收集 Sophos UTM 記錄

支援的國家/地區：

本文說明如何使用 Bindplane，將 Sophos UTM 記錄擷取至 Google Security Operations。

Sophos UTM (統一威脅管理) 是一體式網路安全裝置，提供防火牆、VPN、入侵防範、網頁篩選、電子郵件篩選和防毒功能。透過單一網頁式管理控制台，集中管理企業網路的安全性。剖析器會從 Sophos UTM KV 格式的記錄檔中擷取欄位。剖析器會使用 grok 和/或 kv 剖析記錄訊息，然後將這些值對應至統合式資料模型 (UDM)。此外，也會為事件來源和類型設定預設中繼資料值。

事前準備

請確認您已完成下列事前準備事項：

  • Google SecOps 執行個體
  • Windows Server 2016 以上版本，或搭載 systemd 的 Linux 主機
  • 如果透過 Proxy 執行，請確保防火牆通訊埠已根據 Bindplane 代理程式需求開啟
  • Sophos UTM WebAdmin 介面的特殊存取權

取得 Google SecOps 擷取驗證檔案

  1. 登入 Google SecOps 控制台。
  2. 依序前往「SIEM 設定」>「收集代理程式」。
  3. 下載擷取驗證檔案。將檔案安全地儲存在要安裝 Bindplane 的系統上。

取得 Google SecOps 客戶 ID

  1. 登入 Google SecOps 控制台。
  2. 依序前往「SIEM 設定」>「設定檔」。
  3. 複製並儲存「機構詳細資料」專區中的客戶 ID。

安裝 Bindplane 代理程式

請按照下列操作說明，在 Windows 或 Linux 作業系統上安裝 Bindplane 代理程式。

Windows 安裝

  1. 以管理員身分開啟「命令提示字元」或「PowerShell」。

  2. 執行下列指令：

    msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

  3. 等待安裝完成。

  4. 執行下列指令來驗證安裝：

    sc query observiq-otel-collector

服務應顯示為「RUNNING」(執行中)。

Linux 安裝

  1. 開啟具有根層級或 sudo 權限的終端機。

  2. 執行下列指令：

    sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

  3. 等待安裝完成。

  4. 執行下列指令來驗證安裝：

    sudo systemctl status observiq-otel-collector

服務應顯示為啟用 (執行中)。

其他安裝資源

如需其他安裝選項和疑難排解資訊，請參閱 Bindplane 代理程式安裝指南。

設定 Bindplane 代理程式，擷取系統記錄檔並傳送至 Google SecOps

找出設定檔

  • Linux：

    sudo nano /etc/bindplane-agent/config.yaml

  • Windows：

    notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"

編輯設定檔

  • 將 config.yaml 的所有內容替換為下列設定：

    receivers:
    udplog:
        listen_address: "0.0.0.0:514"

exporters:
    chronicle/chronicle_w_labels:
        compression: gzip
        creds_file_path: '/path/to/ingestion-authentication-file.json'
        customer_id: 'YOUR_CUSTOMER_ID'
        endpoint: malachiteingestion-pa.googleapis.com
        log_type: 'SOPHOS_UTM'
        raw_log_field: body
        ingestion_labels:

service:
    pipelines:
        logs/source0__chronicle_w_labels-0:
            receivers:
                - udplog
            exporters:
                - chronicle/chronicle_w_labels

設定參數

  • 替換下列預留位置：

    • 接收器設定：

      • udplog：使用 udplog 進行 UDP 系統記錄，或使用 tcplog 進行 TCP 系統記錄
      • 0.0.0.0：要接聽的 IP 位址 (0.0.0.0 可接聽所有介面)
      • 514：要接聽的通訊埠號碼 (標準系統記錄通訊埠)

    • 匯出工具設定：

      • creds_file_path：擷取驗證檔案的完整路徑：
        • Linux：/etc/bindplane-agent/ingestion-auth.json
        • Windows：C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
      • YOUR_CUSTOMER_ID：從「取得客戶 ID」一節取得的客戶 ID
      • endpoint：區域端點網址：
        • 美國：malachiteingestion-pa.googleapis.com
        • 歐洲：europe-malachiteingestion-pa.googleapis.com
        • 亞洲：asia-southeast1-malachiteingestion-pa.googleapis.com
        • 如需完整清單，請參閱「區域端點」
      • log_type：記錄類型，與 Chronicle 中顯示的完全相同 (SOPHOS_UTM)

儲存設定檔

  • 編輯完成後，請儲存檔案：
    • Linux：依序按下 Ctrl+O、Enter 和 Ctrl+X
    • Windows：依序點選「檔案」>「儲存」

重新啟動 Bindplane 代理程式，以套用變更

  • 如要在 Linux 中重新啟動 Bindplane 代理程式，請執行下列指令：

    sudo systemctl restart observiq-otel-collector

    1. 確認服務正在執行：

        sudo systemctl status observiq-otel-collector

    2. 檢查記錄中是否有錯誤：

        sudo journalctl -u observiq-otel-collector -f

  • 如要在 Windows 中重新啟動 Bindplane 代理程式，請選擇下列任一做法：

    • 以管理員身分開啟命令提示字元或 PowerShell：

      net stop observiq-otel-collector && net start observiq-otel-collector

    • 服務控制台：

      1. 按下 Win+R 鍵，輸入 services.msc，然後按下 Enter 鍵。
      2. 找出 observIQ OpenTelemetry Collector。

      3. 按一下滑鼠右鍵，然後選取「重新啟動」。

      4. 確認服務正在執行：

        sc query observiq-otel-collector

      5. 檢查記錄中是否有錯誤：

        type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"

在 Sophos UTM 上設定系統記錄轉送

  1. 登入 Sophos UTM WebAdmin 介面。
  2. 依序前往「記錄與報表」>「記錄設定」>「遠端系統記錄伺服器」。
  3. 按一下切換按鈕，啟用遠端系統記錄。
  4. 請提供下列設定詳細資料：
    • 遠端系統記錄檔伺服器：輸入 Bindplane 代理程式主機的 IP 位址。
    • 「Port」(通訊埠)：輸入 514。
  5. 在「Remote Syslog Log Selection」(遠端系統記錄檔記錄選取) 專區中，選取要轉送的記錄類型：
    • 封包篩選器：防火牆封包篩選器記錄
    • 網路篩選：網路篩選活動
    • IPS：入侵防禦系統事件
    • 驗證：使用者驗證事件
    • 電子郵件：電子郵件篩選和隔離事件
    • 網路防護：進階威脅防護記錄
    • WebServer Protection：WAF 記錄
    • VPN：VPN 連線事件
    • HA/叢集：高可用性和叢集事件
    • 系統：系統層級事件
    • DHCP：DHCP 伺服器記錄
    • DNS：DNS 查詢記錄
  6. 按一下「套用」，儲存設定。
  7. 檢查 Bindplane 代理程式記錄，確認系統記錄訊息是否已傳送。

UDM 對應表

記錄欄位 UDM 對應 邏輯
動作 security_result.action 如果動作是「pass」或「accept」，請對應至「ALLOW」。如果動作是「drop」，請對應至「BLOCK」。
ad_domain target.administrative_domain 直接對應。
地址 target.ip、target.asset.ip 直接對應，用於 ID 為「2203」時。
應用程式 target.application 直接對應。
app-id additional.fields[].key、additional.fields[].value.string_value 已重新命名為 app_id。如果不是空白，鍵會設為「app-id」，值則是應用程式 ID 本身。
調度應用程式資源 principal.application 直接對應。
aptptime additional.fields[].key、additional.fields[].value.string_value 如不為空，則鍵會設為「aptptime」，值則為 aptptime 本身。
授權 extensions.auth.auth_details 直接對應。
authtime additional.fields[].key、additional.fields[].value.string_value 如果不是空白且不是「0」，則鍵會設為「authtime」，值則為 authtime 本身。
avscantime additional.fields[].key、additional.fields[].value.string_value 如果不是空白或「0」，則鍵會設為「avscantime」，值則為 avscantime 本身。
category security_result.detection_fields[].key、security_result.detection_fields[].value 如果不是空白，則鍵會設為「category」，值則為類別本身。如果名稱包含「portscan」，security_result.category 會設為「NETWORK_RECON」，並新增鍵為「category」、值為「NETWORK_RECON」的偵測欄位。
categoryname security_result.category_details 直接對應。
連結 security_result.rule_name 直接對應，用於 ID 為「2203」時。
內容類型資料 (請參閱其他欄位) 資料欄位包含鍵/值組合，這些組合會剖析為個別欄位。
日期時間 metadata.event_timestamp 剖析並對應為自 Epoch 起算的秒數。
裝置 additional.fields[].key、additional.fields[].value.string_value 如果不是空白且不是「0」，則鍵會設為「device」，值則是裝置本身。
dnstime additional.fields[].key、additional.fields[].value.string_value 如果不是空白或「0」，則鍵會設為「dnstime」，值則為 dnstime 本身。
dstip target.ip、target.asset.ip 直接對應。如果網址欄位有值，系統也會從中擷取。
dstmac target.mac 直接對應。
dstport target.port 直接對應，轉換為整數。
錯誤事件 security_result.summary 直接對應，適用於 ID 為「2201」、「2202」或「2203」的情況。
exceptions additional.fields[].key、additional.fields[].value.string_value 如果不是空白，則鍵會設為「exceptions」，值則為例外狀況本身。
檔案 about.file.full_path 直接對應。
filteraction security_result.rule_name 直接對應。
fullreqtime additional.fields[].key、additional.fields[].value.string_value 如果不是空白，則鍵會設為「fullreqtime」，值則為 fullreqtime 本身。
fwrule security_result.rule_id 直接對應。
群組 target.group.group_display_name 直接對應。
id metadata.product_log_id 直接對應。
資訊 security_result.description 直接對應。如果存在，metadata.event_type 會設為「NETWORK_UNCATEGORIZED」。
initf 介面 security_result.about.labels[].key、security_result.about.labels[].value 如果不是空白，系統會將鍵為「介面」且值為介面的標籤新增至 security_result.about.labels。
ip_address target.ip、target.asset.ip 直接對應。
長度線訊息 security_result.summary 當 ID 為「0003」時使用。也可用於一般 grok 剖析。
方法 network.http.method 直接對應。
名稱 security_result.summary 直接對應。
outitf pid target.process.pid 直接對應。
通訊埠 target.port 直接對應，轉換為整數。
prec profile security_result.rule_name 直接對應。
proto network.ip_protocol 使用查閱表轉換為 IP 協定名稱。
原因參照網址 network.http.referral_url 直接對應。
要求 additional.fields[].key、additional.fields[].value.string_value 如果不是空白，則鍵會設為「request」，值則為要求本身。
信譽 additional.fields[].key、additional.fields[].value.string_value 如果不是空白，則鍵會設為「reputation」，值則為信譽本身。
rx network.received_bytes 直接對應 (當 ID 為「2202」時使用)，轉換為不帶正負號的整數。
沙箱嚴重程度 security_result.severity 如果嚴重程度為「info」，則對應至「LOW」。
大小 target.file.size 直接對應，轉換為不帶正負號的整數。
srcip principal.ip、principal.asset.ip 直接對應。
srcmac principal.mac 直接對應。
srcport principal.port 直接對應，轉換為整數。
statuscode network.http.response_code 直接對應，轉換為整數。
sub network.application_protocol 如果 sub 為「http」，metadata.event_type 會設為「NETWORK_HTTP」，network.application_protocol 則會設為「HTTP」。如果 sub 為「packetfilter」，metadata.description 會設為 sub。否則，會使用查閱表轉換為應用程式通訊協定名稱。如果查閱資料表中沒有相符項目，系統會使用 dstport 進行查閱。
sys metadata.product_event_type 直接對應。
tcpflags tos ttl tx network.sent_bytes 直接對應 (當 ID 為「2202」時使用)，轉換為不帶正負號的整數。
ua network.http.user_agent 直接對應。
網址 network.http.referral_url、target.hostname、target.asset.hostname 直接對應 network.http.referral_url。target.hostname 和 target.asset.hostname 的擷取主機名稱。也用於擷取 dstip。
使用者 target.user.userid 直接對應。
使用者名稱 target.user.userid 直接對應，用於 ID 為「2201」或「2202」時。
variant 未納入最終 UDM，但用於說明 與子項搭配使用，在 ID 為「2201」、「2202」或「2203」時建立 security_result.description。
virtual_ip target.ip、target.asset.ip 直接對應，用於 ID 為「2201」或「2202」時。
metadata.event_type metadata.event_type 初始化為「GENERIC_EVENT」。根據記錄檔內容和剖析器邏輯設定特定值。
metadata.log_type metadata.log_type 硬式編碼為「SOPHOS_UTM」。
metadata.product_name metadata.product_name 硬式編碼為「SOPHOS UTM」。
metadata.vendor_name metadata.vendor_name 硬式編碼為「SOPHOS Ltd」。
intermediary.hostname intermediary.hostname 使用 grok 從記錄訊息中擷取並重新命名。

還有其他問題嗎？向社群成員和 Google SecOps 專業人員尋求答案。