New

The executive guide to generative AI

Read more
About usPartnersSupport|Login
« Snyk 模块 Suricata 模块 »
Elastic 文档 ›Filebeat 参考 [8.17] ›模块

Sophos 模块

编辑

Sophos 模块

编辑

是否更倾向于为此用例使用 Elastic Agent？

请参考 Elastic Integrations 文档。

了解更多

Elastic Agent 是一种单一、统一的方式，可以为日志、指标和其他类型的数据添加到主机上进行监控。它还可以保护主机免受安全威胁，查询操作系统中的数据，转发来自远程服务或硬件的数据等等。请参阅文档以获取 Beats 和 Elastic Agent 的详细比较。

这是一个用于 Sophos 产品的模块，目前它接受来自以下设备的 syslog 格式日志或文件日志：

  • xg 文件集：支持 Sophos XG SFOS 日志。

要配置远程 syslog 目标，请参考 SophosXG/SFOS 文档。

在 Sophos 配置中选择的 syslog 格式应为 中央报告格式。

阅读快速入门，了解如何配置和运行模块。

兼容性

编辑

此模块已针对 SFOS 版本 17.5.x、18.0.x 和 18.5.x 进行测试。预计高于此版本和 18.0 - 18.5 之间的版本也能正常工作，但尚未经过测试。

配置模块

编辑

您可以通过在 modules.d/sophos.yml 文件中指定变量设置，或在命令行中覆盖设置，来进一步优化 sophos 模块的行为。

您必须在模块中启用至少一个文件集。默认情况下，文件集处于禁用状态。

变量设置

编辑

每个文件集都有单独的变量设置，用于配置模块的行为。如果您不指定变量设置，则 sophos 模块将使用默认值。

对于高级用例，您还可以覆盖输入设置。请参阅覆盖输入设置。

当您在命令行中指定设置时，请记住在设置前加上模块名称，例如，sophos.xg.var.paths 而不是 xg.var.paths。

xg 文件集设置

编辑

Sophos XG 防火墙在 syslog 标头或正文中均不包含主机名，每个防火墙的唯一标识符是相关的序列号。

下面您将看到一个示例配置文件，该文件设置默认主机名（如果配置文件中未包含序列号），以及如何将序列号映射到主机名的示例。

- module: sophos
  xg:
    enabled: true
    var.input: udp
    var.syslog_host: 0.0.0.0
    var.syslog_port: 9005
    var.default_host_name: firewall.localgroup.local
    var.known_devices:
      - serial_number: "1234567890123457"
        hostname: "a.host.local"
      - serial_number: "1234234590678557"
        hostname: "b.host.local"
var.paths
一个基于 glob 的路径数组，指定查找日志文件的位置。此处也支持 Go Glob 支持的所有模式。例如，您可以使用通配符从预定义的子目录级别中获取所有文件：/path/to/log/*/*.log。这将从 /path/to/log 的子文件夹中获取所有 .log 文件。它不会从 /path/to/log 文件夹本身获取日志文件。如果此设置留空，Filebeat 将根据您的操作系统选择日志路径。
var.input
要使用的输入，可以是值 tcp、udp 或 file。
var.syslog_host
要侦听所有 syslog 流量的接口。默认为 localhost。设置为 0.0.0.0 以绑定到所有可用接口。
var.syslog_port
侦听 syslog 流量的端口。默认为 9005。
var.host_name
主机名/观察者名称，因为 SophosXG 在 syslog 文件中不提供此信息。默认为 firewall.localgroup.local。

SophosXG ECS 字段

编辑

这是映射到 ECS 的 SophosXG 字段列表。

SophosXG 字段 ECS 字段

application

network.protocol

classification

rule.category

device_id

observer.serial_number

domainname

url.domain

dst_host

destination.address

dst_int

observer.egress.interface.name

dstzonetype

observer.egress.zone

dst_ip

destination.ip

destinationip

destination.ip

dst_mac

destination.mac

dstname

destination.address

dst_port

destination.port

dst_domainname

url.domain

duration

event.duration

filename

file.name

filetype

file.extension

file_size

file.size

file_path

file.directory

fw_rule_id

rule.id

from_email_address

source.user.email

httpstatus

http.response.status_code

in_interface

observer.ingress.interface.name

log_id

event.code

log_subtype

event.action

message

message

method

http.request.method

policy_type

rule.ruleset

protocol

network.transport

recv_bytes

destination.bytes

recv_pkts

destination.packets

referer

http.request.referrer

sent_bytes

source.bytes

sent_pkts

source.packets

sha1sum

file.hash.sha1

srczonetype

observer.ingress.zone

src_ip

source.ip

src_domainname

url.domain

sourceip

source.ip

src_mac

source.mac

src_port

source.port

status_code

http.response.status_code

time_zone

event.timezone

to_email_address

destination.user.email

tran_dst_ip

destination.nat.ip

tran_dst_port

destination.nat.port

tran_src_ip

source.nat.ip

tran_src_port

source.nat.port

url

url.original

user_agent

user_agent.original

useragent

user_agent.original

user_gp

source.user.group

user_name

source.user.name

ws_protocol

http.version

字段

编辑

有关模块中每个字段的说明，请参阅导出的字段部分。

« Snyk 模块 Suricata 模块 »

On this page

Was this helpful?
Feedback