« Snyk 模块 Suricata 模块 »

› ›

Sophos 模块

Sophos 模块

这是一个用于 Sophos 产品的模块，目前它接受来自以下设备的 syslog 格式日志或文件日志：

xg 文件集：支持 Sophos XG SFOS 日志。

要配置远程 syslog 目标，请参考 SophosXG/SFOS 文档。

在 Sophos 配置中选择的 syslog 格式应为 中央报告格式。

阅读快速入门，了解如何配置和运行模块。

兼容性

此模块已针对 SFOS 版本 17.5.x、18.0.x 和 18.5.x 进行测试。预计高于此版本和 18.0 - 18.5 之间的版本也能正常工作，但尚未经过测试。

配置模块

您可以通过在 modules.d/sophos.yml 文件中指定变量设置，或在命令行中覆盖设置，来进一步优化 sophos 模块的行为。

您必须在模块中启用至少一个文件集。默认情况下，文件集处于禁用状态。

变量设置

每个文件集都有单独的变量设置，用于配置模块的行为。如果您不指定变量设置，则 sophos 模块将使用默认值。

对于高级用例，您还可以覆盖输入设置。请参阅覆盖输入设置。

当您在命令行中指定设置时，请记住在设置前加上模块名称，例如，sophos.xg.var.paths 而不是 xg.var.paths。

`xg` 文件集设置

Sophos XG 防火墙在 syslog 标头或正文中均不包含主机名，每个防火墙的唯一标识符是相关的序列号。

下面您将看到一个示例配置文件，该文件设置默认主机名（如果配置文件中未包含序列号），以及如何将序列号映射到主机名的示例。

- module: sophos
  xg:
    enabled: true
    var.input: udp
    var.syslog_host: 0.0.0.0
    var.syslog_port: 9005
    var.default_host_name: firewall.localgroup.local
    var.known_devices:
      - serial_number: "1234567890123457"
        hostname: "a.host.local"
      - serial_number: "1234234590678557"
        hostname: "b.host.local"

var.paths: 一个基于 glob 的路径数组，指定查找日志文件的位置。此处也支持 Go Glob 支持的所有模式。例如，您可以使用通配符从预定义的子目录级别中获取所有文件：/path/to/log/*/*.log。这将从 /path/to/log 的子文件夹中获取所有 .log 文件。它不会从 /path/to/log 文件夹本身获取日志文件。如果此设置留空，Filebeat 将根据您的操作系统选择日志路径。
var.input: 要使用的输入，可以是值 tcp、udp 或 file。
var.syslog_host: 要侦听所有 syslog 流量的接口。默认为 localhost。设置为 0.0.0.0 以绑定到所有可用接口。
var.syslog_port: 侦听 syslog 流量的端口。默认为 9005。
var.host_name: 主机名/观察者名称，因为 SophosXG 在 syslog 文件中不提供此信息。默认为 firewall.localgroup.local。

SophosXG ECS 字段

这是映射到 ECS 的 SophosXG 字段列表。

SophosXG 字段	ECS 字段
application	network.protocol
classification	rule.category
device_id	observer.serial_number
domainname	url.domain
dst_host	destination.address
dst_int	observer.egress.interface.name
dstzonetype	observer.egress.zone
dst_ip	destination.ip
destinationip	destination.ip
dst_mac	destination.mac
dstname	destination.address
dst_port	destination.port
dst_domainname	url.domain
duration	event.duration
filename	file.name
filetype	file.extension
file_size	file.size
file_path	file.directory
fw_rule_id	rule.id
from_email_address	source.user.email
httpstatus	http.response.status_code
in_interface	observer.ingress.interface.name
log_id	event.code
log_subtype	event.action
message	message
method	http.request.method
policy_type	rule.ruleset
protocol	network.transport
recv_bytes	destination.bytes
recv_pkts	destination.packets
referer	http.request.referrer
sent_bytes	source.bytes
sent_pkts	source.packets
sha1sum	file.hash.sha1
srczonetype	observer.ingress.zone
src_ip	source.ip
src_domainname	url.domain
sourceip	source.ip
src_mac	source.mac
src_port	source.port
status_code	http.response.status_code
time_zone	event.timezone
to_email_address	destination.user.email
tran_dst_ip	destination.nat.ip
tran_dst_port	destination.nat.port
tran_src_ip	source.nat.ip
tran_src_port	source.nat.port
url	url.original
user_agent	user_agent.original
useragent	user_agent.original
user_gp	source.user.group
user_name	source.user.name
ws_protocol	http.version

字段

有关模块中每个字段的说明，请参阅导出的字段部分。

« Snyk 模块 Suricata 模块 »