Coletar registros do Netgate pfSense

Neste documento, descrevemos como coletar os registros do Netgate pfSense usando um encaminhador do Google Security Operations.

Para mais informações, consulte Ingestão de dados no Google SecOps.

Um rótulo de ingestão identifica o analisador que normaliza dados de registro brutos para o formato UDM estruturado. As informações neste documento se aplicam ao analisador com o rótulo de ingestão PFSENSE.

Configurar o Netgate pfSense

1. Faça login na interface do pfSense com as credenciais de administrador.
2. Nas configurações de Registro global, faça o seguinte:
   1. Selecione Status > Registros do sistema > Configurações.
   2. Na guia Configurações, selecione Opções gerais de geração de registros e faça o seguinte:
      1. No campo Formato da mensagem de registro, selecione syslog (RFC 5424, com carimbos de data/hora de precisão de microssegundos RFC 3339).
      2. No campo Registrar bloqueios padrão do firewall, marque as seguintes caixas de seleção:
         • Registrar pacotes correspondentes às regras de bloqueio padrão no conjunto de regras
         • Pacote de registro correspondente das regras de aprovação padrão inseridas no conjunto de regras
         • Registrar pacotes bloqueados pelas regras "Bloquear redes bogon"
         • Registrar pacotes bloqueados pelas regras "Bloquear redes particulares"
3. Para salvar as novas configurações, clique em Salvar.

Enviar os registros de firewall para o Google SecOps

1. Nas configurações de Registro global, selecione Status > Registros do sistema > Configurações.
2. Na guia Configurações, selecione Opções de geração de registros remotos e faça o seguinte:
   • No campo Ativar geração de registros remota, marque a caixa de seleção Enviar mensagens de registro para o servidor syslog remoto.
   • No campo Endereço de origem, mantenha o valor padrão como Qualquer.
   • No campo Protocolo IP, se o endereço de origem estiver selecionado como o valor padrão, não será necessário especificar o endereço IP. Caso contrário, insira o endereço IP.
   • Em Servidores de registros remotos, especifique o endereço IP do encaminhador do Google SecOps.
   • Em Conteúdo do syslog remoto, marque a caixa de seleção Eventos de firewall.
3. Para salvar as mudanças, clique em Salvar.

Configurar o encaminhador do Google SecOps para ingerir registros do Netgate pfSense

1. Selecione Configurações do SIEM > Encaminhadores.
2. Clique em Adicionar novo encaminhador.
3. No campo Nome do encaminhador, insira um nome exclusivo para ele.
4. Clique em Enviar e em Confirmar. O encaminhador é adicionado, e a janela Adicionar configuração do coletor aparece.
5. No campo Nome do coletor, digite um nome exclusivo para ele.
6. Selecione pfSense como o Tipo de registro.
7. No campo Tipo de coletor, selecione Syslog.
8. Configure os seguintes parâmetros de entrada obrigatórios:
   • Protocolo: especifique o protocolo de conexão que o coletor usa para detectar dados do syslog.
   • Endereço: especifique o endereço IP ou o nome do host de destino em que o coletor reside e escuta os dados do syslog.
   • Porta: especifique a porta de destino em que o coletor reside e detecta dados do syslog.
9. Clique em Enviar.

Para mais informações sobre os encaminhadores do Google SecOps, consulte Gerenciar configurações de encaminhadores na interface do Google SecOps.

Se você tiver problemas ao criar encaminhadores, entre em contato com o suporte do Google SecOps.

Referência de mapeamento de campos

Esse analisador de firewall pfSense extrai campos de mensagens syslog usando padrões grok, processando vários formatos de registro, incluindo eventos de DHCP e firewall. Em seguida, ele mapeia esses campos extraídos para a UDM, enriquecendo os dados com informações contextuais, como endereços IP, endereços MAC, nomes de usuário e detalhes da rede.

Tabela de mapeamento da UDM

Precisa de mais ajuda? Receba respostas de membros da comunidade e profissionais do Google SecOps.