收集 Netgate pfSense 記錄

本文說明如何使用 Google Security Operations 轉送器收集 Netgate pfSense 記錄。

詳情請參閱「將資料擷取至 Google SecOps」。

擷取標籤會識別剖析器，該剖析器會將原始記錄資料正規化為結構化 UDM 格式。本文件中的資訊適用於具有 PFSENSE 攝入標籤的剖析器。

設定 Netgate pfSense

1. 使用管理員憑證登入 pfSense 介面。
2. 在「Global log」(全域記錄) 設定中，執行下列操作：
   1. 依序選取「狀態」>「系統記錄」>「設定」。
   2. 在「設定」分頁中，選取「一般記錄選項」，然後執行下列操作：
      1. 在「記錄訊息格式」欄位中，選取「syslog (RFC 5424，含 RFC 3339 微秒精確度時間戳記)」。
      2. 在「記錄防火牆預設封鎖」欄位中，勾選下列核取方塊：
         • 規則集中預設封鎖規則相符的記錄檔封包
         • 記錄檔封包符合規則集中預設的傳遞規則
         • 記錄遭「封鎖虛假網路」規則封鎖的封包
         • 記錄遭「封鎖私人網路」規則封鎖的封包
3. 如要儲存新設定，請按一下「儲存」。

將防火牆記錄傳送至 Google SecOps

1. 在「全域記錄」設定中，依序選取「狀態」>「系統記錄」>「設定」。
2. 在「設定」分頁中，選取「遠端記錄選項」，然後執行下列操作：
   • 在「啟用遠端記錄」欄位中，勾選「將記錄訊息傳送至遠端系統記錄伺服器」核取方塊。
   • 保留「來源位址」欄位的預設值「任何」。
   • 在「IP Protocol」(IP 通訊協定) 欄位中，如果來源地址已選取為預設值，則不需要指定 IP 位址。否則請輸入 IP 位址。
   • 在「Remote log servers」(遠端記錄伺服器) 中，指定 Google SecOps 轉寄站 IP 位址。
   • 在「Remote syslog contents」(遠端系統記錄內容) 中，選取「Firewall events」(防火牆事件) 核取方塊。
3. 如要儲存變更，請按一下「儲存」。

設定 Google SecOps 轉送器，擷取 Netgate pfSense 記錄

1. 依序選取「SIEM 設定」>「轉送器」。
2. 按一下「新增轉寄者」。
3. 在「轉寄者名稱」欄位中，輸入轉寄者的專屬名稱。
4. 依序點選「提交」和「確認」。轉送器新增完成後，系統會顯示「新增收集器設定」視窗。
5. 在「Collector name」(收集器名稱) 欄位中，輸入收集器的專屬名稱。
6. 選取「pfSense」做為「記錄類型」。
7. 在「收集器類型」欄位中，選取「Syslog」。
8. 設定下列必要輸入參數：
   • 通訊協定：指定收集器用來監聽系統記錄資料的連線通訊協定。
   • 地址：指定收集器所在位置的目標 IP 位址或主機名稱，並監聽系統記錄資料。
   • 通訊埠：指定收集器所在位置的目標通訊埠，並監聽系統記錄資料。
9. 按一下「提交」。

如要進一步瞭解 Google SecOps 轉送器，請參閱「透過 Google SecOps 使用者介面管理轉送器設定」。

如果在建立轉寄者時遇到問題，請與 Google SecOps 支援團隊聯絡。

欄位對應參考資料

這個 pfSense 防火牆剖析器會使用 grok 模式從系統記錄訊息中擷取欄位，並處理各種記錄格式，包括 DHCP 和防火牆事件。接著，系統會將這些擷取的欄位對應至 UDM，並以 IP 位址、MAC 位址、使用者名稱和網路詳細資料等背景資訊擴充資料。

UDM 對應表

還有其他問題嗎？向社群成員和 Google SecOps 專業人員尋求答案。