› ›

Check Point 模块

这是用于 Check Point 防火墙日志的模块。它支持来自 Log Exporter 的 Syslog RFC 5424 格式的日志。如果您需要以 CEF 格式摄取 Check Point 日志，请使用 CEF 模块（syslog 输出中提供了更多字段）。

要配置 Log Exporter，请参阅 Check Point 提供的文档。

Log Exporter 配置示例

cp_log_export add name testdestination target-server 192.168.1.1 target-port 9001 protocol udp format syslog

阅读快速入门，了解如何配置和运行模块。

兼容性

编辑

此模块已针对 R80.X 上的 Check Point Log Exporter 进行了测试，但也应适用于 R77.30。

配置模块

编辑

您可以通过在 modules.d/checkpoint.yml 文件中指定变量设置，或在命令行中覆盖设置来进一步优化 checkpoint 模块的行为。

您必须在模块中启用至少一个文件集。文件集默认情况下处于禁用状态。

变量设置

编辑

每个文件集都有单独的变量设置，用于配置模块的行为。如果您未指定变量设置，则 checkpoint 模块将使用默认值。

对于高级用例，您还可以覆盖输入设置。请参阅覆盖输入设置。

当您在命令行中指定设置时，请记住在设置前加上模块名称，例如 checkpoint.firewall.var.paths 而不是 firewall.var.paths。

`firewall` 文件集设置

编辑

配置示例

- module: checkpoint
  firewall:
    var.syslog_host: 0.0.0.0
    var.syslog_port: 9001

var.paths: 指定查找日志文件的基于 glob 的路径数组。此处也支持 Go Glob 支持的所有模式。例如，您可以使用通配符从预定义的子目录级别获取所有文件：/path/to/log/*/*.log。这将从 /path/to/log 的子文件夹中获取所有 .log 文件。它不会从 /path/to/log 文件夹本身获取日志文件。如果此设置为空，则 Filebeat 将根据您的操作系统选择日志路径。
var.syslog_host: 用于侦听基于 UDP 的 syslog 流量的接口。默认为 localhost。设置为 0.0.0.0 以绑定到所有可用的接口。
var.syslog_port: 用于侦听 syslog 流量的 UDP 端口。默认为 9001。
var.timezone_offset: 在解释没有时区的 syslog 时间戳时要使用的 IANA 时区或时间偏移量（例如 +0200）。默认为 UTC。
var.tags: 要包含在事件中的标签列表。包含 forwarded 表示事件并非源于此主机，并且会导致 host.name 不会添加到事件中。默认为 [checkpoint-firewall, forwarded]。
var.ssl: filebeat 实例的 SSL/TLS 配置。这可用于强制执行相互 TLS。

ssl:
  enabled: true
  certificate_authorities: ["my-ca.pem"]
  certificate: "filebeat-cert.pem"
  key: "filebeat-key.pem"
  client_authentication: "required"

Check Point 设备

编辑

此模块将按照 Check Point 日志字段描述中记录的方式解析 Check Point Syslog 数据。

Check Point Syslog 扩展的映射如下所示到 ECS

Check Point 字段	ECS 字段
action	event.action
appi_name	network.application
app_risk	event.risk_score
app_rule_id	rule.id
app_rule_name	rule.name
bytes	network.bytes
categories	rule.category
client_inbound_interface	observer.ingress.interface.name
client_outbound_bytes	source.bytes
client_outbound_interface	observer.egress.interface.name
client_outbound_packets	source.packets
destination_dns_hostname	destination.domain
dlp_file_name	file.name
dns_message_type	dns.type
dns_type	dns.question.type
domain_name	dns.question.name
dst	destination.ip
dst_machine_name	destination.domain
dlp_rule_name	rule.name
dlp_rule_uid	rule.uuid
endpoint_ip	observer.ip
file_id	file.inode
file_type	file.type
file_name	file.name
file_size	file.size
file_md5	file.hash.md5
file_sha1	file.hash.sha1
file_sha256	file.hash.sha256
first_detection	event.start
from	source.user.email
ifdir	network.direction
industry_reference	vulnerability.id
inzone	observer.ingress.zone
last_detection	event.end
loguid	event.id
mac_destination_address	destination.mac
mac_source_address	source.mac
malware_action	rule.description
matched_category	rule.category
malware_rule_id	rule.rule.id
message	message
method	http.request.method
origin	observer.name
origin_ip	observer.ip
os_name	host.os.name
os_version	host.os.version
outzone	observer.egress.zone
packet_capture	event.url
packets	network.packets
parent_process_md5	process.parent.hash.md5
parent_process_name	process.parent.name
process_md5	process.hash.md5
process_name	process.name
product	observer.product
proto	network.iana_number
reason	message
received_bytes	destination.bytes
referrer	http.request.referrer
rule_name	rule.name
resource	url.original
s_port	source.port
security_inzone	observer.ingress.zone
security_outzone	observer.egress.zone
sent_bytes	source.bytes
sequencenum	event.sequence
service	destination.port
service_id	network.application
service_name	destination.service.name
server_outbound_packets	destination.packets
server_outbound_bytes	destination.bytes
severity	event.severity
smartdefense_profile	rule.ruleset
src	source.ip
src_machine_name	source.domain
src_user_group	source.user.group.name
start_time	event.start
status	http.response.status_code
tid	dns.id
time	@timestamp
to	destination.user.email
type	observer.type
update_version	observer.version
url	url.original
user_group	group.name
usercheck_incident_uid	destination.user.id
web_client_type	user_agent.name
xlatesrc	source.nat.ip
xlatedst	destination.nat.ip
xlatesport	source.nat.port
xlatedport	destination.nat.port

字段

编辑

有关模块中每个字段的描述，请参阅导出的字段部分。

« CEF 模块 Cisco 模块 »

On this page

兼容性
配置模块
变量设置
firewall 文件集设置
Check Point 设备
字段

Was this helpful?

Feedback

The Search AI Company

ELK Stack

Elastic Cloud

Generative AI

Search

Security

Observability

By solution

Industries

Customer spotlight

Research

Build

Learn

Connect

Check Point 模块