SonicWall-Protokolle erfassen

Unterstützt in:

In diesem Dokument wird beschrieben, wie Sie SonicWall-Logs mit einem Google Security Operations-Weiterleiter erfassen.

Weitere Informationen finden Sie unter Datenaufnahme in Google Security Operations.

Mit einem Datenaufnahmelabel wird der Parser identifiziert, der Roh-Logdaten in das strukturierte UDM-Format normalisiert. Die Informationen in diesem Dokument beziehen sich auf den Parser mit dem Datenaufnahmelabel SONIC_FIREWALL.

SonicWall-Sicherheits-Appliance konfigurieren

  1. Melden Sie sich in der SonicWall-Konsole an.
  2. Klicken Sie auf Protokoll > Syslog.
  3. Klicken Sie im Bereich Syslog-Server auf Hinzufügen. Das Fenster Syslog-Server hinzufügen wird angezeigt.
  4. Geben Sie im Feld Name oder IP-Adresse den Hostnamen oder die IP-Adresse des Google Security Operations-Weiterleitungsservers an.
  5. Wenn in Ihrer syslog-Konfiguration nicht der Standardport 514 verwendet wird, geben Sie im Feld Portnummer die Portnummer an.
  6. Klicken Sie auf OK.
  7. Klicken Sie auf Akzeptieren, um alle syslog-Servereinstellungen zu speichern.

Google Security Operations-Weiterleitung und syslog für die Aufnahme von SonicWall-Protokollen konfigurieren

  1. Gehen Sie zu SIEM-Einstellungen > Weiterleitungen.
  2. Klicken Sie auf Neuen Weiterleiter hinzufügen.
  3. Geben Sie im Feld Name des Absenders einen eindeutigen Namen für den Absender ein.
  4. Klicken Sie auf Senden. Der Weiterleiter wird hinzugefügt und das Fenster Aufnehmerkonfiguration hinzufügen wird angezeigt.
  5. Geben Sie im Feld Name des Datensammlers einen Namen ein.
  6. Wählen Sie SonicWall als Logtyp aus.
  7. Wählen Sie Syslog als Typ des Collectors aus.
  8. Konfigurieren Sie die folgenden obligatorischen Eingabeparameter:
    • Protokoll: Geben Sie das Verbindungsprotokoll an, das der Collector zum Abhören von syslog-Daten verwendet.
    • Address (Adresse): Geben Sie die Ziel-IP-Adresse oder den Ziel-Hostnamen an, an dem sich der Collector befindet und auf syslog-Daten wartet.
    • Port: Gibt den Zielport an, an dem sich der Collector befindet und auf syslog-Daten wartet.
  9. Klicken Sie auf Senden.

Weitere Informationen zu Google Security Operations-Weiterleitungen finden Sie in der Dokumentation zu Google Security Operations-Weiterleitungen.

Informationen zu den Anforderungen für die einzelnen Weiterleitungstypen finden Sie unter Weiterleitungskonfiguration nach Typ.

Wenn beim Erstellen von Weiterleitungen Probleme auftreten, wenden Sie sich an den Google Security Operations-Support.

Referenz für die Feldzuordnung

Dieser Parser extrahiert Schlüssel/Wert-Paare aus SonicWall-Firewall-Syslog-Nachrichten, normalisiert verschiedene Felder wie Zeitstempel, IP-Adressen und Ports und ordnet sie dem UDM-Format zu. Es verarbeitet sowohl IPv4- als auch IPv6-Adressen, unterscheidet zwischen zulässigen und blockierten Ereignissen und extrahiert sicherheitsrelevante Details wie Regelnamen und ‑beschreibungen.

UDM-Zuordnungstabelle

Logfeld UDM-Zuordnung Logik
Agent event.idm.read_only_udm.network.http.user_agent Der Wert des Felds agent wird dem UDM-Feld zugewiesen.
appcat event.idm.read_only_udm.security_result.summary Der Wert des Felds appcat wird dem UDM-Feld zugewiesen. Wenn appcat „PROXY-ACCESS“ enthält, wird event.idm.read_only_udm.security_result.category auf „POLICY_VIOLATION“ und event.idm.read_only_udm.security_result.action auf „BLOCK“ festgelegt.
appid event.idm.read_only_udm.security_result.rule_id Der Wert des Felds appid wird dem UDM-Feld zugewiesen.
arg event.idm.read_only_udm.target.resource.name Der Wert des Felds arg wird dem UDM-Feld zugewiesen.
avgThroughput event.idm.read_only_udm.target.resource.attribute.labels Dem UDM-Feld wird ein Label mit dem Schlüssel „avgThroughput“ und dem Wert aus dem Feld avgThroughput hinzugefügt.
bytesIn event.idm.read_only_udm.network.received_bytes Der Wert des Felds bytesIn wird in eine vorzeichenlose Ganzzahl konvertiert und dem UDM-Feld zugewiesen.
bytesOut event.idm.read_only_udm.network.sent_bytes Der Wert des Felds bytesOut wird in eine vorzeichenlose Ganzzahl konvertiert und dem UDM-Feld zugewiesen.
bytesTotal event.idm.read_only_udm.target.resource.attribute.labels Dem UDM-Feld wird ein Label mit dem Schlüssel „bytesTotal“ und dem Wert aus dem Feld bytesTotal hinzugefügt.
Kategorie event.idm.read_only_udm.security_result.category_details Der Wert des Felds Category wird dem UDM-Feld zugewiesen.
cdur event.idm.read_only_udm.security_result.detection_fields Dem UDM-Feld wird ein Erkennungsfeld mit dem Schlüssel „Verbindungsdauer (Millisekunden)“ und dem Wert aus dem Feld cdur hinzugefügt.
dst event.idm.read_only_udm.target.ip, event.idm.read_only_udm.target.port IP und Port werden aus dem Feld dst extrahiert. Wenn dstV6 nicht leer ist, wird die IP-Adresse stattdessen aus dstV6 extrahiert.
dstMac event.idm.read_only_udm.target.mac Der Wert des Felds dstMac wird dem UDM-Feld zugewiesen.
dstV6 event.idm.read_only_udm.target.ip Die IP-Adresse wird aus dem Feld dstV6 extrahiert.
dstname event.idm.read_only_udm.target.hostname Wenn dstname keine IP-Adresse ist, wird ihr Wert dem UDM-Feld zugewiesen.
Dauer event.idm.read_only_udm.network.session_duration.seconds Der Wert des Felds duration wird in eine Ganzzahl konvertiert und dem UDM-Feld zugewiesen.
fw event.idm.read_only_udm.principal.ip Der Wert des Felds fw wird dem UDM-Feld zugewiesen. Wenn fw „-“ enthält, wird event.idm.read_only_udm.additional.fields ein Label mit dem Schlüssel „fw“ und dem Wert aus dem Feld fw hinzugefügt.
fw_action event.idm.read_only_udm.security_result.action_details, event.idm.read_only_udm.security_result.summary, event.idm.read_only_udm.security_result.action Der Wert des Felds fw_action wird event.idm.read_only_udm.security_result.action_details zugewiesen. Wenn fw_action „drop“ ist, wird event.idm.read_only_udm.security_result.action auf „BLOCK“ und event.idm.read_only_udm.security_result.summary auf den Wert von msg gesetzt.
gw event.idm.read_only_udm.intermediary.ip Die IP-Adresse wird aus dem Feld gw extrahiert und dem UDM-Feld zugewiesen.
id event.idm.read_only_udm.principal.hostname, event.idm.read_only_udm.principal.asset.hostname Der Wert des Felds id wird beiden UDM-Feldern zugewiesen.
maxThroughput event.idm.read_only_udm.target.resource.attribute.labels Dem UDM-Feld wird ein Label mit dem Schlüssel „maxThroughput“ und dem Wert aus dem Feld maxThroughput hinzugefügt.
msg event.idm.read_only_udm.security_result.summary, event.idm.read_only_udm.metadata.description Wenn fw_action nicht „drop“ ist oder appcat leer ist, wird der Wert des Felds msg event.idm.read_only_udm.security_result.summary zugewiesen. Andernfalls wird er event.idm.read_only_udm.metadata.description zugewiesen.
natDst event.idm.read_only_udm.target.nat_ip Die IP-Adresse wird aus dem Feld natDst extrahiert und dem UDM-Feld zugewiesen.
natSrc event.idm.read_only_udm.principal.nat_ip Die IP-Adresse wird aus dem Feld natSrc extrahiert und dem UDM-Feld zugewiesen.
Hinweis event.idm.read_only_udm.security_result.description Der Wert des Felds note wird dem UDM-Feld zugewiesen, nachdem dstip, srcip, gw und sec_desc extrahiert wurden.
packetsIn event.idm.read_only_udm.target.resource.attribute.labels Dem UDM-Feld wird ein Label mit dem Schlüssel „packetsIn“ und dem Wert aus dem Feld packetsIn hinzugefügt.
packetsOut event.idm.read_only_udm.target.resource.attribute.labels Dem UDM-Feld wird ein Label mit dem Schlüssel „packetsOut“ und dem Wert aus dem Feld packetsOut hinzugefügt.
packetsTotal event.idm.read_only_udm.target.resource.attribute.labels Dem UDM-Feld wird ein Label mit dem Schlüssel „packetsTotal“ und dem Wert aus dem Feld packetsTotal hinzugefügt.
pri event.idm.read_only_udm.security_result.severity Der Wert des Felds pri bestimmt den Wert des UDM-Felds: 0, 1, 2 = KRITISCH; 3 = FEHLER; 4 = MITTEL; 5, 7 = GERING; 6 = INFORMATIONSMELDUNG.
Proto event.idm.read_only_udm.network.ip_protocol, event.idm.read_only_udm.network.application_protocol, event.idm.read_only_udm.metadata.event_type Wenn proto „udp“ enthält, ist die UDM ip_protocol auf „UDP“ und event_type auf „NETWORK_CONNECTION“ festgelegt. Wenn proto „https“ enthält, wird die UDM application_protocol auf „HTTPS“ festgelegt.
rcvd event.idm.read_only_udm.network.received_bytes Der Wert des Felds rcvd wird in eine vorzeichenlose Ganzzahl konvertiert und dem UDM-Feld zugewiesen.
Regel event.idm.read_only_udm.security_result.rule_name Der Wert des Felds rule wird dem UDM-Feld zugewiesen.
sec_desc event.idm.read_only_udm.security_result.description Der Wert des Felds sec_desc wird dem UDM-Feld zugewiesen.
sent event.idm.read_only_udm.network.sent_bytes Der Wert des Felds sent wird in eine vorzeichenlose Ganzzahl konvertiert und dem UDM-Feld zugewiesen.
sess event.idm.read_only_udm.security_result.detection_fields Dem UDM-Feld wird ein Erkennungsfeld mit dem Schlüssel „Sitzungstyp“ und dem Wert aus dem Feld sess hinzugefügt.
sn event.idm.read_only_udm.additional.fields Dem UDM-Feld wird ein Label mit dem Schlüssel „SN“ und dem Wert aus dem Feld sn hinzugefügt.
spkt event.idm.read_only_udm.network.sent_packets Der Wert des Felds spkt wird in eine Ganzzahl konvertiert und dem UDM-Feld zugewiesen.
src event.idm.read_only_udm.principal.ip, event.idm.read_only_udm.principal.port IP und Port werden aus dem Feld src extrahiert. Wenn srcV6 nicht leer ist, wird die IP-Adresse stattdessen aus srcV6 extrahiert.
srcMac event.idm.read_only_udm.principal.mac Der Wert des Felds srcMac wird dem UDM-Feld zugewiesen.
srcV6 event.idm.read_only_udm.principal.ip Die IP-Adresse wird aus dem Feld srcV6 extrahiert.
srcip event.idm.read_only_udm.additional.fields, event.idm.read_only_udm.principal.ip Wenn srcip „-“ enthält, wird event.idm.read_only_udm.additional.fields ein Label mit dem Schlüssel „srcip“ und dem Wert aus dem Feld srcip hinzugefügt. Andernfalls wird event.idm.read_only_udm.principal.ip der Wert srcip zugewiesen.
Zeit event.idm.read_only_udm.metadata.event_timestamp Der Wert des Felds time wird analysiert und in einen Zeitstempel konvertiert, der dann dem UDM-Feld zugewiesen wird.
Typ event.idm.read_only_udm.network.ip_protocol Wenn das Feld proto „icmp“ ist, wird das UDM-Feld auf „ICMP“ gesetzt.
user/usr event.idm.read_only_udm.principal.user.email_addresses, event.idm.read_only_udm.principal.user.user_display_name, event.idm.read_only_udm.principal.user.userid Wenn user leer ist, wird stattdessen der Wert von usr verwendet. Wenn der Wert „@“ enthält, wird er als E-Mail-Adresse behandelt und zu email_addresses hinzugefügt. Wenn er ein Leerzeichen enthält, wird er als Anzeigename behandelt. Andernfalls wird sie als User-ID behandelt.
vpnpolicy event.idm.read_only_udm.security_result.detection_fields Dem UDM-Feld wird ein Erkennungsfeld mit dem Schlüssel „vpnpolicy“ und dem Wert aus dem Feld vpnpolicy hinzugefügt. „SonicWall“ ist hartcodiert. „Firewall“ ist hartcodiert. Hartcodiert auf „SONIC_FIREWALL“. Wird anhand einer Logik basierend auf den Werten anderer Felder bestimmt. Standardmäßig ist „GENERIC_EVENT“ festgelegt. Es kann auch „STATUS_UPDATE“, „NETWORK_CONNECTION“ oder „NETWORK_HTTP“ sein.

Änderungen

2024-06-04

  • Die Ausrichtung von „principal.asset.ip“ und „target.asset.ip“ wurde entfernt.
  • Wenn der IP-Wert im Bereichsformat ist, werden „src“ und „dst“ zu „additional.fields“ zugeordnet.
  • „gw“ wurde „intermediary.ip“ zugeordnet.

2024-05-29

  • Der Grok-Filter wurde so geändert, dass das Feld „sn“ geparst wird.
  • „sn“ wurde „intermediary.asset_id“ zugeordnet.

2024-05-29

  • „firewall_hostname“ wurde „intermediary.hostname“ zugeordnet.
  • Das Grok-Muster wurde geändert, um das Feld „sn“ zu parsen.
  • „sn“ wurde „intermediary.asset_id“ zugeordnet.

2024-04-18

  • Die Zuordnung von „fw“ von „observer.ip“ zu „principal.ip“ geändert.
  • Die Zuordnung von „id“ wurde von „resource.id“ zu „principal.hostname“ geändert.

2023-05-26

  • Verbesserung –
  • „fw_action“ wurde „security_result.action_details“ zugeordnet.
  • „spkt“ wurde in „network.sent_packets“ umgewandelt.

2023-03-08

  • Verbesserung –
  • Dem Feld „Nutzer“ wurde eine Bedingungsüberprüfung hinzugefügt, um das entsprechende Feld zu parsen (z.B. principal.user.email_addresses oder principal.user.user_display_name oder principal.user.userid).
  • „pri“ wurde aus „security_result.detection_fields“ entfernt und „security_result.severity“ zugeordnet.
  • „usr“ wurde „principal.user.email_addresses“ zugeordnet.
  • Das Feld „vpnpolicy“ wurde in „security_result.detection_fields“ geändert.
  • Das Feld „cdur“ wurde in „security_result.detection_fields“ geändert.
  • Das Feld „sess“ wurde „security_result.detection_fields“ zugeordnet.

2023-03-06

  • Verbesserung –
  • „fw“ wurde „observer.ip“ statt „target.ip“ zugeordnet.

2023-02-22

  • Verbesserung –
  • Bei Ereignissen wird der Traffic als „NETWORK_HTTP“ geparst und stattdessen „NETWORK_CONNECTION“ zugeordnet, wenn das Protokoll nicht HTTP ist.
  • „msg“ wurde „security_result.summary“ zugeordnet, wenn „fw_action“ mit „drop“ übereinstimmt. „BLOCK“ wurde „security_result.action“ zugeordnet.
  • „fw“ wurde „observer.ip“ und „src“ „principal.ip“ zugeordnet.

2022-06-24

  • Verbesserung –
  • „msg“ wurde „security_result.summary“ zugeordnet.
  • Wenn „fw_action“ mit „drop“ übereinstimmt, wird „BLOCK“ zu „security_result.action“ zugeordnet.
  • „sent“ wurde in „network.sent_bytes“ geändert.
  • „rcvd“ wurde in „network.received_bytes“ umgewandelt.
  • „usr“ wurde „principal.user.userid“ zugeordnet.
  • „pri“ wurde „additional.fields“ zugeordnet.
  • „sn“ wurde „additional.fields“ zugeordnet.
  • „id“ wurde „target.resource.id“ zugeordnet.

2022-05-26

  • Fehlerkorrektur:
  • Dauer wurde auf „network.session_duration.seconds“ zugeordnet.
  • Nutzer wurde principal.user.userid zugeordnet.
  • Agent wurde network.http.user_agent zugeordnet.
  • „avgThroughput“ wurde „target.resource.attribute.labels“ zugeordnet.
  • „bytesIn“ wurde in „network.sent_bytes“ zugeordnet.
  • „bytesOut“ wurde in „network.received_bytes“ umgewandelt.
  • „bytesTotal“ wurde auf „target.resource.attribute.labels“ zugeordnet.
  • „maxThroughput“ wurde „target.resource.attribute.labels“ zugeordnet.
  • dst wurde auf target.ip zugeordnet.
  • fw wurde principal.ip zugeordnet.
  • „pri“ wurde auf „event.idm.read_only_udm.additional.fields“ zugeordnet.

2022-05-19

  • Verbesserung: Der Parser wurde von SDM zu UDM konvertiert (Zuordnung von Webproxy-Feldern zu Ereignisfeldern geändert).

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten