Recopila registros de la AUA de Sophos

En este documento, se describe cómo puedes recopilar registros de la AUA de Sophos con un reenviador de Google Security Operations.

Para obtener más información, consulta Transferencia de datos a Google Security Operations.

Una etiqueta de transferencia identifica el analizador que normaliza los datos de registro sin procesar al formato estructurado del UDM. La información de este documento se aplica al analizador con la etiqueta de transferencia SOPHOS_UTM.

Configura el punto de la AUA de Sophos

1. Accede a la consola de Sophos UTM con las credenciales de administrador.
2. Selecciona Registros y generación de informes > Configuración de registros. La pestaña Registro local está habilitada de forma predeterminada.
3. Haz clic en la pestaña Servidor syslog remoto.
4. Haz clic en el botón de activación para habilitar la pestaña Servidor syslog remoto.

5. En la sección Configuración de syslog remoto, en el campo Servidores de syslog, agrega o modifica la configuración del servidor de syslog:

   • Para agregar la configuración del servidor de Syslog, haz clic en + Agregar servidor de syslog.

     En el diálogo Agregar servidor de syslog, haz lo siguiente:

     1. En el campo Nombre, ingresa el nombre del servidor de syslog.
     2. En el campo Server, ingresa los detalles del servidor syslog.
     3. En el campo Puerto, ingresa los detalles del puerto del servidor syslog.
     4. Haz clic en Guardar.

   • Para modificar la configuración del servidor Syslog, haz clic en Editar y, luego, actualiza la configuración.

6. En el campo Remote syslog buffer, ingresa el valor predeterminado, como 1000.

7. En la sección Selección de registro de syslog remoto, selecciona los siguientes registros que se deben enviar al servidor de syslog remoto:

   • Protección avanzada contra amenazas
   • Daemon de configuración
   • Firewall
   • Sistema de prevención contra intrusiones
   • Accesos locales
   • Subsistema de registro
   • Mensajes del sistema
   • Daemon de autenticación de usuarios
   • Filtrado web

8. Haz clic en Aplicar para guardar los cambios.

Configura el reenviador de Google Security Operations para transferir registros de la AUA de Sophos

1. Ve a Configuración de SIEM > Redireccionamientos.
2. Haz clic en Agregar nuevo remitente.
3. En el campo Nombre del reenviador, ingresa un nombre único para el reenviador.
4. Haz clic en Enviar. Se agregará el reenviador y aparecerá la ventana Add collector configuration.
5. En el campo Nombre del recopilador, escribe un nombre.
6. Selecciona Sophos UTM como el Tipo de registro.
7. Selecciona Syslog como el tipo de recopilador.
8. Configura los siguientes parámetros de entrada obligatorios:
   • Protocolo: Especifica el protocolo de conexión que usará el recopilador para escuchar los datos de syslog.
   • Dirección: Especifica la dirección IP o el nombre de host de destino donde reside el recopilador y escucha los datos de syslog.
   • Puerto: Especifica el puerto de destino en el que reside el recopilador y escucha los datos de syslog.
9. Haz clic en Enviar.

Para obtener más información sobre los reenvío de Google Security Operations, consulta la documentación de reenvío de Google Security Operations.

Para obtener información sobre los requisitos de cada tipo de reenviador, consulta Configuración del reenviador por tipo.

Si tienes problemas cuando creas reenvío de mensajes, comunícate con el equipo de asistencia de Operaciones de seguridad de Google.

Referencia de la asignación de campos

Este analizador de la AUA de Sophos extrae pares clave-valor y otros campos de los registros del firewall de la AUA de Sophos y los convierte al formato de la AUA. Controla varios tipos de registros, incluidos los eventos de firewall, los eventos de DHCP y los eventos de acceso y salida de los usuarios, asignando campos relevantes a sus contrapartes de la AUA correspondientes y enriqueciendo los datos con contexto adicional.

Tabla de asignación de UDM

Cambios

2024-05-29

• Mejora:
• Se asignó "url" a "target.hostname" y "target.asset.hostname".

2022-06-30

• Mejora:
• Se asignó "size" a "additional.fields".
• Se asignó "fullreqtime" a "additional.fields".
• Se asignó "category" a "security_result.detection_fields".
• Se asignó "device" a "additional.fields".
• Se asignó "exceptions" a "additional.fields".
• Cuando "action" es igual a "DROP", se asigna "security_result.action" a "BLOCK".
• Se asignó "inter_host" a "intermediary.hostname".

13-4-2022

• Mejora: Se agregaron asignaciones para los siguientes campos:
• 'categoryname' a 'security_result.category_details'.
• "user" a "target.user.userid"
• De "ad_domain" a "target.administrative_domain"
• "group" a "target.group.group_display_name"
• De "sys" a "metadata.product_event_type"
• "application" a "principal.application"
• De "auth" a "extensions.auth.auth_details"
• "profile" a "security_result1.rule_name"
• 'app-id', 'reputation', 'request', 'authtime', 'dnstime', 'aptptime', 'cattime', 'avscantime' a 'additional.fields'