Collecter les journaux Netgate pfSense

Ce document explique comment collecter les journaux Netgate pfSense à l'aide d'un transmetteur Google Security Operations.

Pour en savoir plus, consultez Ingérer des données dans Google SecOps.

Un libellé d'ingestion identifie l'analyseur qui normalise les données de journaux brutes au format UDM structuré. Les informations de ce document s'appliquent au parseur avec le libellé d'ingestion PFSENSE.

Configurer Netgate pfSense

1. Connectez-vous à l'interface pfSense avec des identifiants d'administrateur.
2. Dans les paramètres Journal global, procédez comme suit :
   1. Sélectionnez État > Journaux système > Paramètres.
   2. Dans l'onglet Paramètres, sélectionnez Options générales de journalisation, puis procédez comme suit :
      1. Dans le champ Format du message de journal, sélectionnez syslog (RFC 5424, avec des codes temporels RFC 3339 précis à la microseconde).
      2. Dans le champ Enregistrer les blocages par défaut du pare-feu, cochez les cases suivantes :
         • Enregistrer les paquets correspondant aux règles de blocage par défaut dans l'ensemble de règles
         • Paquet de journaux correspondant aux règles d'acceptation par défaut définies dans l'ensemble de règles
         • Consigner les paquets bloqués par les règles "Bloquer les réseaux bogon"
         • Consigner les paquets bloqués par les règles "Bloquer les réseaux privés"
3. Pour enregistrer les nouveaux paramètres, cliquez sur Enregistrer.

Envoyer les journaux du pare-feu à Google SecOps

1. Dans les paramètres Journal global, sélectionnez État > Journaux système > Paramètres.
2. Dans l'onglet Paramètres, sélectionnez Options de journalisation à distance, puis procédez comme suit :
   • Dans le champ Activer la journalisation à distance, cochez la case Envoyer les messages du journal au serveur syslog distant.
   • Dans le champ Adresse source, conservez la valeur par défaut Tout.
   • Dans le champ Protocole IP, si l'adresse source est sélectionnée comme valeur par défaut, vous n'avez pas besoin de spécifier l'adresse IP. Sinon, saisissez l'adresse IP.
   • Dans Serveurs de journaux à distance, spécifiez l'adresse IP du redirecteur Google SecOps.
   • Dans Contenu Syslog distant, cochez la case Événements de pare-feu.
3. Pour enregistrer les modifications, cliquez sur Enregistrer.

Configurer le redirecteur Google SecOps pour ingérer les journaux Netgate pfSense

1. Sélectionnez Paramètres SIEM > Transmetteurs.
2. Cliquez sur Ajouter un nouveau transfert.
3. Dans le champ Nom du transfert, saisissez un nom unique pour le transfert.
4. Cliquez sur Envoyer, puis sur Confirmer. Le redirecteur est ajouté et la fenêtre Ajouter une configuration de collecteur s'affiche.
5. Dans le champ Nom du collecteur, saisissez un nom unique pour le collecteur.
6. Sélectionnez pfSense comme type de journal.
7. Dans le champ Type de collecteur, sélectionnez Syslog.
8. Configurez les paramètres d'entrée obligatoires suivants :
   • Protocole : spécifiez le protocole de connexion que le collecteur utilise pour écouter les données syslog.
   • Adresse : spécifiez l'adresse IP ou le nom d'hôte cible où réside le collecteur et où il écoute les données syslog.
   • Port : spécifiez le port cible sur lequel le collecteur réside et écoute les données syslog.
9. Cliquez sur Envoyer.

Pour en savoir plus sur les répartiteurs Google SecOps, consultez Gérer les configurations de répartiteurs dans l'interface utilisateur Google SecOps.

Si vous rencontrez des problèmes lors de la création de transferts, contactez l'assistance Google SecOps.

Référence du mappage de champs

Ce parseur de pare-feu pfSense extrait les champs des messages syslog à l'aide de modèles grok, en gérant différents formats de journaux, y compris les événements DHCP et de pare-feu. Il mappe ensuite ces champs extraits à l'UDM, en enrichissant les données avec des informations contextuelles telles que les adresses IP, les adresses MAC, les noms d'utilisateur et les détails du réseau.

Table de mappage UDM

Vous avez encore besoin d'aide ? Obtenez des réponses de membres de la communauté et de professionnels Google SecOps.