收集 FortiWeb WAF 日志

本文档介绍了如何使用 Google Security Operations 转发器收集 FortiWeb Web 应用防火墙 (WAF) 日志。

如需了解详情，请参阅 Google Security Operations 数据注入概览。

注入标签用于标识将原始日志数据标准化为结构化 UDM 格式的解析器。本文档中的信息适用于具有 FORTINET_FORTIWEB 注入标签的解析器。

配置 FortiWeb WAF 日志

如需将 FortiWeb WAF 配置为将日志发送到 Google Security Operations 转发器，请执行以下操作：

• 创建 syslog 政策。
• 启用 syslog 类型和日志级别。
• 创建触发器。

创建 syslog 政策

1. 登录 Fortinet FortiWeb 控制台。
2. 在 Fortinet FortiWeb 控制台中，依次选择 Log & report（日志和报告）> Log policy（日志政策）> Syslog policy（Syslog 政策）。
3. 点击新建 (Create new)。

4. 在随即显示的新 syslog 政策窗口中，执行以下操作：

   • 在政策名称字段中，指定要在配置中使用的政策的名称。
   • 在 IP 地址字段中，指定远程 syslog 服务器的 IP 地址或主机名。
   • 在端口字段中，指定 syslog 服务器的端口。
   • 如果启用 CSV 格式复选框处于选中状态，请清除该复选框。

5. 点击确定。

启用 syslog 类型和日志级别

1. 在 Fortinet FortiWeb 控制台中，依次选择 Log & report > Log config > Global log settings。

2. 在随即显示的全局日志设置窗口中，选中 Syslog 复选框，然后执行以下操作：

   • 在 Syslog 政策列表中，选择您之前创建的 syslog 政策。
   • 在日志级别列表中，选择要收集的日志的最低严重性级别。
   • 在设施列表中，选择日志设施。

3. 点击应用。

创建触发器

1. 在 Fortinet FortiWeb 控制台中，依次选择 Log & report > Log policy > Trigger policy。
2. 点击新建 (Create new)。

3. 在显示的新触发器政策窗口中，执行以下操作：

   • 在政策名称字段中，指定要在配置中使用的政策的名称。
   • 在 Syslog 政策列表中，选择您之前创建的 syslog 政策。

4. 点击确定。

   使用新创建的触发器更新 syslog 政策，以确保所有必需的事件都记录到 Google Security Operations syslog 转发器中。

配置 Google Security Operations 转发器以注入 FortiWeb WAF 日志

1. 依次前往 SIEM 设置 > 转发器。
2. 点击添加新转发器。
3. 在 Forwarder Name（转发器名称）字段中，输入转发器的唯一名称。
4. 点击提交。系统会添加转发器，并显示添加收集器配置窗口。
5. 在收集器名称字段中，输入一个名称。
6. 选择 Fortinet Web 应用防火墙作为日志类型。
7. 选择 Syslog 作为收集器类型。
8. 配置以下必需的输入参数：
   • 协议：指定收集器用于监听 syslog 数据的连接协议。
   • 地址：指定收集器所在并监听 syslog 数据的目标 IP 地址或主机名。
   • 端口：指定收集器所在的目标端口，并监听 syslog 数据。
9. 点击提交。

如需详细了解 Google Security Operations 转发器，请参阅通过 Google Security Operations 界面管理转发器配置。

如果您在创建转发器时遇到问题，请与 Google Security Operations 支持团队联系。

字段映射参考

此解析器以键值 (KV) 格式处理来自 FORTINET FORTIWEB 的日志，并将其转换为 UDM。它会处理 CEF 和非 CEF 格式的日志，提取字段、规范化值，并根据日志格式将它们映射到相应的 UDM 字段。

UDM 映射表

需要更多帮助？从社区成员和 Google SecOps 专业人士那里获得解答。