› ›

Sophos 模块

编辑

Sophos 模块编辑

这是一个用于 Sophos 产品的模块，目前它接受以下设备的 syslog 格式或来自文件的日志

xg 文件集：支持 Sophos XG SFOS 日志。

要配置远程 syslog 目的地，请参阅SophosXG/SFOS 文档。

Sophos 配置中选择的 syslog 格式应为Central Reporting Format。

阅读快速入门，了解如何配置和运行模块。

兼容性编辑

此模块已针对 SFOS 版本 17.5.x、18.0.x 和 18.5.x 进行了测试。预计高于此版本以及介于 18.0 到 18.5 之间的版本也可以正常工作，但尚未经过测试。

配置模块编辑

您可以通过在modules.d/sophos.yml文件中指定变量设置，或在命令行中覆盖设置，来进一步优化sophos模块的行为。

您必须至少启用模块中的一个文件集。 默认情况下禁用文件集。

变量设置编辑

每个文件集都有单独的变量设置，用于配置模块的行为。如果您不指定变量设置，sophos模块将使用默认值。

对于高级用例，您还可以覆盖输入设置。请参阅覆盖输入设置。

当您在命令行中指定设置时，请记住在设置前加上模块名称作为前缀，例如，sophos.xg.var.paths而不是xg.var.paths。

`xg` 文件集设置编辑

Sophos XG 防火墙在 syslog 标头或正文中均不包含主机名，并且每个防火墙的唯一标识符是相关的序列号。

您将在下面看到一个示例配置文件，该文件设置了默认主机名（如果配置文件中未包含序列号），以及如何将序列号映射到主机名的示例

- module: sophos
  xg:
    enabled: true
    var.input: udp
    var.syslog_host: 0.0.0.0
    var.syslog_port: 9005
    var.default_host_name: firewall.localgroup.local
    var.known_devices:
      - serial_number: "1234567890123457"
        hostname: "a.host.local"
      - serial_number: "1234234590678557"
        hostname: "b.host.local"

var.paths: 指定在何处查找日志文件的基于 glob 的路径数组。 Go Glob支持的所有模式在此处也受支持。例如，您可以使用通配符从预定义级别的子目录中获取所有文件：/path/to/log/*/*.log。这将从/path/to/log的子文件夹中获取所有.log文件。它不会从/path/to/log文件夹本身获取日志文件。如果将此设置留空，Filebeat 将根据您的操作系统选择日志路径。
var.input: 要使用的输入，可以是值tcp、udp或file。
var.syslog_host: 侦听所有 syslog 流量的接口。默认为 localhost。设置为 0.0.0.0 以绑定到所有可用接口。
var.syslog_port: 侦听 syslog 流量的端口。默认为 9005。
var.host_name: 主机名/观察者名称，因为 SophosXG 在 syslog 文件中未提供此信息。默认为firewall.localgroup.local

SophosXG ECS 字段编辑

这是映射到 ECS 的 SophosXG 字段列表。

SophosXG 字段	ECS 字段
application	network.protocol
classification	rule.category
device_id	observer.serial_number
domainname	url.domain
dst_host	destination.address
dst_int	observer.egress.interface.name
dstzonetype	observer.egress.zone
dst_ip	destination.ip
destinationip	destination.ip
dst_mac	destination.mac
dstname	destination.address
dst_port	destination.port
dst_domainname	url.domain
duration	event.duration
filename	file.name
filetype	file.extension
file_size	file.size
file_path	file.directory
fw_rule_id	rule.id
from_email_address	source.user.email
httpstatus	http.response.status_code
in_interface	observer.ingress.interface.name
log_id	event.code
log_subtype	event.action
message	message
method	http.request.method
policy_type	rule.ruleset
protocol	network.transport
recv_bytes	destination.bytes
recv_pkts	destination.packets
referer	http.request.referrer
sent_bytes	source.bytes
sent_pkts	source.packets
sha1sum	file.hash.sha1
srczonetype	observer.ingress.zone
src_ip	source.ip
src_domainname	url.domain
sourceip	source.ip
src_mac	source.mac
src_port	source.port
status_code	http.response.status_code
time_zone	event.timezone
to_email_address	destination.user.email
tran_dst_ip	destination.nat.ip
tran_dst_port	destination.nat.port
tran_src_ip	source.nat.ip
tran_src_port	source.nat.port
url	url.original
user_agent	user_agent.original
useragent	user_agent.original
user_gp	source.user.group
user_name	source.user.name
ws_protocol	http.version

字段编辑

有关模块中每个字段的描述，请参阅导出字段部分。

« Snyk 模块 Suricata 模块 »

Sophos 模块

Sophos 模块编辑

兼容性编辑

配置模块编辑

变量设置编辑

xg 文件集设置编辑

SophosXG ECS 字段编辑

字段编辑

`xg` 文件集设置编辑