Recopila registros de Sophos Firewall (SFOS)

Compatible con:

Google SecOps SIEM

En este documento, se explica cómo transferir registros de Sophos Firewall a Google Security Operations con Bindplane. Sophos Firewall (SFOS) es un firewall de nueva generación que proporciona seguridad de redes, filtrado web, control de aplicaciones, IPS, VPN y protección avanzada contra amenazas. SFOS se ejecuta en dispositivos de hardware de la serie XGS de Sophos, implementaciones virtuales y en la nube, y genera registros detallados de reglas de firewall, filtrado web, eventos de IPS, autenticación, conexiones de VPN y actividad del sistema.

Nota: El hardware de la serie Sophos XG alcanzó el final de su ciclo de vida el 31 de marzo de 2025. Esta guía se aplica a las implementaciones actuales de hardware de la serie XGS de Sophos y de software de SFOS.

Para obtener más información, consulta Cómo recopilar registros de Sophos Firewall.

Antes de comenzar

Asegúrate de cumplir con los siguientes requisitos previos:

• Es una instancia de Google SecOps.
• Un host de Windows 2016 o posterior, o Linux con systemd
• Si se ejecuta detrás de un proxy, asegúrate de que los puertos de firewall estén abiertos según los requisitos del agente de Bindplane.
• Acceso privilegiado a la consola de administración web de Sophos Firewall con el rol de administrador
• Sophos Firewall que ejecuta SFOS v18 o una versión posterior

Obtén credenciales de Google SecOps para el agente de Bindplane

Para autenticar el agente de Bindplane en Google SecOps, elige uno de los siguientes métodos:

• Implementaciones nuevas: Usa la API de Chronicle (opción 1).
• Implementaciones heredadas: Sigue usando el archivo de autenticación de transferencia (opción 2) hasta que se descontinúe la API de Ingestion el 20 de julio de 2027.

Opción 1: Crea una cuenta de servicio para la API de Chronicle (recomendada)

1. Accede a la consola deGoogle Cloud y selecciona el proyecto de Google Cloud que está vinculado a tu instancia de Google SecOps.
2. Ve a IAM y administración > Cuentas de servicio.
3. Haga clic en Crear cuenta de servicio.
4. Proporciona los siguientes detalles de configuración:
   • Nombre de la cuenta de servicio: Ingresa un nombre para la cuenta (por ejemplo, bindplane-ingest).
   • Descripción de la cuenta de servicio: Ingresa una descripción (por ejemplo, Bindplane agent log ingestion).
5. Haz clic en Crear y continuar.
6. En la sección Otorga a esta cuenta de servicio acceso al proyecto, haz clic en Seleccionar un rol y, luego, en Editor de Chronicle.
7. Haz clic en Continuar y, luego, en Listo.
8. Haz clic en la cuenta de servicio que creaste y, luego, ve a la pestaña Claves.
9. Haz clic en Agregar clave > Crear clave nueva.
10. Selecciona JSON y haz clic en Crear. El archivo de claves se descargará en tu computadora.
11. Guarda el archivo de claves como ingestion-auth.json en el directorio del recopilador de Bindplane (/opt/observiq-otel-collector/ingestion-auth.json en Linux o C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json en Windows) o actualiza creds_file_path en config.yaml para que coincida con la ruta de acceso en la que lo guardas.
12. Ve a IAM y administración > Configuración y copia el número de proyecto. Lo necesitarás para la configuración del exportador.

Nota: La clave JSON es una credencial. Restringe el acceso al archivo en el host de Bindplane y rota la clave según la política de tu organización.

Opción 2: Descarga el archivo de autenticación de transferencia (heredado)

1. Accede a la consola de Google SecOps.
2. Ve a Configuración de SIEM > Agentes de recopilación.
3. Descarga el archivo de autenticación de transferencia.
4. Guarda el archivo de forma segura en el sistema en el que se instalará el agente de Bindplane.

Nota: Este archivo autentica el agente en la API de Ingestion heredada (malachiteingestion-pa.googleapis.com), cuyo fin de vida útil Google programó para el 20 de julio de 2027. Planifica cambiar a la opción 1 antes de esa fecha.

Obtén el ID de cliente de Google SecOps

1. Accede a la consola de Google SecOps.
2. Ve a Configuración de SIEM > Perfil.
3. Copia y guarda el ID de cliente de la sección Detalles de la organización.

Instala el agente de Bindplane

Instala el agente de Bindplane en tu sistema operativo Windows o Linux según las siguientes instrucciones.

Instalación en Windows

1. Abre el símbolo del sistema o PowerShell como administrador.

2. Ejecuta el comando siguiente:

   msiexec /i "[https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi](https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi)" /quiet
   

Instalación en Linux

1. Abre una terminal con privilegios de raíz o sudo.

2. Ejecuta el comando siguiente:

   sudo sh -c "$(curl -fsSlL [https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh](https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh))" install_unix.sh
   

Recursos de instalación adicionales

Para conocer otras opciones de instalación, consulta esta guía de instalación.

Nota: La configuración del exportador de la API de Chronicle requiere la versión 1.106.0 o posterior del recopilador de Bindplane. Los comandos anteriores instalan la versión más reciente. Si vas a actualizar una instalación existente, actualiza el recopilador antes de cambiar la configuración.

Configura el agente de BindPlane para transferir Syslog y enviarlo a Google SecOps

1. Accede al archivo de configuración:

   • Ubica el archivo config.yaml. Por lo general, se encuentra en el directorio /opt/observiq-otel-collector/config.yaml en Linux o en el directorio de instalación en Windows.
   • Abre el archivo con un editor de texto (por ejemplo, nano, vi o el Bloc de notas).

2. Edita el archivo config.yaml de la siguiente manera:

   receivers:
     udplog:
       listen_address: "0.0.0.0:514"
   
   exporters:
     chronicle/sophos_firewall:
       protocol: https
       # Region of your instance, for example us, europe, asia-southeast1
       location: <LOCATION>
       # Project number of the Google Cloud project linked to the instance
       project: '<PROJECT_NUMBER>'
       compression: gzip
       creds_file_path: '/path/to/ingestion-authentication-file.json'
       customer_id: '<CUSTOMER_ID>'
       endpoint: chronicle.googleapis.com
       log_type: SOPHOS_FIREWALL
       raw_log_field: body
       ingestion_labels:
   
   service:
     pipelines:
       logs/sophos_fw_to_chronicle:
         receivers:
           - udplog
         exporters:
           - chronicle/sophos_firewall
   

• Reemplaza el puerto y la dirección IP según sea necesario en tu infraestructura.
• Reemplaza <LOCATION> por la región de tu instancia de Google SecOps (por ejemplo, us, europe o asia-southeast1). El exportador antepone chronicle.googleapis.com con este valor.
• Reemplaza <PROJECT_NUMBER> por el número de proyecto de IAM y administración > Configuración.
• Reemplaza <CUSTOMER_ID> por el ID de cliente real.
• Actualiza /path/to/ingestion-authentication-file.json a la ruta de acceso en la que se guardó el archivo de claves de la cuenta de servicio (opción 1).

Exportador de la API de transferencia heredada

• Si usas el archivo de autenticación de transferencia de la opción 2, reemplaza el bloque exporters por el siguiente. Establece creds_file_path en la ruta de acceso al archivo de autenticación de la transferencia y, si tu instancia se encuentra fuera de EE.UU., reemplaza malachiteingestion-pa.googleapis.com por tu extremo regional (por ejemplo, europe-malachiteingestion-pa.googleapis.com).

  exporters:
    chronicle/sophos_firewall:
      compression: gzip
      creds_file_path: '/path/to/ingestion-authentication-file.json'
      customer_id: '<CUSTOMER_ID>'
      endpoint: malachiteingestion-pa.googleapis.com
      log_type: SOPHOS_FIREWALL
      raw_log_field: body
      ingestion_labels:
  

Nota: Este exportador dejará de funcionar cuando se descontinúe la API de Ingestion el 20 de julio de 2027.

Reinicia el agente de Bindplane para aplicar los cambios

1. Para reiniciar el agente de Bindplane en Linux, ejecuta el siguiente comando:

   sudo systemctl restart observiq-otel-collector
   

2. Para reiniciar el agente de Bindplane en Windows, puedes usar la consola de Servicios o ingresar el siguiente comando:

   net stop observiq-otel-collector && net start observiq-otel-collector
   

Configura el reenvío de Syslog en el firewall de Sophos

Cómo agregar un servidor syslog

1. Accede a la Consola del administrador web de Sophos Firewall.
2. Ve a Servicios del sistema > Configuración de registros.
3. Desplázate hacia abajo hasta la sección Servidores Syslog.

4. Haz clic en Agregar para agregar un Servidor Syslog nuevo.

5. Proporciona los siguientes detalles de configuración:

   • Nombre: Ingresa un nombre descriptivo (por ejemplo, Bindplane-SecOps).
   • Dirección IP/dominio: Ingresa la dirección IP del host del agente de Bindplane.
   • Puerto: Ingresa 514 (o el puerto que configuraste).
   • Facility: Selecciona DAEMON.
   • Nivel de gravedad: Selecciona Información (recomendado para un registro completo).
   • Formato: Selecciona Formato estándar del dispositivo.

6. Haz clic en Guardar.

Selecciona los tipos de registros que se reenviarán

1. En la sección Servidores Syslog, haz clic en la entrada del servidor Syslog Bindplane-SecOps.

2. En la sección Tipo de registro, habilita las categorías de registro que se reenviarán:

   • Firewall: Coincidencias de reglas de firewall, tráfico descartado y conexiones permitidas.
   • IPS: Alertas y eventos del sistema de prevención contra intrusiones.
   • Antivirus: Eventos de detección de software malicioso.
   • Anti-Spam: Eventos de detección y filtrado de spam.
   • Filtro de contenido: Eventos de filtrado web y categorización de URLs
   • Eventos: Eventos del sistema, autenticación y actividad administrativa.
   • Protección del servidor web: Eventos del WAF.
   • Protección contra amenazas avanzadas: Eventos de detección de Sandstorm y ATP.
   • Inalámbrica: Eventos de puntos de acceso inalámbricos (si corresponde).
   • Señal de monitoreo de funcionamiento: Cambios de estado de la señal de monitoreo de funcionamiento de Sophos Security (si la seguridad sincronizada está habilitada).
   • Estado del sistema: Eventos de estado del hardware y el software.
   • Autenticación: Eventos de autenticación de usuarios y administradores
   • Administrador: Actividad de la consola de administración.

3. Haz clic en Aplicar.

Verifica el reenvío de syslog

1. Ve a Visor de registros en la consola de administración web de Sophos Firewall.
2. Verifica que se estén generando entradas de registro.

3. Revisa los registros del agente de Bindplane para confirmar que se reciben los mensajes de syslog:

   sudo journalctl -u observiq-otel-collector -f
   

Para obtener más información, consulta la documentación de syslog de Sophos Firewall.

Tabla de asignación de UDM

Campo de registro	Asignación de UDM	Lógica
device_id	intermediary.asset.asset_id	Asignada directamente
device_serial_id	intermediary.asset.asset_id	Asignada directamente
device_model	intermediary.hostname	Asignada directamente
device_name	intermediary.hostname	Asignada directamente
log_msg	metadata.description	Asignada directamente
date_time	metadata.event_timestamp	Analizado como yyyy-MM-dd HH:mm:ss Z
timestamp	metadata.event_timestamp	Analizado como yyyy-MM-ddTHH:mm:ssZ
log_component	metadata.product_event_type	Asignada directamente
log_id	metadata.product_log_id	Asignada directamente
client_physical_address	network.dhcp.chaddr	Asignada directamente
ipaddress	network.dhcp.ciaddr	Asignada directamente
client_host_name	network.dhcp.client_hostname	Asignada directamente
user_agent	network.http.parsed_user_agent	Se cambió el nombre o se asignó
referer	network.http.referral_url	Asignada directamente
http_status	network.http.response_code	Se cambió el nombre o se asignó
status_code	network.http.response_code	Se cambió el nombre o se asignó
user_agent	network.http.user_agent	Asignada directamente
ip_protocol_out	network.ip_protocol	Asignada directamente
bytes_received	network.received_bytes	Se cambió el nombre o se asignó
recv_bytes	network.received_bytes	Se cambió el nombre o se asignó
packets_received	network.received_packets	Se cambió el nombre o se asignó
recv_pkts	network.received_packets	Se cambió el nombre o se asignó
bytes_sent	network.sent_bytes	Se cambió el nombre o se asignó
sent_bytes	network.sent_bytes	Se cambió el nombre o se asignó
packets_sent	network.sent_packets	Se cambió el nombre o se asignó
sent_pkts	network.sent_packets	Se cambió el nombre o se asignó
duration	network.session_duration.seconds	Se cambió el nombre o se asignó
domain	principal.administrative_domain	Se cambió el nombre o se asignó
app_name	principal.application	Asignada directamente
application	principal.application	Asignada directamente
ipaddress	principal.ip	Combinado
src_ip	principal.ip	Combinado
src_country	principal.location.country_or_region	Asignada directamente
src_country_code	principal.location.country_or_region	Asignada directamente
src_mac	principal.mac	Combinado
src_trans_ip	principal.nat_ip	Combinado
tran_src_ip	principal.nat_ip	Combinado
src_trans_port	principal.nat_port	Se cambió el nombre o se asignó
tran_src_port	principal.nat_port	Se cambió el nombre o se asignó
src_port	principal.port	Se cambió el nombre o se asignó
user_name	principal.user.email_addresses	Asignado: .*?@.* → user_name
user_name	principal.user.userid	Asignada directamente
action	security_result.action	Combinado
status	security_result.action_details	Asignada directamente
_about0	security_result.detection_fields	Combinado
_about2	security_result.detection_fields	Combinado
activityname_label	security_result.detection_fields	Combinado
appCategory_label	security_result.detection_fields	Combinado
appTech_label	security_result.detection_fields	Combinado
app_filter_policy_id_label	security_result.detection_fields	Combinado
app_is_cloud_label	security_result.detection_fields	Combinado
app_resolved_by_label	security_result.detection_fields	Combinado
category_type_label	security_result.detection_fields	Combinado
con_event_label	security_result.detection_fields	Combinado
con_id_label	security_result.detection_fields	Combinado
connevent_label	security_result.detection_fields	Combinado
connid_label	security_result.detection_fields	Combinado
dst_zone_type_label	security_result.detection_fields	Combinado
dstzonetype_label	security_result.detection_fields	Combinado
ether_type_label	security_result.detection_fields	Combinado
exceptions_label	security_result.detection_fields	Combinado
gw_id_request_label	security_result.detection_fields	Combinado
gw_name_request_label	security_result.detection_fields	Combinado
hb_health_label	security_result.detection_fields	Combinado
hb_status_label	security_result.detection_fields	Combinado
http_category_label	security_result.detection_fields	Combinado
http_category_type_label	security_result.detection_fields	Combinado
in_display_interface_label	security_result.detection_fields	Combinado
in_interface_label	security_result.detection_fields	Combinado
log_component_label	security_result.detection_fields	Combinado
log_occurrence_label	security_result.detection_fields	Combinado
log_subtype_label	security_result.detection_fields	Combinado
log_type_label	security_result.detection_fields	Combinado
log_version_label	security_result.detection_fields	Combinado
nat_rule_id_label	security_result.detection_fields	Combinado
nat_rule_name_label	security_result.detection_fields	Combinado
out_display_interface_label	security_result.detection_fields	Combinado
out_interface_label	security_result.detection_fields	Combinado
qualifier_label	security_result.detection_fields	Combinado
reason_label	security_result.detection_fields	Combinado
risk_label	security_result.detection_fields	Combinado
src_zone_type_label	security_result.detection_fields	Combinado
srczonetype_label	security_result.detection_fields	Combinado
used_quota_label	security_result.detection_fields	Combinado
web_policy_id_label	security_result.detection_fields	Combinado
fw_rule_id	security_result.rule_id	Asignada directamente
fw_rule_name	security_result.rule_name	Asignada directamente
fw_rule_section	security_result.rule_set	Asignada directamente
fw_rule_type	security_result.rule_type	Asignada directamente
priority	security_result.severity	Asignado: "INFORMATION", "NOTIFICATION", "NOTICE" → INFORMATIONAL, "ERROR","WARNING" → "…
reason	security_result.summary	Asignada directamente
domain	target.hostname	Asignada directamente
dst_ip	target.ip	Combinado
dst_country	target.location.country_or_region	Asignada directamente
dst_country_code	target.location.country_or_region	Asignada directamente
dst_mac	target.mac	Combinado
dst_trans_ip	target.nat_ip	Combinado
tran_dst_ip	target.nat_ip	Combinado
dst_trans_port	target.nat_port	Se cambió el nombre o se asignó
tran_dst_port	target.nat_port	Se cambió el nombre o se asignó
dst_port	target.port	Se cambió el nombre o se asignó
url	target.url	Asignada directamente
N/A	extensions.auth.type	Constante: VPN
N/A	metadata.event_type	Constante: NETWORK_HTTP
N/A	metadata.product_name	Constante: SOPHOS Firewall
N/A	metadata.vendor_name	Constante: SOPHOS
N/A	network.application_protocol	Constante: DHCP
N/A	security_result.severity	Constante: INFORMATIONAL
date_time	event.idm.read_only_udm.metadata.event_timestamp	Asignado desde el registro de cambios
referer	network.http.referer_url	Asignado desde el registro de cambios
device_serial_id	principal.asset.asset_id	Asignado desde el registro de cambios
application_category, application_risk and application_technology	security_result.detection_fields	Asignado desde el registro de cambios
user_name	event.idm.read_only_udm.principal.user.userid	Asignado desde el registro de cambios
device_id	event.idm.read_only_udm.principal.asset.asset_id	Se asignó desde el registro de cambios

Registro de cambios

Consulta el registro de cambios de este analizador

¿Necesitas más ayuda? Obtén respuestas de miembros de la comunidad y profesionales de Google SecOps.