Recoger registros de cortafuegos de OPNsense

Este analizador extrae campos de los registros del cortafuegos de OPNsense (formatos syslog y CSV) y los asigna al UDM. Utiliza el análisis grok y CSV para los registros de aplicaciones "filterlog", gestionando diferentes formatos de registro y protocolos de red (TCP, UDP, ICMP, etc.) para rellenar campos de UDM como principal, target, network y security_result. También añade metadatos, como el nombre del proveedor y del producto, y determina el tipo de evento en función de la presencia de información principal y de destino.

Antes de empezar

• Asegúrate de que tienes una instancia de Google Security Operations.
• Asegúrate de tener acceso con privilegios a la interfaz web de OPNsense.

Obtener el archivo de autenticación de ingestión de Google SecOps

1. Inicia sesión en la consola de Google SecOps.
2. Ve a Configuración de SIEM > Agentes de recogida.
3. Descarga el archivo de autenticación de ingestión.

Obtener el ID de cliente de Google SecOps

1. Inicia sesión en la consola de Google SecOps.
2. Ve a Configuración de SIEM > Perfil.
3. Copia y guarda el ID de cliente de la sección Detalles de la organización.

Instalar el agente de Bindplane

1. Para instalar en Windows, ejecuta la siguiente secuencia de comandos:
   msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet
2. Para instalar Linux, ejecuta la siguiente secuencia de comandos:
   sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh
3. Puedes consultar otras opciones de instalación en esta guía de instalación.

Configurar el agente de Bindplane para ingerir Syslog y enviarlo a Google SecOps

1. Accede al equipo en el que está instalado el agente de Bindplane.

2. Edita el archivo config.yaml de la siguiente manera:

   receivers:
     tcplog:
       # Replace the below port <54525> and IP (0.0.0.0) with your specific values
       listen_address: "0.0.0.0:54525" 
   
   exporters:
       chronicle/chronicle_w_labels:
           compression: gzip
           # Adjust the creds location below according the placement of the credentials file you downloaded
           creds: '{ json file for creds }'
           # Replace <customer_id> below with your actual ID that you copied
           customer_id: <customer_id>
           endpoint: malachiteingestion-pa.googleapis.com
           # You can apply ingestion labels below as preferred
           ingestion_labels:
           log_type: SYSLOG
           namespace: testNamespace
           raw_log_field: body
   service:
       pipelines:
           logs/source0__chronicle_w_labels-0:
               receivers:
                   - tcplog
               exporters:
                   - chronicle/chronicle_w_labels
   

3. Reinicia el agente de Bindplane para aplicar los cambios con el siguiente comando: sudo systemctl bindplane restart

Añadir la configuración del servidor Syslog a OPNsense

1. Inicia sesión en la interfaz web de OPNsense.
2. Ve a Sistema > Ajustes > Registro.
3. En la sección Registro remoto, habilita Enviar registros al servidor syslog remoto marcando la casilla.
4. En el campo Servidores Syslog remotos, introduce la dirección IP del servidor Syslog, incluido el PUERTO (por ejemplo, 10.10.10.10:54525).
5. Seleccione Local0 como instalación syslog.

6. Define el nivel de Syslog como Alerta.

7. Haz clic en Guardar para aplicar los cambios.

Tabla de asignación de UDM

¿Necesitas más ayuda? Recibe respuestas de los miembros de la comunidad y de los profesionales de Google SecOps.