« Snyk 模块 Suricata 模块 »

› ›

Sophos 模块

Sophos 模块

这是一个用于 Sophos 产品的模块，目前它接受以下设备的 syslog 格式日志或文件日志：

xg 文件集：支持 Sophos XG SFOS 日志。

要配置远程 syslog 目标，请参考 Sophos XG/SFOS 文档。

在 Sophos 配置中选择的 syslog 格式应为 Central Reporting Format。

阅读快速入门，了解如何配置和运行模块。

兼容性

此模块已针对 SFOS 版本 17.5.x、18.0.x 和 18.5.x 进行了测试。高于此版本以及 18.0 - 18.5 之间的版本预计可以工作，但尚未经过测试。

配置模块

您可以通过在 modules.d/sophos.yml 文件中指定变量设置或覆盖命令行中的设置来进一步优化 sophos 模块的行为。

您必须在模块中启用至少一个文件集。文件集默认情况下是禁用的。

变量设置

每个文件集都有单独的变量设置来配置模块的行为。如果您没有指定变量设置，sophos 模块将使用默认值。

对于高级用例，您还可以覆盖输入设置。请参见覆盖输入设置。

在命令行中指定设置时，请记住在设置前加上模块名称前缀，例如 sophos.xg.var.paths 而不是 xg.var.paths。

`xg` 文件集设置

Sophos XG 防火墙既不在 syslog 标头也不在正文中包含主机名，每个防火墙的唯一标识符只有相关的序列号。

下面您将看到一个示例配置文件，它设置默认主机名（如果配置文件中不包含序列号），以及如何将序列号映射到主机名的示例。

- module: sophos
  xg:
    enabled: true
    var.input: udp
    var.syslog_host: 0.0.0.0
    var.syslog_port: 9005
    var.default_host_name: firewall.localgroup.local
    var.known_devices:
      - serial_number: "1234567890123457"
        hostname: "a.host.local"
      - serial_number: "1234234590678557"
        hostname: "b.host.local"

var.paths: 指定查找日志文件位置的基于 glob 的路径数组。Go Glob 支持的所有模式在此处也受支持。例如，您可以使用通配符从预定义的子目录级别获取所有文件：/path/to/log/*/*.log。这将获取 /path/to/log 子文件夹中的所有 .log 文件。它不会获取 /path/to/log 文件夹本身的日志文件。如果此设置为空，Filebeat 将根据您的操作系统选择日志路径。
var.input: 要使用的输入，可以是 tcp、udp 或 file 值。
var.syslog_host: 监听所有 syslog 流量的接口。默认为 localhost。设置为 0.0.0.0 以绑定到所有可用接口。
var.syslog_port: 监听 syslog 流量的端口。默认为 9005。
var.host_name: 主机名/观察者名称，因为 Sophos XG 不会在 syslog 文件中提供此信息。默认为 firewall.localgroup.local

SophosXG ECS 字段

这是一个映射到 ECS 的 SophosXG 字段列表。

SophosXG 字段	ECS 字段
application	network.protocol
classification	rule.category
device_id	observer.serial_number
domainname	url.domain
dst_host	destination.address
dst_int	observer.egress.interface.name
dstzonetype	observer.egress.zone
dst_ip	destination.ip
destinationip	destination.ip
dst_mac	destination.mac
dstname	destination.address
dst_port	destination.port
dst_domainname	url.domain
duration	event.duration
filename	file.name
filetype	file.extension
file_size	file.size
file_path	file.directory
fw_rule_id	rule.id
from_email_address	source.user.email
httpstatus	http.response.status_code
in_interface	observer.ingress.interface.name
log_id	event.code
log_subtype	event.action
message	message
method	http.request.method
policy_type	rule.ruleset
protocol	network.transport
recv_bytes	destination.bytes
recv_pkts	destination.packets
referer	http.request.referrer
sent_bytes	source.bytes
sent_pkts	source.packets
sha1sum	file.hash.sha1
srczonetype	observer.ingress.zone
src_ip	source.ip
src_domainname	url.domain
sourceip	source.ip
src_mac	source.mac
src_port	source.port
status_code	http.response.status_code
time_zone	event.timezone
to_email_address	destination.user.email
tran_dst_ip	destination.nat.ip
tran_dst_port	destination.nat.port
tran_src_ip	source.nat.ip
tran_src_port	source.nat.port
url	url.original
user_agent	user_agent.original
useragent	user_agent.original
user_gp	source.user.group
user_name	source.user.name
ws_protocol	http.version

字段

有关模块中每个字段的描述，请参见导出字段部分。

« Snyk 模块 Suricata 模块 »