Recopila registros de pfSense de Netgate

En este documento, se describe cómo puedes recopilar los registros de Netgate pfSense con un reenvío de Google Security Operations.

Para obtener más información, consulta Ingesta de datos en Google SecOps.

Una etiqueta de transferencia identifica el analizador que normaliza los datos de registro sin procesar al formato UDM estructurado. La información de este documento se aplica al analizador con la etiqueta de transferencia PFSENSE.

Configura Netgate pfSense

1. Accede a la interfaz de pfSense con credenciales de administrador.
2. En la configuración de Registro global, haz lo siguiente:
   1. Selecciona Estado > Registros del sistema > Configuración.
   2. En la pestaña Configuración, selecciona Opciones de registro generales y haz lo siguiente:
      1. En el campo Log message format, selecciona syslog (RFC 5424, with RFC 3339 microsecond-precision timestamps).
      2. En el campo Registrar los bloqueos predeterminados del firewall, selecciona las siguientes casillas de verificación:
         • Registra los paquetes que coinciden con las reglas de bloqueo predeterminadas en el conjunto de reglas
         • Registra el paquete que coincide con las reglas de aprobación predeterminadas incluidas en el conjunto de reglas
         • Registra los paquetes bloqueados por las reglas de "Bloquear redes bogon"
         • Paquetes de registros bloqueados por las reglas de "Bloquear redes privadas"
3. Para guardar la configuración nueva, haz clic en Guardar.

Envía los registros del firewall a Google SecOps

1. En la configuración de Registro global, selecciona Estado > Registros del sistema > Configuración.
2. En la pestaña Configuración, selecciona Opciones de registro remoto y haz lo siguiente:
   • En el campo Habilitar el registro remoto, selecciona la casilla de verificación Enviar mensajes de registro al servidor syslog remoto.
   • En el campo Dirección de origen, mantén el valor predeterminado como Cualquiera.
   • En el campo Protocolo IP, si la dirección de origen está seleccionada como valor predeterminado, no es necesario que especifiques la dirección IP. De lo contrario, ingresa la dirección IP.
   • En Servidores de registro remotos, especifica la dirección IP del retransmisor de Google SecOps.
   • En Contenido de syslog remoto, selecciona la casilla de verificación Eventos de firewall.
3. Para guardar los cambios, haz clic en Guardar.

Configura el reenvío de Google SecOps para que ingiera registros de Netgate pfSense

1. Selecciona SIEM Settings > Forwarders.
2. Haz clic en Agregar un nuevo reenvío.
3. En el campo Nombre del reenviador, ingresa un nombre único para el reenviador.
4. Haz clic en Enviar y, luego, en Confirmar. Se agregará el reenvío y aparecerá la ventana Add collector configuration.
5. En el campo Nombre del recopilador, escribe un nombre único para el recopilador.
6. Selecciona pfSense como el Tipo de registro.
7. En el campo Tipo de recopilador, selecciona Syslog.
8. Configura los siguientes parámetros de entrada obligatorios:
   • Protocolo: Especifica el protocolo de conexión que usa el recopilador para escuchar los datos de Syslog.
   • Dirección: Especifica la dirección IP o el nombre de host de destino en el que reside el recopilador y escucha los datos de syslog.
   • Puerto: Especifica el puerto de destino en el que reside el recopilador y escucha los datos de syslog.
9. Haz clic en Enviar.

Para obtener más información sobre los retransmisores de Google SecOps, consulta Administra la configuración de retransmisores a través de la IU de Google SecOps.

Si tienes problemas para crear reenvíos, comunícate con el equipo de asistencia de SecOps de Google.

Referencia de la asignación de campos

Este analizador de firewall de pfSense extrae campos de los mensajes de syslog con patrones de Grok y controla varios formatos de registro, incluidos los eventos de DHCP y de firewall. Luego, asigna estos campos extraídos al UDM, lo que enriquece los datos con información contextual, como direcciones IP, direcciones MAC, nombres de usuario y detalles de la red.

Tabla de asignación de UDM

¿Necesitas más ayuda? Obtén respuestas de miembros de la comunidad y profesionales de Google SecOps.