Raccogliere i log di Netgate pfSense

Questo documento descrive come raccogliere i log di Netgate pfSense utilizzando un forwarder di Google Security Operations.

Per ulteriori informazioni, vedi Importazione dei dati in Google SecOps.

Un'etichetta di importazione identifica il parser che normalizza i dati di log non elaborati in formato UDM strutturato. Le informazioni contenute in questo documento si applicano al parser con l'etichetta di importazione PFSENSE.

Configura Netgate pfSense

1. Accedi all'interfaccia pfSense con le credenziali amministrative.
2. Nelle impostazioni Log globale, segui questi passaggi:
   1. Seleziona Stato > Log di sistema > Impostazioni.
   2. Nella scheda Impostazioni, seleziona Opzioni di logging generali e procedi nel seguente modo:
      1. Nel campo Formato messaggio di log, seleziona syslog (RFC 5424, con timestamp di precisione al microsecondo RFC 3339).
      2. Nel campo Registra blocchi predefiniti del firewall, seleziona le seguenti caselle di controllo:
         • Pacchetti di log corrispondenti alle regole di blocco predefinite nel ruleset
         • Pacchetto di log corrispondente alle regole di approvazione predefinite inserite nel ruleset
         • Registrare i pacchetti bloccati dalle regole "Blocca reti bogon"
         • Pacchetti di log bloccati dalle regole "Blocca reti private"
3. Per salvare le nuove impostazioni, fai clic su Salva.

Invia i log firewall a Google SecOps

1. Nelle impostazioni Log globale, seleziona Stato > Log di sistema > Impostazioni.
2. Nella scheda Impostazioni, seleziona Opzioni di logging remoto e procedi nel seguente modo:
   • Nel campo Abilita logging remoto, seleziona la casella di controllo Invia messaggi di log al server syslog remoto.
   • Nel campo Indirizzo di origine, lascia il valore predefinito Qualsiasi.
   • Nel campo Protocollo IP, se l'indirizzo di origine è selezionato come valore predefinito, non devi specificare l'indirizzo IP. Altrimenti, inserisci l'indirizzo IP.
   • In Remote log servers (Server di log remoti), specifica l'indirizzo IP del forwarder Google SecOps.
   • In Contenuti syslog remoto, seleziona la casella di controllo Eventi firewall.
3. Per salvare le modifiche, fai clic su Salva.

Configura il forwarder Google SecOps per importare i log Netgate pfSense

1. Seleziona Impostazioni SIEM > Forwarder.
2. Fai clic su Aggiungi nuovo inoltro.
3. Nel campo Nome del forwarder, inserisci un nome univoco per il forwarder.
4. Fai clic su Invia e poi su Conferma. Il forwarder viene aggiunto e viene visualizzata la finestra Aggiungi configurazione del raccoglitore.
5. Nel campo Nome del raccoglitore, digita un nome univoco per il raccoglitore.
6. Seleziona pfSense come Tipo di log.
7. Nel campo Tipo di raccoglitore, seleziona Syslog.
8. Configura i seguenti parametri di input obbligatori:
   • Protocollo: specifica il protocollo di connessione utilizzato dal collettore per ascoltare i dati syslog.
   • Indirizzo: specifica l'indirizzo IP o il nome host di destinazione in cui risiede il raccoglitore e ascolta i dati syslog.
   • Porta: specifica la porta di destinazione in cui risiede il raccoglitore e ascolta i dati syslog.
9. Fai clic su Invia.

Per saperne di più sui forwarder Google SecOps, consulta Gestire le configurazioni dei forwarder tramite la UI di Google SecOps.

Se riscontri problemi durante la creazione degli inoltri, contatta l'assistenza Google SecOps.

Riferimento alla mappatura dei campi

Questo parser del firewall pfSense estrae i campi dai messaggi syslog utilizzando i pattern grok, gestendo vari formati di log, inclusi eventi DHCP e firewall. Successivamente, mappa questi campi estratti nell'UDM, arricchendo i dati con informazioni contestuali come indirizzi IP, indirizzi MAC, nomi utente e dettagli di rete.

Tabella di mappatura UDM

Hai bisogno di ulteriore assistenza? Ricevi risposte dai membri della community e dai professionisti di Google SecOps.