_health_label	security_result.detection_fields	Zusammengeführt
hb_status_label	security_result.detection_fields	Zusammengeführt
http_category_label	security_result.detection_fields	Zusammengeführt
http_category_type_label	security_result.detection_fields	Zusammengeführt
in_display_interface_label	security_result.detection_fields	Zusammengeführt
in_interface_label	security_result.detection_fields	Zusammengeführt
log_component_label	security_result.detection_fields	Zusammengeführt
log_occurrence_label	security_result.detection_fields	Zusammengeführt
log_subtype_label	security_result.detection_fields	Zusammengeführt
log_type_label	security_result.detection_fields	Zusammengeführt
log_version_label	security_result.detection_fields	Zusammengeführt
nat_rule_id_label	security_result.detection_fields	Zusammengeführt
nat_rule_name_label	security_result.detection_fields	Zusammengeführt
out_display_interface_label	security_result.detection_fields	Zusammengeführt
out_interface_label	security_result.detection_fields	Zusammengeführt
qualifier_label	security_result.detection_fields	Zusammengeführt
reason_label	security_result.detection_fields	Zusammengeführt
risk_label	security_result.detection_fields	Zusammengeführt
src_zone_type_label	security_result.detection_fields	Zusammengeführt
srczonetype_label	security_result.detection_fields	Zusammengeführt
used_quota_label	security_result.detection_fields	Zusammengeführt
web_policy_id_label	security_result.detection_fields	Zusammengeführt
fw_rule_id	security_result.rule_id	Direkt zugeordnet
fw_rule_name	security_result.rule_name	Direkt zugeordnet
fw_rule_section	security_result.rule_set	Direkt zugeordnet
fw_rule_type	security_result.rule_type	Direkt zugeordnet
priority	security_result.severity	Zugeordnet: "INFORMATION", "NOTIFICATION", "NOTICE" → INFORMATIONAL, "ERROR","WARNING" → `...
reason	security_result.summary	Direkt zugeordnet
domain	target.hostname	Direkt zugeordnet
dst_ip	target.ip	Zusammengeführt
dst_country	target.location.country_or_region	Direkt zugeordnet
dst_country_code	target.location.country_or_region	Direkt zugeordnet
dst_mac	target.mac	Zusammengeführt
dst_trans_ip	target.nat_ip	Zusammengeführt
tran_dst_ip	target.nat_ip	Zusammengeführt
dst_trans_port	target.nat_port	Umbenannt/zugeordnet
tran_dst_port	target.nat_port	Umbenannt/zugeordnet
dst_port	target.port	Umbenannt/zugeordnet
url	target.url	Direkt zugeordnet
–	extensions.auth.type	Konstante: VPN
–	metadata.event_type	Konstante: NETWORK_HTTP
–	metadata.product_name	Konstante: SOPHOS Firewall
–	metadata.vendor_name	Konstante: SOPHOS
–	network.application_protocol	Konstante: DHCP
–	security_result.severity	Konstante: INFORMATIONAL
date_time	event.idm.read_only_udm.metadata.event_timestamp	Aus dem Änderungsprotokoll zugeordnet
referer	network.http.referer_url	Aus dem Änderungsprotokoll zugeordnet
device_serial_id	principal.asset.asset_id	Aus dem Änderungsprotokoll zugeordnet
application_category, application_risk and application_technology	security_result.detection_fields	Aus dem Änderungsprotokoll zugeordnet
user_name	event.idm.read_only_udm.principal.user.userid	Aus dem Änderungsprotokoll zugeordnet
device_id	event.idm.read_only_udm.principal.asset.asset_id	Aus dem Änderungsprotokoll zugeordnet

Änderungsprotokoll

Änderungsprotokoll für diesen Parser ansehen

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten