Raccogliere i log di Fortinet FortiAnalyzer

Questo documento spiega come raccogliere e importare i log di Fortinet FortiAnalyzer in Google Security Operations utilizzando Bindplane. Il parser trasforma i log in formato UDM. Gestisce i messaggi formattati in formato CEF e chiave-valore, estrae i campi, esegue trasformazioni dei dati (come la conversione dei timestamp e l'arricchimento dei protocolli IP) e li mappa ai campi UDM appropriati in base al tipo e al sottotipo di evento. Il parser include anche una logica specifica per la gestione di connessioni di rete, query DNS, richieste HTTP e vari eventi di sicurezza, arricchendo UDM con dettagli come protocolli applicativi, informazioni utente e risultati di sicurezza.

Prima di iniziare

• Assicurati di avere un'istanza Google Security Operations.
• Assicurati di utilizzare Windows 2016 o versioni successive oppure un host Linux con systemd.
• Se l'esecuzione avviene tramite un proxy, assicurati che le porte del firewall siano aperte.
• Assicurati di disporre dell'accesso privilegiato a Fortinet FortiAnalyzer.

Recuperare il file di autenticazione importazione di Google SecOps

1. Accedi alla console Google SecOps.
2. Vai a Impostazioni SIEM > Agenti di raccolta.
3. Scarica il file di autenticazione importazione. Salva il file in modo sicuro sul sistema in cui verrà installato Bindplane.

Recuperare l'ID cliente Google SecOps

1. Accedi alla console Google SecOps.
2. Vai a Impostazioni SIEM > Profilo.
3. Copia e salva l'ID cliente dalla sezione Dettagli dell'organizzazione.

Installa l'agente Bindplane

Installazione di Windows

1. Apri il prompt dei comandi o PowerShell come amministratore.

2. Esegui questo comando:

   msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet
   

Installazione di Linux

1. Apri un terminale con privilegi di root o sudo.

2. Esegui questo comando:

   sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh
   

Risorse aggiuntive per l'installazione

• Per ulteriori opzioni di installazione, consulta questa guida all'installazione.

Configura l'agente Bindplane per importare Syslog e inviarli a Google SecOps

1. Accedi al file di configurazione:

   1. Individua il file config.yaml. In genere, si trova nella directory /etc/bindplane-agent/ su Linux o nella directory di installazione su Windows.
   2. Apri il file utilizzando un editor di testo (ad esempio nano, vi o Blocco note).

2. Modifica il file config.yaml come segue:

   receivers:
       udplog:
           # Replace the port and IP address as required
           listen_address: "0.0.0.0:514"
   
   exporters:
       chronicle/chronicle_w_labels:
           compression: gzip
           # Adjust the path to the credentials file you downloaded in Step 1
           creds: '/path/to/ingestion-authentication-file.json'
           # Replace with your actual customer ID from Step 2
           customer_id: <customer_id>
           endpoint: malachiteingestion-pa.googleapis.com
           # Add optional ingestion labels for better organization
           ingestion_labels:
               log_type: FORTINET_FORTIANALYZER
               raw_log_field: body
   
   service:
       pipelines:
           logs/source0__chronicle_w_labels-0:
               receivers:
                   - udplog
               exporters:
                   - chronicle/chronicle_w_labels
   

3. Sostituisci la porta e l'indirizzo IP in base alle esigenze della tua infrastruttura.

4. Sostituisci <customer_id> con l'ID cliente effettivo.

5. Aggiorna /path/to/ingestion-authentication-file.json al percorso in cui è stato salvato il file di autenticazione nella sezione Recupera il file di autenticazione per l'importazione di Google SecOps.

Riavvia l'agente Bindplane per applicare le modifiche

• Per riavviare l'agente Bindplane in Linux, esegui questo comando:

  sudo systemctl restart bindplane-agent
  

• Per riavviare l'agente Bindplane in Windows, puoi utilizzare la console Servizi o inserire il seguente comando:

  net stop BindPlaneAgent && net start BindPlaneAgent
  

Configura Syslog su Fortinet FortiAnalyzer

1. Accedi a FortiAnalyzer.
2. Attiva la modalità CLI.

3. Esegui questi comandi:

   config system syslog
     edit NAME
       set ip IP_ADDRESS
       set port PORT
       set reliable enable or disable
     next
   end
   

4. Aggiorna i seguenti campi:

   • NAME: il nome del server syslog.
   • IP_ADDRESS: inserisci l'indirizzo IPv4 dell'agente Bindplane.
   • PORT: inserisci il numero di porta per l'agente Bindplane, ad esempio 514.
   • enable or disable: se imposti il valore di reliable su enable, l'invio avviene come TCP; se imposti il valore di reliable su disable, l'invio avviene come UDP.

Tabella di mappatura UDM

Hai bisogno di ulteriore assistenza? Ricevi risposte dai membri della community e dai professionisti di Google SecOps.