Recopila registros de Sophos UTM

En este documento, se describe cómo puedes recopilar registros de Sophos UTM con un retransmisor de Google Security Operations.

Para obtener más información, consulta Transferencia de datos a Google Security Operations.

Una etiqueta de transferencia identifica el analizador que normaliza los datos de registro sin procesar en formato UDM estructurado. La información de este documento se aplica al analizador con la etiqueta de transferencia SOPHOS_UTM.

Configura el punto de UTM de Sophos

1. Accede a la consola de Sophos UTM con credenciales de administrador.
2. Selecciona Logging & reporting > Log settings. La pestaña Registro local está habilitada de forma predeterminada.
3. Haz clic en la pestaña Servidor syslog remoto.
4. Haz clic en el botón de activación para habilitar la pestaña Servidor syslog remoto.

5. En la sección Configuración de syslog remoto, en el campo Servidores de syslog, agrega o modifica la configuración del servidor de syslog:

   • Para agregar la configuración del servidor Syslog, haz clic en + Agregar servidor Syslog.

     En el cuadro de diálogo Agregar servidor syslog, haz lo siguiente:

     1. En el campo Nombre, ingresa el nombre del servidor syslog.
     2. En el campo Servidor, ingresa los detalles del servidor syslog.
     3. En el campo Puerto, ingresa los detalles del puerto del servidor syslog.
     4. Haz clic en Guardar.

   • Para modificar la configuración del servidor Syslog, haz clic en Editar y, luego, actualiza la configuración.

6. En el campo Búfer de syslog remoto, ingresa el valor predeterminado, como 1,000.

7. En la sección Selección de registros de syslog remoto, selecciona los siguientes registros que se deben enviar al servidor de syslog remoto:

   • Protección avanzada contra amenazas
   • Daemon de configuración
   • Firewall
   • Sistema de prevención contra intrusiones
   • Acceso local
   • Subsistema de registro
   • Mensajes del sistema
   • Daemon de autenticación de usuarios
   • Filtrado web

8. Haz clic en Aplicar para guardar los cambios.

Configura el reenvío de Google Security Operations para transferir registros de Sophos UTM

1. Ve a Configuración del SIEM > Reenviadores.
2. Haz clic en Agregar un nuevo reenvío.
3. En el campo Nombre del reenviador, ingresa un nombre único para el reenviador.
4. Haz clic en Enviar. Se agregará el reenvío y aparecerá la ventana Add collector configuration.
5. En el campo Nombre del recopilador, escribe un nombre.
6. Selecciona Sophos UTM como el Tipo de registro.
7. Selecciona Syslog como el Tipo de recopilador.
8. Configura los siguientes parámetros de entrada obligatorios:
   • Protocolo: Especifica el protocolo de conexión que usará el recopilador para escuchar los datos de syslog.
   • Dirección: Especifica la dirección IP o el nombre de host de destino en el que reside el recopilador y escucha los datos de syslog.
   • Puerto: Especifica el puerto de destino en el que reside el recopilador y escucha los datos de syslog.
9. Haz clic en Enviar.

Para obtener más información sobre los retransmisores de Google Security Operations, consulta la documentación de los retransmisores de Google Security Operations.

Para obtener información sobre los requisitos de cada tipo de reenvío, consulta Configuración del reenvío por tipo.

Si tienes problemas para crear reenvíos, comunícate con el equipo de asistencia de Operaciones de seguridad de Google.

Referencia de la asignación de campos

Este analizador de UTM de Sophos extrae pares clave-valor y otros campos de los registros del firewall de UTM de Sophos, y los convierte al formato de UDM. Maneja varios tipos de registros, incluidos los eventos de firewall, los eventos de DHCP y los eventos de inicio y cierre de sesión del usuario, asignando los campos pertinentes a sus contrapartes correspondientes en el UDM y enriqueciendo los datos con contexto adicional.

Tabla de asignación de UDM

¿Necesitas más ayuda? Obtén respuestas de miembros de la comunidad y profesionales de Google SecOps.