Recopila registros de Netgate pfSense

En este documento, se describe cómo puedes recopilar los registros de Netgate pfSense con un reenviador de Google Security Operations.

Para obtener más información, consulta Transferencia de datos a Google SecOps.

Una etiqueta de transferencia identifica el analizador que normaliza los datos de registro sin procesar al formato estructurado del UDM. La información de este documento se aplica al analizador con la etiqueta de transferencia PFSENSE.

Configura Netgate pfSense

1. Accede a la interfaz de pfSense con las credenciales de administrador.
2. En la configuración de Registro global, haz lo siguiente:
   1. Selecciona Estado > Registros del sistema > Configuración.
   2. En la pestaña Configuración, selecciona Opciones de registro generales y haz lo siguiente:
      1. En el campo Log message format, selecciona syslog (RFC 5424, con marcas de tiempo de precisión de microsegundos de RFC 3339).
      2. En el campo Registrar bloqueos predeterminados del firewall, selecciona las siguientes casillas de verificación:
         • Registra los paquetes que coinciden con las reglas de bloqueo predeterminadas del conjunto de reglas
         • Registro del paquete que coincide con las reglas de paso predeterminadas que se agregaron al conjunto de reglas
         • Registra los paquetes bloqueados por las reglas "Bloquear redes bogon"
         • Registra los paquetes bloqueados por las reglas "Bloquear redes privadas"
3. Para guardar la configuración nueva, haz clic en Guardar.

Envía los registros del firewall a Google SecOps

1. En la configuración del registro global, selecciona Estado > Registros del sistema > Configuración.
2. En la pestaña Configuración, selecciona Opciones de registro remoto y haz lo siguiente:
   • En el campo Habilitar registro remoto, selecciona la casilla de verificación Enviar mensajes de registro al servidor syslog remoto.
   • En el campo Dirección de origen, mantén el valor predeterminado como Cualquier.
   • En el campo Protocolo IP, si la dirección de origen se selecciona como el valor predeterminado, no es necesario que especifiques la dirección IP. De lo contrario, ingresa la dirección IP.
   • En Servidores de registros remotos, especifica la dirección IP del reenviador de SecOps de Google.
   • En Contenido de syslog remoto, selecciona la casilla de verificación Eventos de firewall.
3. Para guardar los cambios, haz clic en Guardar.

Configura el reenviador de Google SecOps para transferir registros de Netgate pfSense

1. Selecciona Configuración de SIEM > Redireccionamientos.
2. Haz clic en Agregar nuevo remitente.
3. En el campo Nombre del reenviador, ingresa un nombre único para el reenviador.
4. Haz clic en Enviar y, luego, en Confirmar. Se agregará el reenviador y aparecerá la ventana Add collector configuration.
5. En el campo Nombre del recopilador, escribe un nombre único para el recopilador.
6. Selecciona pfSense como el Tipo de registro.
7. En el campo Tipo de recopilador, selecciona Syslog.
8. Configura los siguientes parámetros de entrada obligatorios:
   • Protocolo: Especifica el protocolo de conexión que usa el recopilador para escuchar datos de syslog.
   • Dirección: Especifica la dirección IP o el nombre de host de destino donde reside el recopilador y escucha los datos de syslog.
   • Puerto: Especifica el puerto de destino en el que reside el recopilador y escucha los datos de syslog.
9. Haz clic en Enviar.

Para obtener más información sobre los reenvíos de Google SecOps, consulta Cómo administrar las configuraciones de reenvío a través de la IU de Google SecOps.

Si tienes problemas cuando creas reenvío de puertos, comunícate con el equipo de asistencia de SecOps de Google.

Referencia de la asignación de campos

Este analizador de firewall de pfSense extrae campos de los mensajes de syslog con patrones de grok y controla varios formatos de registro, incluidos los eventos de DHCP y firewall. Luego, asigna estos campos extraídos a la UDM y enriquece los datos con información contextual, como direcciones IP, direcciones MAC, nombres de usuario y detalles de la red.

Tabla de asignación de la UDM

Cambios

2024-05-08

• Se agregaron patrones de Grok para analizar el campo "description".
• Se asignó "principal_ip" a "principal.ip" y "principal.asset.ip".
• Se asignó "src_port" a "principal.port".
• Se asignó "compression_algo" a "additional.fields".
• Se asignó "status" a "security_result.detection_fields".
• Se asignó "principal_username" a "principal.user.userid".
• Se asignó "target_host" a "target.hostname" y "target.asset.hostname".

2023-05-05

• Se agregó la conversión a mayúsculas antes de asignar "network.ip_protocol".
• Se asignó "column18" a "principal.port" cuando el protocolo está presente en "column13".
• Se asignó "column19" a "target.port" cuando el protocolo está presente en "column13".
• Se asignó "column20" a "additional.fields" como "data-length" cuando el protocolo está presente en "column13".

2023-02-20

• Se agregó el patrón Grok para admitir el nuevo formato de registro de filtro y el formato syslog-ng.

2022-10-04

• Se volvió a asignar el nombre del dispositivo de firewall a intermediary.hostname en lugar de principal.hostname para los registros en los que event_types es "NETWORK_CONNECTION".

2022-09-05

• Enhancement-
• para los registros de formato CSV asignados a los siguientes campos.
• Se agregó el patrón grok para recuperar "IP" y "MAC".
• Se asignó "column19", que es "source-address", a "network.dhcp.yiaddr".
• Se asignó "security_result.action" a "ALLOW" cuando "column7" es igual a "pass".
• Cuando "column9" es igual a "6", que indica "IPv6", se asignan los siguientes campos:
• Se asignó "column17", que es "destination-address", a "target.ip".
• Se asignó "column16", que es "source-address", a "principal.ip".
• Se asignó "event_type" a "NETWORK_CONNECTION" cuando "column16" y "column17" no son nulos.
• Se asignó "column12", que es "hop_limit", a "additional.fields".
• Se asignó "column13", que es "ip_protocol", a "network.ip_protocol".
• Se migraron los analizadores personalizados al analizador predeterminado.
• Se agregó una verificación condicional para establecer "event_type" en "STATUS_UPDATE".

2022-06-30

• Se asignó "ttl" a "additional.fields".
• Se asignó "Id" a "additional.fields".
• Se asignó "Offset" a "additional.fields".
• Se asignó "Data length" a "additional.fields".
• Se asignó "Longitud" a "additional.fields".
• Se asignó "Sequence-number" a "additional.fields".

2022-04-11

• Analizador creado recientemente