Google verwendet KI-Technologie, um Inhalte in Ihre bevorzugte Sprache zu übersetzen. KI-Übersetzungen können Fehler enthalten.

Sophos UTM-Logs erfassen

Unterstützt in:

Google SecOps SIEM

In diesem Dokument wird beschrieben, wie Sie Sophos UTM-Logs mit Bindplane in Google Security Operations aufnehmen.

Sophos UTM (Unified Threat Management) ist eine All-in-One-Netzwerksicherheitsappliance, die Firewall-, VPN-, Einbruchspräventions-, Webfilter-, E‑Mail-Filter- und Antivirenfunktionen bietet. Es bietet eine zentrale Sicherheitsverwaltung für Unternehmensnetzwerke über eine einzige webbasierte Verwaltungskonsole. Der Parser extrahiert Felder aus Sophos UTM-Logs im KV-Format. Dabei werden grok und/oder kv verwendet, um den Logeintrag zu parsen. Anschließend werden diese Werte dem Unified Data Model (UDM) zugeordnet. Außerdem werden Standardmetadatenwerte für die Ereignisquelle und den Ereignistyp festgelegt.

Hinweis

Prüfen Sie, ob folgende Voraussetzungen erfüllt sind:

Eine Google SecOps-Instanz
Windows Server 2016 oder höher oder Linux-Host mit systemd
Wenn Sie den Agent hinter einem Proxy ausführen, müssen die Firewallports gemäß den Anforderungen des Bindplane-Agents geöffnet sein.
Privilegierter Zugriff auf die Sophos UTM WebAdmin-Schnittstelle

Google SecOps-Anmeldedaten für den Bindplane-Agenten abrufen

Wählen Sie eine der folgenden Methoden aus, um den Bindplane-Agent bei Google SecOps zu authentifizieren:

Neue Bereitstellungen: Verwenden Sie die Chronicle API (Option 1).
Alte Bereitstellungen: Verwenden Sie die Datei für die Authentifizierung bei der Aufnahme (Option 2) weiterhin, bis die Ingestion API am 20. Juli 2027 eingestellt wird.

Option 1: Dienstkonto für die Chronicle API erstellen (empfohlen)

Melden Sie sich in der Google Cloud Console an und wählen Sie das Google Cloud -Projekt aus, das mit Ihrer Google SecOps-Instanz verknüpft ist.
Rufen Sie IAM und Verwaltung > Dienstkonten auf.
Klicken Sie auf Dienstkonto erstellen.
Geben Sie die folgenden Konfigurationsdetails an:
- Name des Dienstkontos: Geben Sie einen Namen für das Konto ein, z. B. bindplane-ingest.
- Dienstkontobeschreibung: Geben Sie eine Beschreibung ein, z. B. Bindplane agent log ingestion.
Klicken Sie auf Erstellen und fortfahren.
Klicken Sie im Abschnitt Diesem Dienstkonto Zugriff auf das Projekt erteilen auf Rolle auswählen und wählen Sie Chronicle-Bearbeiter aus.
Klicken Sie auf Weiter und dann auf Fertig.
Klicken Sie auf das erstellte Dienstkonto und rufen Sie dann den Tab Schlüssel auf.
Klicken Sie auf Schlüssel hinzufügen > Neuen Schlüssel erstellen.
Wählen Sie JSON aus und klicken Sie auf Erstellen. Die Schlüsseldatei wird auf Ihren Computer heruntergeladen.
Speichern Sie die Schlüsseldatei als ingestion-auth.json im Bindplane-Collector-Verzeichnis (/opt/observiq-otel-collector/ingestion-auth.json unter Linux oder C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json unter Windows) oder aktualisieren Sie creds_file_path in config.yaml, damit der Pfad mit dem Pfad übereinstimmt, in dem Sie die Datei speichern.
Rufen Sie IAM & Verwaltung > Einstellungen auf und kopieren Sie die Projektnummer. Sie benötigen sie für die Exporter-Konfiguration.

Option 2: Authentifizierungsdatei für die Datenaufnahme herunterladen (Legacy)

Melden Sie sich in der Google SecOps-Konsole an.
Rufen Sie die SIEM-Einstellungen > Erfassungs-Agents auf.
Laden Sie die Authentifizierungsdatei für die Datenaufnahme herunter.
Speichern Sie die Datei sicher auf dem System, auf dem der Bindplane-Agent installiert werden soll.

Google SecOps-Kundennummer abrufen

Melden Sie sich in der Google SecOps-Konsole an.
Rufen Sie die SIEM-Einstellungen > Profil auf.
Kopieren und speichern Sie die Kundennummer aus dem Bereich Organisationsdetails.

BindPlane-Agent installieren

Installieren Sie den Bindplane-Agent auf Ihrem Windows- oder Linux-Betriebssystem gemäß der folgenden Anleitung.

Windows-Installation

Öffnen Sie die Eingabeaufforderung oder PowerShell als Administrator.

Führen Sie dazu diesen Befehl aus:

msiexec /i "[https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi](https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi)" /quiet

Warte, bis die Installation abgeschlossen ist.
Überprüfen Sie die Installation mit folgendem Befehl:
```
sc query observiq-otel-collector
```

Der Dienst sollte als RUNNING angezeigt werden.

Linux-Installation

Öffnen Sie ein Terminal mit Root- oder Sudo-Berechtigungen.

Führen Sie dazu diesen Befehl aus:

sudo sh -c "$(curl -fsSlL [https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh](https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh))" install_unix.sh

Warte, bis die Installation abgeschlossen ist.
Überprüfen Sie die Installation mit folgendem Befehl:
```
sudo systemctl status observiq-otel-collector
```

Der Dienst sollte als aktiv (wird ausgeführt) angezeigt werden.

Zusätzliche Installationsressourcen

Weitere Installationsoptionen und Informationen zur Fehlerbehebung finden Sie im Installationsanleitung für den Bindplane-Agenten.

Bindplane-Agent zum Erfassen von Syslog-Daten und Senden an Google SecOps konfigurieren

Konfigurationsdatei suchen

Linux:

sudo nano /opt/observiq-otel-collector/config.yaml

Windows:

notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"

Konfigurationsdatei bearbeiten

Ersetzen Sie den gesamten Inhalt von config.yaml durch die folgende Konfiguration:

receivers:
  udplog:
    listen_address: "0.0.0.0:514"

exporters:
  chronicle/chronicle_w_labels:
    protocol: https
    # Region of your instance, for example us, europe, asia-southeast1
    location: <LOCATION>
    # Project number of the Google Cloud project linked to the instance
    project: '<PROJECT_NUMBER>'
    compression: gzip
    creds_file_path: '/path/to/ingestion-authentication-file.json'
    customer_id: 'YOUR_CUSTOMER_ID'
    endpoint: chronicle.googleapis.com
    log_type: 'SOPHOS_UTM'
    raw_log_field: body
    ingestion_labels:

service:
  pipelines:
    logs/source0__chronicle_w_labels-0:
      receivers:
        - udplog
      exporters:
        - chronicle/chronicle_w_labels

Konfigurationsparameter

Ersetzen Sie die folgenden Platzhalter:

Empfängerkonfiguration:
- udplog: Verwenden Sie udplog für UDP-Syslog oder tcplog für TCP-Syslog.
- 0.0.0.0: IP-Adresse, auf der gelauscht werden soll (0.0.0.0, um auf allen Schnittstellen zu lauschen)
- 514: Portnummer, auf der gelauscht werden soll (Standard-Syslog-Port)
Exporter-Konfiguration:
- creds_file_path: Vollständiger Pfad zur JSON-Schlüsseldatei des Dienstkontos (Option 1):
  - Linux: /opt/observiq-otel-collector/ingestion-auth.json
  - Windows: C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
- YOUR_CUSTOMER_ID: Kundennummer aus dem Abschnitt „Kundennummer abrufen“
- location: Ersetzen Sie <LOCATION> durch die Region Ihrer Google SecOps-Instanz (z. B. us, europe oder asia-southeast1). Der Exporter stellt diesem Wert chronicle.googleapis.com voran. Eine vollständige Liste finden Sie unter Regionale Endpunkte.
- project: Ersetzen Sie <PROJECT_NUMBER> durch die Projektnummer unter IAM & Verwaltung > Einstellungen.
- endpoint: Behalten Sie die Einstellung chronicle.googleapis.com bei.
- log_type: Logtyp genau so, wie er in Chronicle angezeigt wird (SOPHOS_UTM)

Legacy-Ingestion-API-Exporter

Wenn Sie die Authentifizierungsdatei für die Datenaufnahme aus Option 2 verwenden, ersetzen Sie den Block exporters durch Folgendes. Legen Sie für creds_file_path den Pfad zur Authentifizierungsdatei für die Datenaufnahme fest. Wenn sich Ihre Instanz außerhalb der USA befindet, ersetzen Sie malachiteingestion-pa.googleapis.com durch Ihren regionalen Endpunkt (z. B. europe-malachiteingestion-pa.googleapis.com).
```
exporters:
  chronicle/chronicle_w_labels:
    compression: gzip
    creds_file_path: '/path/to/ingestion-authentication-file.json'
    customer_id: 'YOUR_CUSTOMER_ID'
    endpoint: malachiteingestion-pa.googleapis.com
    log_type: 'SOPHOS_UTM'
    raw_log_field: body
    ingestion_labels:
```

Konfigurationsdatei speichern

Speichern Sie die Datei nach der Bearbeitung:
- Linux: Drücken Sie Ctrl+O, dann Enter und dann Ctrl+X.
- Windows: Klicken Sie auf Datei > Speichern.

Starten Sie den Bindplane-Agent neu, um die Änderungen zu übernehmen.

So starten Sie den Bindplane-Agent unter Linux neu:

Führen Sie dazu diesen Befehl aus:

sudo systemctl restart observiq-otel-collector

Prüfen Sie, ob der Dienst ausgeführt wird:

sudo systemctl status observiq-otel-collector

Prüfen Sie die Logs auf Fehler:

sudo journalctl -u observiq-otel-collector -f

So starten Sie den Bindplane-Agent unter Windows neu:

Wählen Sie eine der folgenden Optionen aus:
- Eingabeaufforderung oder PowerShell als Administrator:
```
net stop observiq-otel-collector && net start observiq-otel-collector
```
- Dienstkonsole:
  1. Drücken Sie Win+R, geben Sie services.msc ein und drücken Sie die Eingabetaste.
  2. Suchen Sie nach observIQ OpenTelemetry Collector.
  3. Klicken Sie mit der rechten Maustaste und wählen Sie Neu starten aus.
Prüfen Sie, ob der Dienst ausgeführt wird:
```
sc query observiq-otel-collector
```

Logs auf Fehler prüfen:

type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"

Syslog-Weiterleitung auf Sophos UTM konfigurieren

Melden Sie sich in der WebAdmin-Oberfläche von Sophos UTM an.
Gehen Sie zu Logging & Reporting > Log Settings > Remote Syslog Server.
Klicken Sie auf den Schalter, um Remote-Syslog zu aktivieren.
Geben Sie die folgenden Konfigurationsdetails an:
- Remote-Syslog-Server: Geben Sie die IP-Adresse des Bindplane-Agent-Hosts ein.
- Port: Geben Sie 514 ein.
Wählen Sie im Abschnitt Remote Syslog Log Selection die Logtypen aus, die weitergeleitet werden sollen:
- Paketfilter: Firewall-Paketfilterlogs
- Webfilter: Webfilteraktivität
- IPS: Ereignisse des Intrusion Prevention-Systems
- Authentifizierung: Ereignisse zur Nutzerauthentifizierung
- E-Mail: Ereignisse zum Filtern und zur Quarantäne von E-Mails
- Netzwerkschutz: Protokolle zum erweiterten Bedrohungsschutz
- WebServer Protection: WAF-Logs
- VPN: Ereignisse für VPN-Verbindungen
- HA/Cluster: Ereignisse zu Hochverfügbarkeit und Clustern
- System: Ereignisse auf Systemebene
- DHCP: DHCP-Server-Logs
- DNS: DNS-Abfragelogs
Klicken Sie auf Übernehmen, um die Konfiguration zu speichern.
Prüfen Sie in den Bindplane-Agent-Logs, ob Syslog-Nachrichten gesendet werden.

UDM-Zuordnungstabelle

Logfeld	UDM-Zuordnung	Logik
Aktion	security_result.action	Wenn die Aktion „pass“ oder „accept“ ist, wird sie „ALLOW“ zugeordnet. Wenn die Aktion „drop“ ist, wird sie „BLOCK“ zugeordnet.
ad_domain	target.administrative_domain	Direkte Zuordnung.
Adresse	target.ip, target.asset.ip	Direkte Zuordnung, wird verwendet, wenn die ID „2203“ ist.
App	target.application	Direkte Zuordnung.
app-id	additional.fields[].key, additional.fields[].value.string_value	In „app_id“ umbenannt. Wenn der Wert nicht leer ist, wird der Schlüssel auf „app-id“ gesetzt und der Wert ist die App-ID selbst.
Anwendung	principal.application	Direkte Zuordnung.
aptptime	additional.fields[].key, additional.fields[].value.string_value	Wenn sie nicht leer ist, wird der Schlüssel auf „aptptime“ und der Wert auf die aptptime selbst gesetzt.
auth	extensions.auth.auth_details	Direkte Zuordnung.
authtime	additional.fields[].key, additional.fields[].value.string_value	Wenn der Wert nicht leer und nicht „0“ ist, wird der Schlüssel auf „authtime“ gesetzt und der Wert ist die Authtime selbst.
avscantime	additional.fields[].key, additional.fields[].value.string_value	Wenn der Wert nicht leer und nicht „0“ ist, wird der Schlüssel auf „avscantime“ gesetzt und der Wert ist die avscantime selbst.
Kategorie	security_result.detection_fields[].key, security_result.detection_fields[].value	Wenn der Wert nicht leer ist, wird der Schlüssel auf „category“ gesetzt und der Wert ist die Kategorie selbst. Wenn der Name „portscan“ enthält, wird „security_result.category“ auf „NETWORK_RECON“ gesetzt und ein Erkennungsfeld mit dem Schlüssel „category“ und dem Wert „NETWORK_RECON“ hinzugefügt.
categoryname	security_result.category_details	Direkte Zuordnung.
Verbindung	security_result.rule_name	Direkte Zuordnung, wird verwendet, wenn die ID „2203“ ist.
content-type-Daten	(Siehe andere Felder)	Das Datenfeld enthält Schlüssel/Wert-Paare, die in einzelne Felder geparst werden.
Datum/Uhrzeit	metadata.event_timestamp	Geparst und als Sekunden seit der UNIX-Epoche zugeordnet.
Gerät	additional.fields[].key, additional.fields[].value.string_value	Wenn der Wert nicht leer und nicht „0“ ist, wird der Schlüssel auf „device“ gesetzt und der Wert ist das Gerät selbst.
dnstime	additional.fields[].key, additional.fields[].value.string_value	Wenn der Wert nicht leer und nicht „0“ ist, wird der Schlüssel auf „dnstime“ gesetzt und der Wert ist der dnstime-Wert selbst.
dstip	target.ip, target.asset.ip	Direkte Zuordnung. Wird auch aus dem Feld „url“ extrahiert, falls vorhanden.
dstmac	target.mac	Direkte Zuordnung.
dstport	target.port	Direkte Zuordnung, in Ganzzahl konvertiert.
Fehlerereignis	security_result.summary	Direkte Zuordnung, verwendet, wenn die ID „2201“, „2202“ oder „2203“ ist.
exceptions	additional.fields[].key, additional.fields[].value.string_value	Wenn das Feld nicht leer ist, wird der Schlüssel auf „exceptions“ gesetzt und der Wert ist die Ausnahme selbst.
Datei	about.file.full_path	Direkte Zuordnung.
filteraction	security_result.rule_name	Direkte Zuordnung.
fullreqtime	additional.fields[].key, additional.fields[].value.string_value	Wenn der Wert nicht leer ist, wird der Schlüssel auf „fullreqtime“ gesetzt und der Wert ist die „fullreqtime“ selbst.
fwrule	security_result.rule_id	Direkte Zuordnung.
Gruppe	target.group.group_display_name	Direkte Zuordnung.
id	metadata.product_log_id	Direkte Zuordnung.
Info	security_result.description	Direkte Zuordnung. Falls vorhanden, wird „metadata.event_type“ auf „NETWORK_UNCATEGORIZED“ gesetzt.
initf-Schnittstelle	security_result.about.labels[].key, security_result.about.labels[].value	Wenn nicht leer, wird dem security_result.about.labels ein Label mit dem Schlüssel „Interface“ und dem Wert „interface“ hinzugefügt.
ip_address	target.ip, target.asset.ip	Direkte Zuordnung.
Längenzeile	security_result.summary	Wird verwendet, wenn die ID „0003“ ist. Wird auch für das allgemeine Grok-Parsing verwendet.
method	network.http.method	Direkte Zuordnung.
Name	security_result.summary	Direkte Zuordnung.
outitf pid	target.process.pid	Direkte Zuordnung.
Port	target.port	Direkte Zuordnung, in Ganzzahl konvertiert.
prec-Profil	security_result.rule_name	Direkte Zuordnung.
Proto	network.ip_protocol	Wird mithilfe einer Suchtabelle in den Namen des IP-Protokolls umgewandelt.
Grund für Verweis	network.http.referral_url	Direkte Zuordnung.
Anfrage	additional.fields[].key, additional.fields[].value.string_value	Wenn die Anfrage nicht leer ist, wird der Schlüssel auf „request“ gesetzt und der Wert ist die Anfrage selbst.
Ruf	additional.fields[].key, additional.fields[].value.string_value	Wenn der Wert nicht leer ist, wird der Schlüssel auf „reputation“ und der Wert auf die Reputation selbst festgelegt.
rx	network.received_bytes	Direkte Zuordnung, die verwendet wird, wenn die ID „2202“ ist, konvertiert in eine vorzeichenlose Ganzzahl.
Sandbox-Schweregrad	security_result.severity	Wenn der Schweregrad „info“ ist, wird er „LOW“ zugeordnet.
Größe	target.file.size	Direkte Zuordnung, konvertiert in eine vorzeichenlose Ganzzahl.
srcip	principal.ip, principal.asset.ip	Direkte Zuordnung.
srcmac	principal.mac	Direkte Zuordnung.
srcport	principal.port	Direkte Zuordnung, in Ganzzahl konvertiert.
statuscode	network.http.response_code	Direkte Zuordnung, in Ganzzahl konvertiert.
sub	network.application_protocol	Wenn „sub“ „http“ ist, wird „metadata.event_type“ auf „NETWORK_HTTP“ und „network.application_protocol“ auf „HTTP“ gesetzt. Wenn „sub“ auf „packetfilter“ festgelegt ist, wird „metadata.description“ auf „sub“ festgelegt. Andernfalls wird der Name des Anwendungsprotokolls mithilfe einer Suchtabelle konvertiert. Wenn in der Suchtabelle keine Übereinstimmung gefunden wird, wird der dstport für die Suche verwendet.
sys	metadata.product_event_type	Direkte Zuordnung.
tcpflags tos ttl tx	network.sent_bytes	Direkte Zuordnung, die verwendet wird, wenn die ID „2202“ ist, in eine vorzeichenlose Ganzzahl konvertiert.
ua	network.http.user_agent	Direkte Zuordnung.
URL	network.http.referral_url, target.hostname, target.asset.hostname	Direkte Zuordnung für network.http.referral_url. Extrahierter Hostname für target.hostname und target.asset.hostname. Wird auch zum Extrahieren von „dstip“ verwendet.
Nutzer	target.user.userid	Direkte Zuordnung.
Nutzername	target.user.userid	Direkte Zuordnung, verwendet, wenn die ID „2201“ oder „2202“ ist.
Variante	Nicht im endgültigen UDM enthalten, aber in der Beschreibung verwendet	Wird in Verbindung mit „sub“ verwendet, um „security_result.description“ zu erstellen, wenn „id“ „2201“, „2202“ oder „2203“ ist.
virtual_ip	target.ip, target.asset.ip	Direkte Zuordnung, verwendet, wenn die ID „2201“ oder „2202“ ist.
metadata.event_type	metadata.event_type	Initialisiert auf „GENERIC_EVENT“. Wird basierend auf dem Inhalt des Logs und der Parserlogik auf bestimmte Werte festgelegt.
metadata.log_type	metadata.log_type	Hartcodiert auf „SOPHOS_UTM“.
metadata.product_name	metadata.product_name	Festgelegt auf „SOPHOS UTM“.
metadata.vendor_name	metadata.vendor_name	Fest codiert auf „SOPHOS Ltd“.
intermediary.hostname	intermediary.hostname	Mit Grok aus dem Logeintrag extrahiert und umbenannt.
`content-type`	`event.idm.read_only_udm.additional.fields`	Aus Änderungsprotokoll zugeordnet
`reason`	`event.idm.read_only_udm.additional.fields`	Aus Änderungsprotokoll zugeordnet
`referer`	`event.idm.read_only_udm.additional.fields`	Aus Änderungsprotokoll zugeordnet
`subject`	`network.email.subject`	Aus Änderungsprotokoll zugeordnet
`from`	`network.email.from`	Aus Änderungsprotokoll zugeordnet
`to`	`network.email.to`	Aus Änderungsprotokoll zugeordnet
`virus`	`security_result.detection_fields`	Aus Änderungsprotokoll zugeordnet
`filename`	`target.file.names`	Aus Änderungsprotokoll zugeordnet
`severity`	`security_result.severity_details`	Aus Änderungsprotokoll zugeordnet
`inter_host`	`intermediary.hostname`	Aus Änderungsprotokoll zugeordnet

Änderungsprotokoll

Änderungsprotokoll für diesen Parser ansehen

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten