收集 Netgate pfSense 日志

本文档介绍如何使用 Google Security Operations 转发器收集 Netgate pfSense 日志。

如需了解详情，请参阅将数据提取到 Google SecOps。

注入标签用于标识将原始日志数据标准化为结构化 UDM 格式的解析器。本文档中的信息适用于具有 PFSENSE 注入标签的解析器。

配置 Netgate pfSense

1. 使用管理员凭据登录 pfSense 界面。
2. 在全局日志设置中，执行以下操作：
   1. 依次选择状态 > 系统日志 > 设置。
   2. 在设置标签页上，选择常规日志记录选项，然后执行以下操作：
      1. 在日志消息格式字段中，选择 syslog（RFC 5424，具有 RFC 3339 微秒级精度的时间戳）。
      2. 在记录防火墙默认屏蔽字段中，选中以下复选框：
         • 记录规则集中默认屏蔽规则匹配的数据包
         • 从规则集中放置的默认传递规则中匹配的日志数据包
         • 记录被“屏蔽伪造网络”规则屏蔽的数据包
         • 被“屏蔽专用网络”规则屏蔽的日志数据包
3. 如需保存新设置，请点击保存。

将防火墙日志发送到 Google SecOps

1. 在全局日志设置中，依次选择状态 > 系统日志 > 设置。
2. 在设置标签页中，选择远程日志记录选项，然后执行以下操作：
   • 在启用远程日志记录字段中，选中将日志消息发送到远程 syslog 服务器复选框。
   • 在源地址字段中，将默认值保留为任意。
   • 在 IP 协议字段中，如果选择源地址作为默认值，则无需指定 IP 地址。否则，请输入 IP 地址。
   • 在远程日志服务器中，指定 Google SecOps 转发器的 IP 地址。
   • 在远程 Syslog 内容中，选中防火墙事件复选框。
3. 如需保存更改，请点击保存。

配置 Google SecOps 转发器以注入 Netgate pfSense 日志

1. 依次选择 SIEM 设置 > 转发器。
2. 点击添加新转发器。
3. 在转发器名称字段中，输入转发器的唯一名称。
4. 点击提交，然后点击确认。转发器已添加，系统会显示添加收集器配置窗口。
5. 在收集器名称字段中，为收集器输入一个唯一名称。
6. 选择 pfSense 作为日志类型。
7. 在收集器类型字段中，选择 Syslog。
8. 配置以下必需的输入参数：
   • 协议：指定收集器用于监听 syslog 数据的连接协议。
   • 地址：指定收集器所在并监听 syslog 数据的目标 IP 地址或主机名。
   • 端口：指定收集器所在的目标端口，以及收集器监听 syslog 数据的端口。
9. 点击提交。

如需详细了解 Google SecOps 转发器，请参阅通过 Google SecOps 界面管理转发器配置。

如果您在创建转发器时遇到问题，请与 Google SecOps 支持团队联系。

字段映射参考

此 pfSense 防火墙解析器使用 grok 模式从 syslog 消息中提取字段，可处理各种日志格式，包括 DHCP 和防火墙事件。然后，它会将这些提取的字段映射到 UDM，并使用 IP 地址、MAC 地址、用户名和网络详细信息等上下文信息来丰富数据。

UDM 映射表

需要更多帮助？从社区成员和 Google SecOps 专业人士那里获得解答。