Raccogli i log di Sophos Firewall (SFOS)

Supportata in:

Google SecOps SIEM

Questo documento spiega come importare i log di Sophos Firewall in Google Security Operations utilizzando Bindplane. Sophos Firewall (SFOS) è un firewall di nuova generazione che fornisce sicurezza di rete, filtro web, controllo delle applicazioni, IPS, VPN e protezione avanzata dalle minacce. SFOS viene eseguito su appliance hardware della serie Sophos XGS, deployment virtuali e cloud e genera log dettagliati per regole firewall, filtro web, eventi IPS, autenticazione, connessioni VPN e attività di sistema.

Nota: l'hardware della serie Sophos XG ha raggiunto la fine del ciclo di vita il 31 marzo 2025. Questa guida si applica alle attuali implementazioni hardware della serie Sophos XGS e software SFOS.

Per saperne di più, consulta Raccogli i log di Sophos Firewall.

Prima di iniziare

Assicurati di soddisfare i seguenti prerequisiti:

• Un'istanza Google SecOps.
• Un host Windows 2016 o versioni successive o Linux con systemd.
• Se l'esecuzione avviene dietro un proxy, assicurati che le porte del firewall siano aperte in base ai requisiti dell'agente Bindplane.
• Accesso privilegiato alla console di amministrazione web di Sophos Firewall con ruolo di amministratore.
• Sophos Firewall con SFOS v18 o versioni successive.

Ottieni le credenziali di Google SecOps per l'agente Bindplane

Per autenticare l'agente Bindplane in Google SecOps, scegli uno dei seguenti metodi:

• Nuove implementazioni: utilizza l'API Chronicle (opzione 1).
• Deployment legacy: continua a utilizzare il file di autenticazione dell'acquisizione (Opzione 2) fino alla dismissione dell'API Ingestion il 20 luglio 2027.

Opzione 1: crea un account di servizio per l'API Chronicle (consigliata)

1. Accedi alla Google Cloud console e seleziona il progetto Google Cloud collegato alla tua istanza Google SecOps.
2. Vai a IAM e amministrazione > Service account.
3. Fai clic su Crea service account.
4. Fornisci i seguenti dettagli di configurazione:
   • Nome service account: inserisci un nome per l'account (ad esempio bindplane-ingest).
   • Descrizione del service account: inserisci una descrizione (ad esempio, Bindplane agent log ingestion).
5. Fai clic su Crea e continua.
6. Nella sezione Concedi a questo account di servizio l'accesso al progetto, fai clic su Seleziona un ruolo e seleziona Chronicle Editor.
7. Fai clic su Continua e poi su Fine.
8. Fai clic sul account di servizio che hai creato, quindi vai alla scheda Chiavi.
9. Fai clic su Aggiungi chiave > Crea nuova chiave.
10. Seleziona JSON e fai clic su Crea. Il file della chiave viene scaricato sul computer.
11. Salva il file della chiave come ingestion-auth.json nella directory del raccoglitore Bindplane (/opt/observiq-otel-collector/ingestion-auth.json su Linux o C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json su Windows) o aggiorna creds_file_path in config.yaml in modo che corrisponda al percorso in cui lo salvi.
12. Vai a IAM e amministrazione > Impostazioni e copia il Numero progetto. Ti servirà per la configurazione dell'esportatore.

Nota: la chiave JSON è una credenziale. Limita l'accesso al file sull'host Bindplane e ruota la chiave in base alle policy della tua organizzazione.

Opzione 2: scarica il file di autenticazione dell'acquisizione (legacy)

1. Accedi alla console Google SecOps.
2. Vai a Impostazioni SIEM > Agenti di raccolta.
3. Scarica il file di autenticazione dell'acquisizione.
4. Salva il file in modo sicuro sul sistema in cui verrà installato l'agente Bindplane.

Nota: questo file autentica l'agente nell'API Ingestion precedente (malachiteingestion-pa.googleapis.com), che Google ha programmato per la fine del ciclo di vita il 20 luglio 2027. Pianifica il passaggio all'Opzione 1 prima di questa data.

Ottieni l'ID cliente Google SecOps

1. Accedi alla console Google SecOps.
2. Vai a Impostazioni SIEM > Profilo.
3. Copia e salva l'ID cliente dalla sezione Dettagli organizzazione.

Installa l'agente Bindplane

Installa l'agente Bindplane sul sistema operativo Windows o Linux seguendo le istruzioni riportate di seguito.

Installazione di finestre

1. Apri il prompt dei comandi o PowerShell come amministratore.

2. Esegui questo comando:

   msiexec /i "[https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi](https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi)" /quiet
   

Installazione di Linux

1. Apri un terminale con privilegi root o sudo.

2. Esegui questo comando:

   sudo sh -c "$(curl -fsSlL [https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh](https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh))" install_unix.sh
   

Risorse aggiuntive per l'installazione

Per ulteriori opzioni di installazione, consulta questa guida all'installazione.

Nota: la configurazione dell'esportatore dell'API Chronicle richiede Bindplane Collector v1.106.0 o versioni successive. I comandi precedenti installano l'ultima release. Se stai aggiornando un'installazione esistente, esegui l'upgrade del raccoglitore prima di modificare la configurazione.

Configura l'agente Bindplane per importare Syslog e inviarlo a Google SecOps

1. Accedi al file di configurazione:

   • Individua il file config.yaml. In genere si trova nella directory /opt/observiq-otel-collector/config.yaml su Linux o nella directory di installazione su Windows.
   • Apri il file utilizzando un editor di testo (ad esempio nano, vi o Blocco note).

2. Modifica il file config.yaml come segue:

   receivers:
     udplog:
       listen_address: "0.0.0.0:514"
   
   exporters:
     chronicle/sophos_firewall:
       protocol: https
       # Region of your instance, for example us, europe, asia-southeast1
       location: <LOCATION>
       # Project number of the Google Cloud project linked to the instance
       project: '<PROJECT_NUMBER>'
       compression: gzip
       creds_file_path: '/path/to/ingestion-authentication-file.json'
       customer_id: '<CUSTOMER_ID>'
       endpoint: chronicle.googleapis.com
       log_type: SOPHOS_FIREWALL
       raw_log_field: body
       ingestion_labels:
   
   service:
     pipelines:
       logs/sophos_fw_to_chronicle:
         receivers:
           - udplog
         exporters:
           - chronicle/sophos_firewall
   

• Sostituisci la porta e l'indirizzo IP in base alle esigenze della tua infrastruttura.
• Sostituisci <LOCATION> con la regione della tua istanza Google SecOps (ad esempio us, europe o asia-southeast1). L'esportatore antepone chronicle.googleapis.com a questo valore.
• Sostituisci <PROJECT_NUMBER> con il numero di progetto in IAM e amministrazione > Impostazioni.
• Sostituisci <CUSTOMER_ID> con l'ID cliente effettivo.
• Aggiorna /path/to/ingestion-authentication-file.json con il percorso in cui è stato salvato il file della chiave del account di servizio (opzione 1).

Esportatore API di importazione legacy

• Se utilizzi il file di autenticazione dell'importazione dell'opzione 2, sostituisci il blocco exporters con il seguente. Imposta creds_file_path sul percorso del file di autenticazione dell'acquisizione e, se l'istanza si trova al di fuori degli Stati Uniti, sostituisci malachiteingestion-pa.googleapis.com con il tuo endpoint regionale (ad esempio, europe-malachiteingestion-pa.googleapis.com).

  exporters:
    chronicle/sophos_firewall:
      compression: gzip
      creds_file_path: '/path/to/ingestion-authentication-file.json'
      customer_id: '<CUSTOMER_ID>'
      endpoint: malachiteingestion-pa.googleapis.com
      log_type: SOPHOS_FIREWALL
      raw_log_field: body
      ingestion_labels:
  

Nota: questo strumento di esportazione smetterà di funzionare quando l'API Ingestion non sarà più disponibile il 20 luglio 2027.

Riavvia l'agente Bindplane per applicare le modifiche

1. Per riavviare l'agente Bindplane in Linux, esegui questo comando:

   sudo systemctl restart observiq-otel-collector
   

2. Per riavviare l'agente Bindplane in Windows, puoi utilizzare la console Servizi o inserire il seguente comando:

   net stop observiq-otel-collector && net start observiq-otel-collector
   

Configurare l'inoltro di syslog su Sophos Firewall

Aggiungi server syslog

1. Accedi alla console di amministrazione web di Sophos Firewall.
2. Vai a Servizi di sistema > Impostazioni log.
3. Scorri verso il basso fino alla sezione Server Syslog.

4. Fai clic su Aggiungi per aggiungere un nuovo server syslog.

5. Fornisci i seguenti dettagli di configurazione:

   • Nome: inserisci un nome descrittivo (ad esempio Bindplane-SecOps).
   • Indirizzo IP/Dominio: inserisci l'indirizzo IP dell'host dell'agente Bindplane.
   • Porta: inserisci 514 (o la porta configurata).
   • Facility: seleziona DAEMON.
   • Livello di gravità: seleziona Informazioni (consigliato per un logging completo).
   • Formato: seleziona Formato standard del dispositivo.

6. Fai clic su Salva.

Seleziona i tipi di log da inoltrare

1. Nella sezione Server Syslog, fai clic sulla voce del server Syslog Bindplane-SecOps.

2. Nella sezione Tipo di log, attiva le categorie di log da inoltrare:

   • Firewall: hit delle regole firewall, traffico ignorato e connessioni consentite.
   • IPS: avvisi ed eventi del sistema di prevenzione delle intrusioni.
   • Antivirus: eventi di rilevamento di malware.
   • Antispam: eventi di rilevamento dello spam e filtro.
   • Filtro dei contenuti: eventi di filtro web e classificazione degli URL.
   • Eventi: eventi di sistema, autenticazione e attività amministrative.
   • Protezione server web: eventi WAF.
   • Advanced Threat Protection: eventi di rilevamento Sandstorm e ATP.
   • Wireless: eventi del punto di accesso wireless (se applicabile).
   • Heartbeat: modifiche dello stato di Sophos Security Heartbeat (se la sicurezza sincronizzata è abilitata).
   • Integrità del sistema: eventi di integrità hardware e software.
   • Autenticazione: eventi di autenticazione di utenti e amministratori.
   • Amministratore: attività della console di amministrazione.

3. Fai clic su Applica.

Verifica l'inoltro di syslog

1. Vai a Log viewer (Visualizzatore log) nella console di amministrazione web di Sophos Firewall.
2. Verifica che le voci di log vengano generate.

3. Controlla i log dell'agente Bindplane per verificare che i messaggi syslog vengano ricevuti:

   sudo journalctl -u observiq-otel-collector -f
   

Per saperne di più, consulta la documentazione di Sophos Firewall su syslog.

Tabella di mappatura UDM

Campo log	Mappatura UDM	Logica
device_id	intermediary.asset.asset_id	Mappato direttamente
device_serial_id	intermediary.asset.asset_id	Mappato direttamente
device_model	intermediary.hostname	Mappato direttamente
device_name	intermediary.hostname	Mappato direttamente
log_msg	metadata.description	Mappata direttamente
date_time	metadata.event_timestamp	Analizzato come yyyy-MM-dd HH:mm:ss Z
timestamp	metadata.event_timestamp	Analizzato come yyyy-MM-ddTHH:mm:ssZ
log_component	metadata.product_event_type	Mappata direttamente
log_id	metadata.product_log_id	Mappato direttamente
client_physical_address	network.dhcp.chaddr	Mappato direttamente
ipaddress	network.dhcp.ciaddr	Mappato direttamente
client_host_name	network.dhcp.client_hostname	Mappata direttamente
user_agent	network.http.parsed_user_agent	Rinominato/mappato
referer	network.http.referral_url	Mappata direttamente
http_status	network.http.response_code	Rinominate/mappate
status_code	network.http.response_code	Rinominate/mappate
user_agent	network.http.user_agent	Mappata direttamente
ip_protocol_out	network.ip_protocol	Mappata direttamente
bytes_received	network.received_bytes	Rinominate/mappate
recv_bytes	network.received_bytes	Rinominato/mappato
packets_received	network.received_packets	Rinominato/mappato
recv_pkts	network.received_packets	Rinominato/mappato
bytes_sent	network.sent_bytes	Rinominato/mappato
sent_bytes	network.sent_bytes	Rinominato/mappato
packets_sent	network.sent_packets	Rinominato/mappato
sent_pkts	network.sent_packets	Rinominato/mappato
duration	network.session_duration.seconds	Rinominato/mappato
domain	principal.administrative_domain	Rinominate/mappate
app_name	principal.application	Mappata direttamente
application	principal.application	Mappata direttamente
ipaddress	principal.ip	Unita
src_ip	principal.ip	Unita
src_country	principal.location.country_or_region	Mappata direttamente
src_country_code	principal.location.country_or_region	Mappata direttamente
src_mac	principal.mac	Unita
src_trans_ip	principal.nat_ip	Unita
tran_src_ip	principal.nat_ip	Unita
src_trans_port	principal.nat_port	Rinominato/mappato
tran_src_port	principal.nat_port	Rinominato/mappato
src_port	principal.port	Rinominato/mappato
user_name	principal.user.email_addresses	Mappatura: .*?@.* → user_name
user_name	principal.user.userid	Mappata direttamente
action	security_result.action	Unita
status	security_result.action_details	Mappato direttamente
_about0	security_result.detection_fields	Unita
_about2	security_result.detection_fields	Unita
activityname_label	security_result.detection_fields	Unita
appCategory_label	security_result.detection_fields	Unita
appTech_label	security_result.detection_fields	Unita
app_filter_policy_id_label	security_result.detection_fields	Unita
app_is_cloud_label	security_result.detection_fields	Unita
app_resolved_by_label	security_result.detection_fields	Unita
category_type_label	security_result.detection_fields	Unita
con_event_label	security_result.detection_fields	Unita
con_id_label	security_result.detection_fields	Unita
connevent_label	security_result.detection_fields	Unita
connid_label	security_result.detection_fields	Unita
dst_zone_type_label	security_result.detection_fields	Unita
dstzonetype_label	security_result.detection_fields	Unita
ether_type_label	security_result.detection_fields	Unita
exceptions_label	security_result.detection_fields	Unita
gw_id_request_label	security_result.detection_fields	Unita
gw_name_request_label	security_result.detection_fields	Unita
hb_health_label	security_result.detection_fields	Unita
hb_status_label	security_result.detection_fields	Unita
http_category_label	security_result.detection_fields	Unita
http_category_type_label	security_result.detection_fields	Unita
in_display_interface_label	security_result.detection_fields	Unita
in_interface_label	security_result.detection_fields	Unita
log_component_label	security_result.detection_fields	Unita
log_occurrence_label	security_result.detection_fields	Unita
log_subtype_label	security_result.detection_fields	Unita
log_type_label	security_result.detection_fields	Unita
log_version_label	security_result.detection_fields	Unita
nat_rule_id_label	security_result.detection_fields	Unita
nat_rule_name_label	security_result.detection_fields	Unita
out_display_interface_label	security_result.detection_fields	Unita
out_interface_label	security_result.detection_fields	Unita
qualifier_label	security_result.detection_fields	Unita
reason_label	security_result.detection_fields	Unita
risk_label	security_result.detection_fields	Unita
src_zone_type_label	security_result.detection_fields	Unita
srczonetype_label	security_result.detection_fields	Unita
used_quota_label	security_result.detection_fields	Unita
web_policy_id_label	security_result.detection_fields	Unita
fw_rule_id	security_result.rule_id	Mappata direttamente
fw_rule_name	security_result.rule_name	Mappato direttamente
fw_rule_section	security_result.rule_set	Mappato direttamente
fw_rule_type	security_result.rule_type	Mappato direttamente
priority	security_result.severity	Mapped: "INFORMATION", "NOTIFICATION", "NOTICE" → INFORMATIONAL, "ERROR","WARNING" → `…
reason	security_result.summary	Mappato direttamente
domain	target.hostname	Mappata direttamente
dst_ip	target.ip	Unita
dst_country	target.location.country_or_region	Mappata direttamente
dst_country_code	target.location.country_or_region	Mappata direttamente
dst_mac	target.mac	Unita
dst_trans_ip	target.nat_ip	Unita
tran_dst_ip	target.nat_ip	Unita
dst_trans_port	target.nat_port	Rinominato/mappato
tran_dst_port	target.nat_port	Rinominato/mappato
dst_port	target.port	Rinominate/mappate
url	target.url	Mappata direttamente
N/D	extensions.auth.type	Costante: VPN
N/D	metadata.event_type	Costante: NETWORK_HTTP
N/D	metadata.product_name	Costante: SOPHOS Firewall
N/D	metadata.vendor_name	Costante: SOPHOS
N/D	network.application_protocol	Costante: DHCP
N/D	security_result.severity	Costante: INFORMATIONAL
date_time	event.idm.read_only_udm.metadata.event_timestamp	Mappato dal log delle modifiche
referer	network.http.referer_url	Mappato dal log delle modifiche
device_serial_id	principal.asset.asset_id	Mappato dal log delle modifiche
application_category, application_risk and application_technology	security_result.detection_fields	Mappato dal log delle modifiche
user_name	event.idm.read_only_udm.principal.user.userid	Mappato dal log delle modifiche
device_id	event.idm.read_only_udm.principal.asset.asset_id	Mappato dal log delle modifiche

Log delle modifiche

Visualizza il log delle modifiche per questo parser

Hai bisogno di ulteriore assistenza? Ricevi risposte dai membri della community e dai professionisti di Google SecOps.