WatchGuard Firebox 로그 수집

다음에서 지원:

이 문서에서는 Bindplane을 사용하여 WatchGuard Firebox 로그를 Google Security Operations로 수집하는 방법을 설명합니다. WatchGuard Firebox는 상태 저장 패킷 검사, 침입 방지, 애플리케이션 제어, URL 필터링, 게이트웨이 바이러스 백신, VPN 연결을 비롯한 네트워크 보안 기능을 제공하는 통합 위협 관리 (UTM) 방화벽 어플라이언스입니다. Firebox 로그는 트래픽 이벤트, 보안 알림, 인증 활동, 시스템 상태 정보를 캡처합니다.

시작하기 전에

다음 기본 요건이 충족되었는지 확인합니다.

  • Google SecOps 인스턴스입니다.
  • systemd가 있는 Windows 2016 이상 또는 Linux 호스트
  • 프록시 뒤에서 실행하는 경우 Bindplane 에이전트 요구사항에 따라 방화벽 포트가 열려 있는지 확인합니다.
  • WatchGuard Firebox 웹 UI (Fireware 웹 UI) 또는 WatchGuard System Manager에 대한 권한이 있는 액세스

Google SecOps 수집 인증 파일 가져오기

  1. Google SecOps 콘솔에 로그인합니다.
  2. SIEM 설정 > 수집 에이전트로 이동합니다.

  3. 데이터 수집 인증 파일을 다운로드합니다.

    • Bindplane이 설치될 시스템에 파일을 안전하게 저장합니다.

Google SecOps 고객 ID 가져오기

  1. Google SecOps 콘솔에 로그인합니다.
  2. SIEM 설정 > 프로필로 이동합니다.
  3. 조직 세부정보 섹션에서 고객 ID를 복사하여 저장합니다.

Bindplane 에이전트 설치

다음 안내에 따라 Windows 또는 Linux 운영체제에 Bindplane 에이전트를 설치합니다.

Windows 설치

  1. 명령 프롬프트 또는 PowerShell을 관리자로 엽니다.

  2. 다음 명령어를 실행합니다.

    msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

Linux 설치

  1. 루트 또는 sudo 권한으로 터미널을 엽니다.

  2. 다음 명령어를 실행합니다.

    sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

추가 설치 리소스

syslog를 수집하여 Google SecOps로 전송하도록 Bindplane 에이전트 구성

  1. 구성 파일에 액세스합니다.

    • config.yaml 파일을 찾습니다. 일반적으로 Linux에서는 /etc/bindplane-agent/ 디렉터리에 있고 Windows에서는 설치 디렉터리에 있습니다.
    • 텍스트 편집기 (예: nano, vi, 메모장)를 사용하여 파일을 엽니다.

  2. 다음과 같이 config.yaml 파일을 수정합니다.

    receivers:
  udplog:
    # Replace the port and IP address as required
    listen_address: "0.0.0.0:514"

exporters:
  chronicle/chronicle_w_labels:
    compression: gzip
    # Adjust the path to the credentials file you downloaded in Step 1
    creds_file_path: '/path/to/ingestion-authentication-file.json'
    # Replace with your actual customer ID from Step 2
    customer_id: YOUR_CUSTOMER_ID
    endpoint: malachiteingestion-pa.googleapis.com
    # Add optional ingestion labels for better organization
    log_type: 'WATCHGUARD'
    raw_log_field: body
    ingestion_labels:

service:
  pipelines:
    logs/source0__chronicle_w_labels-0:
      receivers:
        - udplog
      exporters:
        - chronicle/chronicle_w_labels
  • 인프라에 필요한 대로 포트와 IP 주소를 바꿉니다.
  • YOUR_CUSTOMER_ID를 실제 고객 ID로 바꿉니다.
  • 1단계에서 인증 파일을 저장한 파일 경로로 /path/to/ingestion-authentication-file.json를 업데이트합니다.

변경사항을 적용하려면 Bindplane 에이전트를 다시 시작하세요.

  1. Linux에서 Bindplane 에이전트를 다시 시작하려면 다음 명령어를 실행합니다.

    sudo systemctl restart observiq-otel-collector

  2. Windows에서 Bindplane 에이전트를 다시 시작하려면 서비스 콘솔을 사용하거나 다음 명령어를 입력하면 됩니다.

    net stop observiq-otel-collector && net start observiq-otel-collector

WatchGuard Firebox syslog 전달 구성

WatchGuard Firebox가 syslog 메시지를 Bindplane 에이전트로 전달하도록 구성하려면 Fireware 웹 UI를 사용하여 다음 단계를 따르세요.

  1. Fireware 웹 UI (https://<firebox-ip>:8080)에 로그인합니다.
  2. 시스템 > 로깅으로 이동합니다.
  3. Syslog Servers(Syslog 서버) 섹션에서 Add(추가)를 클릭합니다.

  4. 다음 구성 세부정보를 제공합니다.

    • IP 주소: Bindplane 에이전트 호스트의 IP 주소를 입력합니다 (예: 192.168.1.100).
    • 포트: 514 (또는 Bindplane 에이전트에서 구성된 포트)을 입력합니다.
    • 로그 형식: Syslog (표준 BSD syslog 형식)를 선택합니다.

  5. Syslog 설정 섹션에서 로그 수준을 구성합니다.

    • 트래픽, 보안, 시스템 이벤트를 캡처하려면 로그 수준을 정보 이상으로 설정합니다.

  6. 저장을 클릭합니다.

전달할 로그 유형 구성

  1. Fireware Web UI에서 System > Logging > Syslog로 이동합니다.

  2. syslog 전달에 대해 다음 로그 유형이 사용 설정되어 있는지 확인합니다.

    • 트래픽 - 방화벽 트래픽 이벤트 (허용, 거부)
    • 알람 - IPS 및 보안 알람 이벤트입니다.
    • 이벤트 - 시스템 이벤트 및 상태 변경
    • 디버그 - 선택사항, 문제 해결용

  3. 저장을 클릭합니다.

(대체) WatchGuard System Manager를 통해 구성

  1. WatchGuard System Manager를 열고 Firebox에 연결합니다.
  2. 설정 > 로깅 > 이 syslog 서버에 로그 메시지 보내기로 이동합니다.
  3. 추가를 클릭합니다.

  4. 다음 구성 세부정보를 제공합니다.

    • IP 주소: Bindplane 에이전트 호스트의 IP 주소를 입력합니다.
    • 포트: 514를 입력합니다.
    • 로그 형식: Syslog를 선택합니다.

  5. 확인을 클릭하고 구성을 Firebox에 저장합니다.

자세한 내용은 WatchGuard Fireware 로깅 문서를 참고하세요.

UDM 매핑 테이블

로그 필드 UDM 매핑 로직
action security_result.action_details 원시 로그의 action 값이 security_result.action_details에 할당됩니다.
action target.labels.value 원시 로그의 action 값이 target.labels.value에 할당되고 target.labels.key는 '리소스에 대한 작업'이 됩니다.
arg target.file.full_path 원시 로그의 arg 값이 target.file.full_path에 할당됩니다.
app_cat_id about.labels.value 원시 로그의 app_cat_id 값이 about.labels.value에 할당되고 about.labels.key는 'app_cat_id'가 됩니다.
app_cat_name target.application app_name와 함께 사용하여 target.application의 값을 형성합니다 (예: 'Google - 웹 서비스').
app_id about.labels.value 원시 로그의 app_id 값이 about.labels.value에 할당되고 about.labels.key는 'app_id'가 됩니다.
app_name target.application app_cat_name와 함께 사용하여 target.application의 값을 형성합니다 (예: 'Google - 웹 서비스').
cats security_result.category_details 원시 로그의 cats 값이 security_result.category_details에 할당됩니다.
cert_issuer network.tls.server.certificate.issuer 원시 로그의 cert_issuer 값이 network.tls.server.certificate.issuer에 할당됩니다.
cert_subject network.tls.server.certificate.subject 원시 로그의 cert_subject 값이 network.tls.server.certificate.subject에 할당됩니다.
cn network.tls.server.certificate.subject 원시 로그의 cn 값이 network.tls.server.certificate.subject에 할당됩니다.
conn_action security_result.action_details 원시 로그의 conn_action 값이 security_result.action_details에 할당됩니다.
content_type 매핑되지 않음 제공된 UDM 예시의 IDM 객체에 매핑되지 않습니다.
description metadata.description 원시 로그에서 파생된 description 값이 metadata.description에 할당됩니다.
dhcp_type network.dhcp.type 원시 로그의 dhcp_type 값이 network.dhcp.type의 해당 DHCP 유형('REQUEST', 'ACK' 등)에 매핑됩니다.
dst_host target.hostname 원시 로그의 dst_host 값이 target.hostname에 할당됩니다.
dst_ip target.ip 원시 로그의 dst_ip 값이 target.ip에 할당됩니다.
dst_mac target.mac 원시 로그의 dst_mac 값이 target.mac에 할당됩니다.
dst_port target.port 원시 로그의 dst_port 값이 target.port에 할당됩니다.
dst_user target.user.user_display_name 원시 로그의 dst_user 값이 target.user.user_display_name에 할당됩니다.
dstname target.administrative_domain 원시 로그의 dstname 값이 target.administrative_domain에 할당됩니다.
duration 매핑되지 않음 제공된 UDM 예시의 IDM 객체에 매핑되지 않습니다.
elapsed_time 매핑되지 않음 제공된 UDM 예시의 IDM 객체에 매핑되지 않습니다.
endpoint intermediary.labels.value 원시 로그의 endpoint 값이 intermediary.labels.value에 할당되고 intermediary.labels.key는 'Gateway-Endpoint'가 됩니다.
event_name principal.application 원시 로그의 event_name 값이 principal.application에 할당됩니다.
firewall_id intermediary.asset_id 원시 로그의 firewall_id 값에 '방화벽 ID : '가 추가되고 intermediary.asset_id에 할당됩니다.
firewall_name principal.asset_id 원시 로그의 firewall_name 값에 'Firewall: '이 추가되고 principal.asset_id에 할당됩니다.
firewallname intermediary.hostname 원시 로그의 firewallname 값이 intermediary.hostname에 할당됩니다.
firewallname principal.hostname 원시 로그의 firewallname 값이 principal.hostname에 할당됩니다.
fqdn_dst_match 매핑되지 않음 제공된 UDM 예시의 IDM 객체에 매핑되지 않습니다.
geo 매핑되지 않음 제공된 UDM 예시의 IDM 객체에 매핑되지 않습니다.
geo_dst target.location.country_or_region 원시 로그의 geo_dst 값이 target.location.country_or_region에 할당됩니다.
geo_src principal.location.country_or_region 원시 로그의 geo_src 값이 principal.location.country_or_region에 할당됩니다.
host 매핑되지 않음 제공된 UDM 예시의 IDM 객체에 매핑되지 않습니다.
ike_policy security_result.rule_id 원시 로그의 ike_policy 값이 security_result.rule_id에 할당됩니다.
ike_policy_version security_result.rule_version 원시 로그의 ike_policy_version 값이 security_result.rule_version에 할당됩니다.
intermediary_host intermediary.hostname 원시 로그의 intermediary_host 값이 intermediary.hostname에 할당됩니다.
ipaddress 매핑되지 않음 제공된 UDM 예시의 IDM 객체에 매핑되지 않습니다.
ipsec_policy 매핑되지 않음 제공된 UDM 예시의 IDM 객체에 매핑되지 않습니다.
ipsec_policy_version 매핑되지 않음 제공된 UDM 예시의 IDM 객체에 매핑되지 않습니다.
keyword 매핑되지 않음 제공된 UDM 예시의 IDM 객체에 매핑되지 않습니다.
line 매핑되지 않음 제공된 UDM 예시의 IDM 객체에 매핑되지 않습니다.
log_message metadata.description 더 구체적인 다른 설명을 사용할 수 없는 경우 원시 로그의 log_message 값이 metadata.description에 할당됩니다.
log_reason security_result.summary 원시 로그의 log_reason 값이 security_result.summary에 할당됩니다.
log_type metadata.log_type 원시 로그의 log_type 값이 metadata.log_type에 할당됩니다. 항상 'WATCHGUARD'로 설정됩니다.
msg security_result.summary 원시 로그의 msg 값이 security_result.summary에 할당됩니다.
msg_id metadata.product_event_type 원시 로그의 msg_id 값이 metadata.product_event_type에 할당됩니다.
new_action security_result.action_details conn_action와 함께 사용하여 security_result.action_details 값을 형성합니다 (예: 'ProxyReplace: IP protocol - HTTPS-Client.DPI-Off').
op network.http.method 원시 로그의 op 값이 network.http.method에 할당됩니다.
path target.url 원시 로그의 path 값이 target.url에 할당됩니다.
pid 매핑되지 않음 제공된 UDM 예시의 IDM 객체에 매핑되지 않습니다.
policy_name intermediary.resource.name 원시 로그의 policy_name 값이 intermediary.resource.name에 할당됩니다.
policy_name security_result.rule_name 원시 로그의 policy_name 값이 security_result.rule_name에 할당됩니다.
policyname_label.value security_result.rule_labels.value 원시 로그의 policy_name 값이 security_result.rule_labels.value에 할당되고 security_result.rule_labels.key은 'PolicyName'입니다.
prin_host principal.hostname 원시 로그의 prin_host 값이 principal.hostname에 할당됩니다.
proc_id 매핑되지 않음 제공된 UDM 예시의 IDM 객체에 매핑되지 않습니다.
protocol network.ip_protocol 원시 로그의 protocol 값이 대문자로 변환되어 network.ip_protocol에 할당됩니다. 'ICMP'에 매핑되는 'EXTERNAL ICMP'의 특수 처리
proxy_act security_result.rule_id 원시 로그의 proxy_act 값이 security_result.rule_id에 할당됩니다.
proxy_act security_result.rule_name 원시 로그의 proxy_act 값이 security_result.rule_name에 할당됩니다.
query_name network.dns.questions.name 원시 로그의 query_name 값이 network.dns.questions.name에 할당됩니다.
query_type network.dns.questions.type 원시 로그의 query_type 값이 network.dns.questions.type에 할당됩니다. 숫자 쿼리 유형의 특수 처리 및 표준 DNS 쿼리 유형에 매핑
rc 매핑되지 않음 제공된 UDM 예시의 IDM 객체에 매핑되지 않습니다.
reason security_result.summary 원시 로그의 reason 값이 security_result.summary에 할당됩니다.
record_type network.dns.answers.type 원시 로그의 record_type 값이 network.dns.answers.type의 해당 DNS 레코드 유형에 매핑됩니다.
redirect_action 매핑되지 않음 제공된 UDM 예시의 IDM 객체에 매핑되지 않습니다.
reputation additional.fields.value.string_value 원시 로그의 reputation 값이 additional.fields.value.string_value에 할당되고 additional.fields.key은 'reputation'입니다.
response 매핑되지 않음 제공된 UDM 예시의 IDM 객체에 매핑되지 않습니다.
response_code network.dns.response_code 원시 로그의 response_code 값이 network.dns.response_code의 해당 DNS 응답 코드에 매핑됩니다.
route_type 매핑되지 않음 제공된 UDM 예시의 IDM 객체에 매핑되지 않습니다.
rule_name security_result.rule_name 원시 로그의 rule_name 값이 security_result.rule_name에 할당됩니다.
rcvd_bytes network.received_bytes 원시 로그의 rcvd_bytes 값이 network.received_bytes에 할당됩니다.
sent_bytes network.sent_bytes 원시 로그의 sent_bytes 값이 network.sent_bytes에 할당됩니다.
server_ssl 매핑되지 않음 제공된 UDM 예시의 IDM 객체에 매핑되지 않습니다.
severity 매핑되지 않음 제공된 UDM 예시의 IDM 객체에 매핑되지 않습니다.
sig_vers network.tls.server.certificate.version 원시 로그의 sig_vers 값이 network.tls.server.certificate.version에 할당됩니다.
signature_cat additional.fields.value.string_value 원시 로그의 signature_cat 값이 additional.fields.value.string_value에 할당되고 additional.fields.key는 'signature_cat'입니다.
signature_id additional.fields.value.string_value 원시 로그의 signature_id 값이 additional.fields.value.string_value에 할당되고 additional.fields.key은 'signature_id'가 됩니다.
signature_name additional.fields.value.string_value 원시 로그의 signature_name 값이 additional.fields.value.string_value에 할당되고 additional.fields.key은 'signature_name'이 됩니다.
sni network.tls.client.server_name 원시 로그의 sni 값이 network.tls.client.server_name에 할당됩니다.
src_ctid 매핑되지 않음 제공된 UDM 예시의 IDM 객체에 매핑되지 않습니다.
src_host principal.hostname 원시 로그의 src_host 값이 principal.hostname에 할당됩니다.
src_ip principal.ip 원시 로그의 src_ip 값이 principal.ip에 할당됩니다.
src_ip_nat 매핑되지 않음 제공된 UDM 예시의 IDM 객체에 매핑되지 않습니다.
src_mac principal.mac 원시 로그의 src_mac 값이 principal.mac에 할당됩니다.
src_port principal.port 원시 로그의 src_port 값이 principal.port에 할당됩니다.
src_user principal.user.user_display_name 원시 로그의 src_user 값이 principal.user.user_display_name에 할당됩니다.
src_user_name principal.user.user_display_name 원시 로그의 src_user_name 값이 principal.user.user_display_name에 할당됩니다.
src_vpn_ip principal.ip 원시 로그의 src_vpn_ip 값이 principal.ip에 할당됩니다.
srv_ip 매핑되지 않음 제공된 UDM 예시의 IDM 객체에 매핑되지 않습니다.
srv_port 매핑되지 않음 제공된 UDM 예시의 IDM 객체에 매핑되지 않습니다.
ssl_offload 매핑되지 않음 제공된 UDM 예시의 IDM 객체에 매핑되지 않습니다.
tcp_info 매핑되지 않음 제공된 UDM 예시의 IDM 객체에 매핑되지 않습니다.
time metadata.event_timestamp.seconds, timestamp.seconds 원시 로그의 time 값이 파싱되어 metadata.event_timestamp.seconds 및 timestamp.seconds를 채우는 데 사용됩니다.
time1 metadata.event_timestamp.seconds, timestamp.seconds 원시 로그의 time1 값이 파싱되어 metadata.event_timestamp.seconds 및 timestamp.seconds를 채우는 데 사용됩니다.
tls_profile about.labels.value 원시 로그의 tls_profile 값이 about.labels.value에 할당되고 about.labels.key는 'tls_profile'이 됩니다.
tls_version 매핑되지 않음 제공된 UDM 예시의 IDM 객체에 매핑되지 않습니다.
user_name principal.user.userid, principal.user.user_display_name 원시 로그의 user_name 값은 컨텍스트에 따라 principal.user.userid 또는 principal.user.user_display_name에 할당됩니다.
user_type 매핑되지 않음 제공된 UDM 예시의 IDM 객체에 매핑되지 않습니다.
(해당 사항 없음) intermediary.resource.type 항상 'ACCESS_POLICY'로 설정됩니다.
(해당 사항 없음) metadata.event_type msg_id, log_type, event_name 및 기타 필드를 기반으로 한 파서 로직에 따라 결정됩니다. NETWORK_CONNECTION, SERVICE_MODIFICATION, NETWORK_SMTP, NETWORK_DNS, NETWORK_HTTP, USER_LOGIN, USER_LOGOUT, USER_RESOURCE_UPDATE_CONTENT, RESOURCE_PERMISSIONS_CHANGE, RESOURCE_CREATION, GENERIC_EVENT, STATUS_UPDATE, USER_UNCATEGORIZED일 수 있습니다.
(해당 사항 없음) metadata.product_name 항상 'Fireware'로 설정됩니다.
(해당 사항 없음) metadata.vendor_name 항상 'Watchguard'로 설정됩니다.
(해당 사항 없음) security_result.action disposition에 기반한 파서 로직에 따라 결정됩니다. 'ALLOW' 또는 'BLOCK'일 수 있습니다.
(해당 사항 없음) extensions.auth.type 사용자 로그인/로그아웃 이벤트의 경우 'AUTHTYPE_UNSPECIFIED'로 설정하고 VPN과 관련된 네트워크 이벤트의 경우 'VPN'으로 설정합니다.
(해당 사항 없음) network.application_protocol msg_id 및 event_name에 기반한 파서 로직에 따라 결정됩니다. 'DNS', 'DHCP', 'HTTP', 'HTTPS'일 수 있습니다.
(해당 사항 없음) network.dns.questions.type 'A' 레코드 쿼리의 경우 1로 설정합니다.
(해당 사항 없음) target.labels.key action이 target.labels.value에 매핑되면 '리소스에 대한 작업'으로 설정됩니다.
(해당 사항 없음) intermediary.labels.key prin_host이 intermediary.labels.value에 매핑된 경우 '방화벽 구성원 이름'으로 설정됩니다.
(해당 사항 없음) intermediary.labels.key endpoint이 intermediary.labels.value에 매핑된 경우 'Gateway-Endpoint'로 설정됩니다.
(해당 사항 없음) principal.labels.key gateway이 principal.labels.value에 매핑된 경우 '게이트웨이'로 설정됩니다.
(해당 사항 없음) target.labels.key gateway이 target.labels.value에 매핑된 경우 '게이트웨이'로 설정됩니다.
(해당 사항 없음) principal.labels.key status이 principal.labels.value에 매핑되면 'state'로 설정됩니다.
(해당 사항 없음) target.labels.key status이 target.labels.value에 매핑되면 '게이트웨이 상태'로 설정됩니다.
(해당 사항 없음) additional.fields.key 해당 값이 원시 로그에서 매핑되는 경우 'signature_name', 'signature_cat', 'signature_id' 또는 'reputation'으로 설정됩니다.

변경 로그

이 파서의 변경 로그 보기

도움이 더 필요하신가요? 커뮤니티 회원 및 Google SecOps 전문가에게 문의하여 답변을 받으세요.