Recoger registros de Netgate pfSense

En este documento se describe cómo puede recoger los registros de Netgate pfSense mediante un reenviador de Google Security Operations.

Para obtener más información, consulta Ingestión de datos en Google SecOps.

Una etiqueta de ingestión identifica el analizador que normaliza los datos de registro sin procesar en formato UDM estructurado. La información de este documento se aplica al analizador con la etiqueta de ingestión PFSENSE.

Configurar Netgate pfSense

1. Inicia sesión en la interfaz de pfSense con las credenciales de administrador.
2. En la configuración de Registro global, haz lo siguiente:
   1. Selecciona Estado > Registros del sistema > Configuración.
   2. En la pestaña Configuración, selecciona Opciones generales de registro y haz lo siguiente:
      1. En el campo Formato de mensaje de registro, selecciona syslog (RFC 5424, con marcas de tiempo de precisión de microsegundos RFC 3339).
      2. En el campo Registrar bloqueos predeterminados del cortafuegos, marque las siguientes casillas:
         • Paquetes de registro que coinciden con las reglas de bloqueo predeterminadas del conjunto de reglas
         • Paquete de registro que coincide con las reglas de aprobación predeterminadas incluidas en el conjunto de reglas
         • Registrar paquetes bloqueados por reglas de "Bloquear redes bogon"
         • Registrar paquetes bloqueados por reglas de "Bloquear redes privadas"
3. Para guardar la nueva configuración, haga clic en Guardar.

Enviar los registros del cortafuegos a Google SecOps

1. En los ajustes de Registro global, selecciona Estado > Registros del sistema > Ajustes.
2. En la pestaña Configuración, selecciona Opciones de registro remoto y haz lo siguiente:
   • En el campo Habilitar registro remoto, selecciona la casilla Enviar mensajes de registro al servidor syslog remoto.
   • En el campo Dirección de origen, deja el valor predeterminado Cualquiera.
   • En el campo Protocolo IP, si la dirección de origen está seleccionada como valor predeterminado, no tienes que especificar la dirección IP. De lo contrario, introduce la dirección IP.
   • En Servidores de registro remotos, especifica la dirección IP del reenviador de Google SecOps.
   • En Contenido de syslog remoto, selecciona la casilla Eventos de firewall.
3. Para guardar los cambios, haz clic en Guardar.

Configurar el reenviador de Google SecOps para ingerir registros de Netgate pfSense

1. Seleccione Configuración de SIEM > Reenviadores.
2. Haz clic en Añadir nuevo remitente.
3. En el campo Nombre del reenviador, introduce un nombre único para el reenviador.
4. Haz clic en Enviar y, a continuación, en Confirmar. Se añade el reenviador y se muestra la ventana Añadir configuración de recopilador.
5. En el campo Nombre del recolector, escriba un nombre único para el recolector.
6. Seleccione pfSense como Tipo de registro.
7. En el campo Tipo de recopilador, selecciona Syslog.
8. Configure los siguientes parámetros de entrada obligatorios:
   • Protocolo: especifica el protocolo de conexión que usa el recopilador para escuchar los datos de syslog.
   • Dirección: especifica la dirección IP o el nombre de host de destino donde reside el recopilador y escucha los datos de syslog.
   • Puerto: especifica el puerto de destino en el que reside el recopilador y escucha los datos de syslog.
9. Haz clic en Enviar.

Para obtener más información sobre los reenviadores de Google SecOps, consulta Gestionar configuraciones de reenviadores a través de la interfaz de usuario de Google SecOps.

Si tienes problemas al crear reenviadores, ponte en contacto con el equipo de Asistencia de SecOps de Google.

Referencia de asignación de campos

Este analizador de cortafuegos pfSense extrae campos de mensajes syslog mediante patrones grok y gestiona varios formatos de registro, incluidos los eventos de DHCP y de cortafuegos. Después, asigna estos campos extraídos al UDM y enriquece los datos con información contextual, como direcciones IP, direcciones MAC, nombres de usuario y detalles de la red.

Tabla de asignación de UDM

¿Necesitas más ayuda? Recibe respuestas de los miembros de la comunidad y de los profesionales de Google SecOps.