Recoger registros de cortafuegos de Check Point

Este analizador extrae registros de cortafuegos de Check Point. Gestiona mensajes con formato CEF y sin formato CEF, incluidos syslog, pares clave-valor y JSON. Normaliza los campos, los asigna a UDM y aplica una lógica específica para los eventos de inicio y cierre de sesión, las conexiones de red y los eventos de seguridad. Enriquece los datos con información contextual, como la geolocalización y la inteligencia sobre amenazas.

Antes de empezar

• Asegúrate de que tienes una instancia de Google Security Operations.
• Asegúrate de que usas Windows 2016 o una versión posterior, o un host Linux con systemd.
• Si se ejecuta a través de un proxy, asegúrate de que los puertos del cortafuegos estén abiertos.
• Asegúrate de que tienes acceso con privilegios a un cortafuegos de Check Point.

Obtener el archivo de autenticación de ingestión de Google SecOps

1. Inicia sesión en la consola de Google SecOps.
2. Ve a Configuración de SIEM > Agentes de recogida.
3. Descarga el archivo de autenticación de ingestión.

Obtener el ID de cliente de Google SecOps

1. Inicia sesión en la consola de Google SecOps.
2. Ve a Configuración de SIEM > Perfil.
3. Copia y guarda el ID de cliente de la sección Detalles de la organización.

Instalar el agente de Bindplane

1. Para instalar en Windows, ejecuta la siguiente secuencia de comandos:
   msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet
2. Para instalar Linux, ejecuta la siguiente secuencia de comandos:
   sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh
3. Puedes consultar otras opciones de instalación en esta guía de instalación.

Configurar el agente de Bindplane para ingerir Syslog y enviarlo a Google SecOps

1. Accede al equipo en el que está instalado Bindplane.

2. Edita el archivo config.yaml de la siguiente manera:

   receivers:
       udplog:
           # Replace the below port <54525> and IP <0.0.0.0> with your specific values
           listen_address: "0.0.0.0:54525" 
   
   exporters:
       chronicle/chronicle_w_labels:
           compression: gzip
           # Adjust the creds location below according the placement of the credentials file you downloaded
           creds: '{ json file for creds }'
           # Replace <customer_id> below with your actual ID that you copied
           customer_id: <customer_id>
           endpoint: malachiteingestion-pa.googleapis.com
           # You can apply ingestion labels below as preferred
           ingestion_labels:
           log_type: SYSLOG
           namespace: Checkpoint_Firewall
           raw_log_field: body
   service:
       pipelines:
           logs/source0__chronicle_w_labels-0:
               receivers:
                   - udplog
               exporters:
                   - chronicle/chronicle_w_labels
   

3. Reinicia el agente de Bindplane para aplicar los cambios:

   sudo systemctl restart bindplane
   

Configurar la exportación de Syslog en un firewall de Check Point

1. Inicia sesión en la interfaz de usuario del cortafuegos de Check Point con una cuenta con privilegios.
2. Ve a Registros y monitorización > Servidores de registro.
3. Ve a Servidores Syslog.
4. Haz clic en Configurar y define los siguientes valores:
   • Protocolo: selecciona UDP para enviar registros de seguridad o del sistema.
   • Nombre: proporciona un nombre único (por ejemplo, Bindplane_Server).
   • Dirección IP: proporcione la dirección IP de su servidor syslog (IP de Bindplane).
   • Puerto: indica el puerto de tu servidor syslog (puerto de Bindplane).
5. Selecciona Habilitar servidor de registro.
6. Selecciona los registros que quieras reenviar: Registros del sistema y de seguridad.
7. Haz clic en Aplicar.

Tabla de asignación de UDM

¿Necesitas más ayuda? Recibe respuestas de los miembros de la comunidad y de los profesionales de Google SecOps.