Connecteur Sophos XG Firewall pour Microsoft Sentinel
Le connecteur Sophos XG Firewall vous permet de connecter facilement vos journaux Sophos XG Firewall à Microsoft Sentinel pour consulter des tableaux de bord, créer des alertes personnalisées et améliorer les investigations. L’intégration de Sophos XG Firewall à Microsoft Sentinel offre une meilleure visibilité du trafic du pare-feu de votre organisation et améliore les fonctionnalités de surveillance de la sécurité.
Attributs du connecteur
| Attribut du connecteur | Description |
|---|---|
| Table(s) Log Analytics | Syslog (SophosXGFirewall) |
| Prise en charge des règles de collecte de données | Règles de collecte de données pour la transformation de l’espace de travail |
| Pris en charge par | Microsoft Corporation |
Exemples de requête
Top 10 des IP sources refusées
SophosXGFirewall
| where Log_Type == "Firewall" and Status == "Deny"
| summarize count() by Src_IP
| top 10 by count_
Top 10 des IP de destination refusées
SophosXGFirewall
| where Log_Type == "Firewall" and Status == "Deny"
| summarize count() by Dst_IP
| top 10 by count_
Prérequis
Pour intégrer Sophos XG Firewall, vérifiez que vous avez :
- Sophos XG Firewall : doit être configuré pour exporter les journaux via Syslog.
Instructions d’installation du fournisseur
Notes
Ce connecteur de données dépend d’un analyseur basé sur une fonction Kusto, qui est déployée dans le cadre de la solution, pour fonctionner comme prévu. Pour afficher le code de la fonction dans Log Analytics, ouvrez le panneau Log Analytics/Journaux Microsoft Sentinel, cliquez sur Functions et recherchez l’alias Sophos XG Firewall et chargez le code de la fonction ou cliquez ici, sur la deuxième ligne de la requête, entrez le ou les noms d’hôte de vos appareils Sophos XG Firewall et tous les autres identificateurs uniques du flux de journaux. L’activation de la fonction prend généralement 10 à 15 minutes après l’installation ou la mise à jour de la solution.
- Installer et intégrer l'agent pour Linux
En règle générale, vous devez installer l’agent sur un ordinateur différent de celui sur lequel les journaux sont générés.
Les journaux Syslog sont collectés uniquement à partir d’agents Linux.
- Configurer les journaux à collecter
Configurez les installations à collecter et leurs gravités.
Sous Configuration dans les paramètres avancés de l’espace de travail, sélectionnez Données, puis Syslog.
Sélectionnez Appliquer la configuration ci-dessous à mes machines, puis sélectionnez les installations et les gravités.
Cliquez sur Enregistrer.
Configurer et connecter Sophos XG Firewall
Suivez ces instructions pour activer le streaming syslog. Utilisez l’adresse IP ou le nom d’hôte de l’appareil Linux avec l’agent Linux installé en tant qu’adresse IP de destination.
Étapes suivantes
Pour plus d’informations, accédez à la solution associée dans la Place de marché Azure.