Google verwendet KI-Technologie, um Inhalte in Ihre bevorzugte Sprache zu übersetzen. KI-Übersetzungen können Fehler enthalten.

Sophos UTM-Logs erfassen

Unterstützt in:

Google SecOps SIEM

In diesem Dokument wird beschrieben, wie Sie Sophos UTM-Logs mit Bindplane in Google Security Operations aufnehmen.

Sophos UTM (Unified Threat Management) ist eine All-in-One-Netzwerksicherheits-Appliance, die Firewall-, VPN-, Einbruchspräventions-, Webfilter-, E-Mail-Filter- und Antivirenfunktionen bietet. Es bietet eine zentrale Sicherheitsverwaltung für Unternehmensnetzwerke über eine einzige webbasierte Verwaltungskonsole. Der Parser extrahiert Felder aus KV-formatierten Sophos UTM-Logs. Dabei werden grok und/oder kv verwendet, um den Logeintrag zu parsen. Anschließend werden diese Werte dem Unified Data Model (UDM) zugeordnet. Außerdem werden Standardmetadatenwerte für die Ereignisquelle und den Ereignistyp festgelegt.

Hinweis

Prüfen Sie, ob folgende Voraussetzungen erfüllt sind:

Eine Google SecOps-Instanz
Windows Server 2016 oder höher oder Linux-Host mit systemd
Wenn der Agent hinter einem Proxy ausgeführt wird, müssen die Firewallports gemäß den Anforderungen des Bindplane-Agents geöffnet sein.
Privilegierter Zugriff auf die Sophos UTM WebAdmin-Oberfläche

Google SecOps-Anmeldedaten für den Bindplane-Agenten abrufen

Wählen Sie eine der folgenden Methoden aus, um den Bindplane-Agenten bei Google SecOps zu authentifizieren:

Neue Bereitstellungen: Verwenden Sie die Chronicle API (Option 1).
Legacy-Bereitstellungen: Verwenden Sie die Authentifizierungsdatei für die Datenaufnahme (Option 2) weiter, bis die Ingestion API am 20. Juli 2027 eingestellt wird.

Option 1: Dienstkonto für die Chronicle API erstellen (empfohlen)

Melden Sie sich in der Google Cloud -Konsole an und wählen Sie das Google Cloud -Projekt aus, das mit Ihrer Google SecOps-Instanz verknüpft ist.
Rufen Sie IAM und Verwaltung > Dienstkonten auf.
Klicken Sie auf Dienstkonto erstellen.
Geben Sie die folgenden Konfigurationsdetails an:
- Name des Dienstkontos: Geben Sie einen Namen für das Konto ein (z. B. bindplane-ingest).
- Dienstkontobeschreibung: Geben Sie eine Beschreibung ein (z. B. Bindplane agent log ingestion).
Klicken Sie auf Erstellen und fortfahren.
Klicken Sie im Abschnitt Diesem Dienstkonto Zugriff auf das Projekt erteilen auf Rolle auswählen und wählen Sie Chronicle Editor aus.
Klicken Sie auf Weiter und dann auf Fertig.
Klicken Sie auf das von Ihnen erstellte Dienstkonto und rufen Sie den Tab Schlüssel auf.
Klicken Sie auf Schlüssel hinzufügen > Neuen Schlüssel erstellen.
Wählen Sie JSON aus und klicken Sie auf Erstellen. Die Schlüsseldatei wird auf Ihren Computer heruntergeladen.
Speichern Sie die Schlüsseldatei als ingestion-auth.json im Bindplane-Collector-Verzeichnis (/opt/observiq-otel-collector/ingestion-auth.json unter Linux oder C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json unter Windows) oder aktualisieren Sie creds_file_path in config.yaml, sodass der Pfad mit dem Pfad übereinstimmt, unter dem Sie die Datei speichern.
Rufen Sie IAM und Verwaltung > Einstellungen auf und kopieren Sie die Projektnummer. Sie benötigen sie für die Exporter-Konfiguration.

Option 2: Authentifizierungsdatei für die Datenaufnahme herunterladen (Legacy)

Melden Sie sich in der Google SecOps-Konsole an.
Rufen Sie Einstellungen > Datenverwaltung > Erfassungs-Agents auf. Wenn Sie eine reine SIEM-Plattform verwenden, rufen Sie die Einstellungen > Erfassungs-Agents auf.
Laden Sie die Authentifizierungsdatei für die Datenaufnahme herunter.
Speichern Sie die Datei sicher auf dem System, auf dem der Bindplane-Agent installiert werden soll.

Google SecOps-Kundennummer abrufen

Melden Sie sich in der Google SecOps-Konsole an.
Gehen Sie zu Einstellungen > Verwaltung > Profil. Wenn Sie eine reine SIEM-Plattform verwenden, rufen Sie die Einstellungen > Profil auf.
Kopieren und speichern Sie die Kundennummer aus dem Bereich Organisationsdetails.

Bindplane-Agent installieren

Installieren Sie den Bindplane-Agenten gemäß der folgenden Anleitung auf Ihrem Windows- oder Linux-Betriebssystem.

Windows-Installation

Öffnen Sie die Eingabeaufforderung oder PowerShell als Administrator.

Führen Sie dazu diesen Befehl aus:

msiexec /i "[https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi](https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi)" /quiet

Warten Sie, bis die Installation abgeschlossen ist.
Überprüfen Sie die Installation mit folgendem Befehl:
```
sc query observiq-otel-collector
```

Der Dienst sollte als RUNNING angezeigt werden.

Linux-Installation

Öffnen Sie ein Terminal mit Root- oder sudo-Berechtigungen.

Führen Sie dazu diesen Befehl aus:

sudo sh -c "$(curl -fsSlL [https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh](https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh))" install_unix.sh

Warten Sie, bis die Installation abgeschlossen ist.
Überprüfen Sie die Installation mit folgendem Befehl:
```
sudo systemctl status observiq-otel-collector
```

Der Dienst sollte als active (running) angezeigt werden.

Zusätzliche Installationsressourcen

Weitere Installationsoptionen und Informationen zur Fehlerbehebung finden Sie in der Installationsanleitung für den Bindplane-Agenten.

Bindplane-Agent für die Aufnahme von Syslog und das Senden an Google SecOps konfigurieren

Konfigurationsdatei suchen

Linux:

sudo nano /opt/observiq-otel-collector/config.yaml

Windows:

notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"

Konfigurationsdatei bearbeiten

Ersetzen Sie den gesamten Inhalt von config.yaml durch die folgende Konfiguration:

receivers:
  udplog:
    listen_address: "0.0.0.0:514"

exporters:
  chronicle/chronicle_w_labels:
    protocol: https
    # Region of your instance, for example us, europe, asia-southeast1
    location: <LOCATION>
    # Project number of the Google Cloud project linked to the instance
    project: '<PROJECT_NUMBER>'
    compression: gzip
    creds_file_path: '/path/to/ingestion-authentication-file.json'
    customer_id: 'YOUR_CUSTOMER_ID'
    endpoint: chronicle.googleapis.com
    log_type: 'SOPHOS_UTM'
    raw_log_field: body
    ingestion_labels:

service:
  pipelines:
    logs/source0__chronicle_w_labels-0:
      receivers:
        - udplog
      exporters:
        - chronicle/chronicle_w_labels

Konfigurationsparameter

Ersetzen Sie die folgenden Platzhalter:

Empfängerkonfiguration:
- udplog: Verwenden Sie udplog für UDP-Syslog oder tcplog für TCP-Syslog.
- 0.0.0.0: IP-Adresse, auf der gelauscht werden soll (0.0.0.0, um auf allen Schnittstellen zu lauschen)
- 514: Portnummer, auf der gelauscht werden soll (Standard-Syslog-Port)
Exporter-Konfiguration:
- creds_file_path: Vollständiger Pfad zur JSON-Schlüsseldatei des Dienstkontos (Option 1):
  - Linux: /opt/observiq-otel-collector/ingestion-auth.json
  - Windows: C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
- YOUR_CUSTOMER_ID: Kundennummer aus dem Abschnitt „Kundennummer abrufen“
- location: Ersetzen Sie <LOCATION> durch die Region Ihrer Google SecOps-Instanz (z. B. us, europe oder asia-southeast1). Der Exporter stellt diesem Wert chronicle.googleapis.com voran. Eine vollständige Liste finden Sie unter Regionale Endpunkte.
- project: Ersetzen Sie <PROJECT_NUMBER> durch die Projektnummer aus IAM & Verwaltung > Einstellungen.
- endpoint: Behalten Sie die Einstellung chronicle.googleapis.com bei.
- log_type: Logtyp genau so, wie er in Chronicle angezeigt wird (SOPHOS_UTM)

Legacy-Ingestion-API-Exporter

Wenn Sie die Authentifizierungsdatei für die Datenaufnahme aus Option 2 verwenden, ersetzen Sie den Block exporters durch Folgendes. Legen Sie für creds_file_path den Pfad zur Authentifizierungsdatei für die Datenaufnahme fest. Wenn sich Ihre Instanz außerhalb der USA befindet, ersetzen Sie malachiteingestion-pa.googleapis.com durch Ihren regionalen Endpunkt (z. B. europe-malachiteingestion-pa.googleapis.com).
```
exporters:
  chronicle/chronicle_w_labels:
    compression: gzip
    creds_file_path: '/path/to/ingestion-authentication-file.json'
    customer_id: 'YOUR_CUSTOMER_ID'
    endpoint: malachiteingestion-pa.googleapis.com
    log_type: 'SOPHOS_UTM'
    raw_log_field: body
    ingestion_labels:
```

Konfigurationsdatei speichern

Speichern Sie die Datei nach der Bearbeitung:
- Linux: Drücken Sie Ctrl+O, dann Enter und dann Ctrl+X.
- Windows: Klicken Sie auf Datei > Speichern.

Starten Sie den Bindplane-Agent neu, um die Änderungen zu übernehmen.

So starten Sie den Bindplane-Agenten unter Linux neu:

Führen Sie dazu diesen Befehl aus:

sudo systemctl restart observiq-otel-collector

Prüfen Sie, ob der Dienst ausgeführt wird:

sudo systemctl status observiq-otel-collector

Prüfen Sie die Logs auf Fehler:

sudo journalctl -u observiq-otel-collector -f

So starten Sie den Bindplane-Agenten unter Windows neu:

Wählen Sie eine der folgenden Optionen aus:
- Eingabeaufforderung oder PowerShell als Administrator:
```
net stop observiq-otel-collector && net start observiq-otel-collector
```
- Dienstkonsole:
  1. Drücken Sie Win+R, geben Sie services.msc ein und drücken Sie die Eingabetaste.
  2. Suchen Sie nach observIQ OpenTelemetry Collector.
  3. Rechtsklicken Sie und wählen Sie Neu starten aus.
Prüfen Sie, ob der Dienst ausgeführt wird:
```
sc query observiq-otel-collector
```

Prüfen Sie die Logs auf Fehler:

type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"

Syslog-Weiterleitung auf Sophos UTM konfigurieren

Melden Sie sich in der WebAdmin-Oberfläche von Sophos UTM an.
Gehen Sie zu Logging & Reporting > Log Settings > Remote Syslog Server.
Klicken Sie auf den Schalter, um Remote-Syslog zu aktivieren.
Geben Sie die folgenden Konfigurationsdetails an:
- Remote-Syslog-Server: Geben Sie die IP-Adresse des Bindplane-Agent-Hosts ein.
- Port: Geben Sie 514 ein.
Wählen Sie im Abschnitt Remote Syslog Log Selection die Logtypen aus, die weitergeleitet werden sollen:
- Paketfilter: Firewall-Paketfilterlogs
- Webfilter: Webfilteraktivität
- IPS: Intrusion Prevention System-Ereignisse
- Authentifizierung: Nutzerauthentifizierungsereignisse
- E-Mail: Ereignisse im Zusammenhang mit E-Mail-Filtern und ‑Quarantäne
- Netzwerkschutz: Protokolle zum erweiterten Bedrohungsschutz
- WebServer Protection: WAF-Logs
- VPN: VPN-Verbindungsereignisse
- HA/Cluster: Hochverfügbarkeits- und Clusterereignisse
- System: Ereignisse auf Systemebene
- DHCP: DHCP-Server-Logs
- DNS: DNS-Abfragelogs
Klicken Sie auf Übernehmen, um die Konfiguration zu speichern.
Prüfen Sie, ob Syslog-Nachrichten gesendet werden, indem Sie die Bindplane-Agent-Logs prüfen.

UDM-Zuordnungstabelle

Logfeld	UDM-Zuordnung	Logik
Aktion	security_result.action	Wenn die Aktion „pass“ oder „accept“ ist, wird sie „ALLOW“ zugeordnet. Wenn die Aktion „drop“ ist, wird sie „BLOCK“ zugeordnet.
ad_domain	target.administrative_domain	Direkte Zuordnung.
Adresse	target.ip, target.asset.ip	Direkte Zuordnung, wird verwendet, wenn die ID „2203“ ist.
App	target.application	Direkte Zuordnung.
app-id	additional.fields[].key, additional.fields[].value.string_value	In „app_id“ umbenannt. Wenn der Wert nicht leer ist, wird der Schlüssel auf „app-id“ gesetzt und der Wert ist die App-ID selbst.
Anwendung	principal.application	Direkte Zuordnung.
aptptime	additional.fields[].key, additional.fields[].value.string_value	Wenn der Schlüssel nicht leer ist, wird er auf „aptptime“ gesetzt und der Wert ist die „aptptime“ selbst.
auth	extensions.auth.auth_details	Direkte Zuordnung.
authtime	additional.fields[].key, additional.fields[].value.string_value	Wenn der Wert nicht leer und nicht „0“ ist, wird der Schlüssel auf „authtime“ gesetzt und der Wert ist die Authentifizierungszeit selbst.
avscantime	additional.fields[].key, additional.fields[].value.string_value	Wenn der Wert nicht leer und nicht „0“ ist, wird der Schlüssel auf „avscantime“ gesetzt und der Wert ist die avscantime selbst.
Kategorie	security_result.detection_fields[].key, security_result.detection_fields[].value	Wenn der Wert nicht leer ist, wird der Schlüssel auf „category“ gesetzt und der Wert ist die Kategorie selbst. Wenn der Name „portscan“ enthält, wird „security_result.category“ auf „NETWORK_RECON“ gesetzt und ein Erkennungsfeld mit dem Schlüssel „category“ und dem Wert „NETWORK_RECON“ hinzugefügt.
categoryname	security_result.category_details	Direkte Zuordnung.
Verbindung	security_result.rule_name	Direkte Zuordnung, wird verwendet, wenn die ID „2203“ ist.
Content-Type-Daten	(Siehe andere Felder)	Das Datenfeld enthält Schlüssel/Wert-Paare, die in einzelne Felder geparst werden.
Datum/Uhrzeit	metadata.event_timestamp	Geparst und zugeordnet als Sekunden seit der UNIX-Epoche.
Gerät	additional.fields[].key, additional.fields[].value.string_value	Wenn das Feld nicht leer ist und nicht „0“ enthält, wird der Schlüssel auf „device“ gesetzt und der Wert ist das Gerät selbst.
dnstime	additional.fields[].key, additional.fields[].value.string_value	Wenn der Wert nicht leer und nicht „0“ ist, wird der Schlüssel auf „dnstime“ gesetzt und der Wert ist die DNS-Zeit selbst.
dstip	target.ip, target.asset.ip	Direkte Zuordnung. Wird auch aus dem Feld „url“ extrahiert, falls vorhanden.
dstmac	target.mac	Direkte Zuordnung.
dstport	target.port	Direkte Zuordnung, in Ganzzahl konvertiert.
Ereignis vom Typ „Fehler“	security_result.summary	Direkte Zuordnung, wird verwendet, wenn die ID „2201“, „2202“ oder „2203“ ist.
exceptions	additional.fields[].key, additional.fields[].value.string_value	Wenn das Feld nicht leer ist, wird der Schlüssel auf „exceptions“ gesetzt und der Wert ist die Ausnahme selbst.
Datei	about.file.full_path	Direkte Zuordnung.
filteraction	security_result.rule_name	Direkte Zuordnung.
fullreqtime	additional.fields[].key, additional.fields[].value.string_value	Wenn der Wert nicht leer ist, wird der Schlüssel auf „fullreqtime“ gesetzt und der Wert ist die „fullreqtime“ selbst.
fwrule	security_result.rule_id	Direkte Zuordnung.
Gruppe	target.group.group_display_name	Direkte Zuordnung.
id	metadata.product_log_id	Direkte Zuordnung.
Info	security_result.description	Direkte Zuordnung. Falls vorhanden, wird „metadata.event_type“ auf „NETWORK_UNCATEGORIZED“ gesetzt.
initf-Schnittstelle	security_result.about.labels[].key, security_result.about.labels[].value	Wenn das Feld nicht leer ist, wird security_result.about.labels ein Label mit dem Schlüssel „Interface“ und dem Wert „interface“ hinzugefügt.
ip_address	target.ip, target.asset.ip	Direkte Zuordnung.
Nachricht zur Länge der Zeile	security_result.summary	Wird verwendet, wenn die ID „0003“ ist. Wird auch für das allgemeine Grok-Parsing verwendet.
method	network.http.method	Direkte Zuordnung.
Name	security_result.summary	Direkte Zuordnung.
outitf pid	target.process.pid	Direkte Zuordnung.
Port	target.port	Direkte Zuordnung, in Ganzzahl konvertiert.
prec-Profil	security_result.rule_name	Direkte Zuordnung.
Proto	network.ip_protocol	Wird mithilfe einer Suchtabelle in den Namen des IP-Protokolls umgewandelt.
reason referer	network.http.referral_url	Direkte Zuordnung.
Anfrage	additional.fields[].key, additional.fields[].value.string_value	Wenn der Schlüssel nicht leer ist, wird er auf „request“ gesetzt und der Wert ist die Anfrage selbst.
Bewertung	additional.fields[].key, additional.fields[].value.string_value	Wenn nicht leer, wird der Schlüssel auf „reputation“ gesetzt und der Wert ist die Bewertung selbst.
rx	network.received_bytes	Direkte Zuordnung, die verwendet wird, wenn die ID „2202“ ist, konvertiert in eine vorzeichenlose Ganzzahl.
Sandbox-Schweregrad	security_result.severity	Wenn der Schweregrad „info“ ist, wird er „LOW“ zugeordnet.
Größe	target.file.size	Direkte Zuordnung, konvertiert in eine vorzeichenlose Ganzzahl.
srcip	principal.ip, principal.asset.ip	Direkte Zuordnung.
srcmac	principal.mac	Direkte Zuordnung.
srcport	principal.port	Direkte Zuordnung, in Ganzzahl konvertiert.
statuscode	network.http.response_code	Direkte Zuordnung, in Ganzzahl konvertiert.
sub	network.application_protocol	Wenn „sub“ „http“ ist, wird „metadata.event_type“ auf „NETWORK_HTTP“ und „network.application_protocol“ auf „HTTP“ gesetzt. Wenn „sub“ „packetfilter“ ist, wird „metadata.description“ auf „sub“ gesetzt. Andernfalls wird er mithilfe einer Suchtabelle in den Namen des Anwendungsprotokolls konvertiert. Wenn in der Suchtabelle keine Übereinstimmung gefunden wird, wird der „dstport“ für die Suche verwendet.
sys	metadata.product_event_type	Direkte Zuordnung.
tcpflags tos ttl tx	network.sent_bytes	Direkte Zuordnung, die verwendet wird, wenn die ID „2202“ ist, konvertiert in eine vorzeichenlose Ganzzahl.
ua	network.http.user_agent	Direkte Zuordnung.
URL	network.http.referral_url, target.hostname, target.asset.hostname	Direkte Zuordnung für network.http.referral_url. Extrahierter Hostname für target.hostname und target.asset.hostname. Wird auch zum Extrahieren von dstip verwendet.
Nutzer	target.user.userid	Direkte Zuordnung.
Nutzername	target.user.userid	Direkte Zuordnung, verwendet, wenn die ID „2201“ oder „2202“ ist.
Variante	Nicht im endgültigen UDM enthalten, aber in der Beschreibung verwendet	Wird in Verbindung mit „sub“ verwendet, um „security_result.description“ zu erstellen, wenn die ID „2201“, „2202“ oder „2203“ ist.
virtual_ip	target.ip, target.asset.ip	Direkte Zuordnung, verwendet, wenn die ID „2201“ oder „2202“ ist.
metadata.event_type	metadata.event_type	Initialisiert auf „GENERIC_EVENT“. Wird basierend auf dem Loginhalten und der Parserlogik auf bestimmte Werte festgelegt.
metadata.log_type	metadata.log_type	Hartcodiert auf „SOPHOS_UTM“.
metadata.product_name	metadata.product_name	Hartcodiert auf „SOPHOS UTM“.
metadata.vendor_name	metadata.vendor_name	Fest codiert auf „SOPHOS Ltd“.
intermediary.hostname	intermediary.hostname	Mit Grok aus dem Logeintrag extrahiert und umbenannt.
`content-type`	`event.idm.read_only_udm.additional.fields`	Aus Änderungsprotokoll zugeordnet
`reason`	`event.idm.read_only_udm.additional.fields`	Aus Änderungsprotokoll zugeordnet
`referer`	`event.idm.read_only_udm.additional.fields`	Aus Änderungsprotokoll zugeordnet
`subject`	`network.email.subject`	Aus Änderungsprotokoll zugeordnet
`from`	`network.email.from`	Aus Änderungsprotokoll zugeordnet
`to`	`network.email.to`	Aus Änderungsprotokoll zugeordnet
`virus`	`security_result.detection_fields`	Aus Änderungsprotokoll zugeordnet
`filename`	`target.file.names`	Aus Änderungsprotokoll zugeordnet
`severity`	`security_result.severity_details`	Aus Änderungsprotokoll zugeordnet
`inter_host`	`intermediary.hostname`	Aus Änderungsprotokoll zugeordnet

Änderungsprotokoll

Änderungsprotokoll für diesen Parser ansehen

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten