Connecteur WatchGuard Firebox pour Microsoft Sentinel
WatchGuard Firebox (https://www.watchguard.com/wgrd-products/firewall-appliances et https://www.watchguard.com/wgrd-products/cloud-and-virtual-firewalls) est une série de produits de sécurité/d’appliances de pare-feu. Watchguard Firebox envoie le Syslog à l’agent collecteur Watchguard Firebox. L’agent envoie ensuite le message à l’espace de travail.
Attributs du connecteur
| Attribut du connecteur | Description |
|---|---|
| Table(s) Log Analytics | Syslog (WatchGuardFirebox) |
| Prise en charge des règles de collecte des données | Règles de collecte de données pour la transformation de l’espace de travail |
| Pris en charge par | WatchGuard |
Exemples de requête
Top 10 des systèmes Firebox au cours des dernières 24 heures
WatchGuardFirebox
| where TimeGenerated >= ago(24h)
| summarize count() by HostName
| top 10 by count_ desc
Firebox nommé WatchGuard : 10 premiers messages XTM au cours des dernières 24 heures
WatchGuardFirebox
| where HostName contains 'WatchGuard-XTM'
| where TimeGenerated >= ago(24h)
| summarize count() by MessageId
| top 10 by count_ desc
Firebox nommé WatchGuard : 10 premières applications XTM au cours des dernières 24 heures
WatchGuardFirebox
| where HostName contains 'WatchGuard-XTM'
| where TimeGenerated >= ago(24h)
| summarize count() by Application
| top 10 by count_ desc
Instructions d’installation du fournisseur
REMARQUE : Ce connecteur de données dépend, pour fonctionner comme prévu, d’un analyseur basé sur une fonction Kusto et déployé dans le cadre de la solution. Pour afficher le code de fonction dans Log Analytics, ouvrez le panneau Journaux Log Analytics/Microsoft Sentinel, cliquez sur Fonctions et recherchez l’alias WatchGuardFirebox, chargez ensuite le code de fonction ou cliquez ici, sur la deuxième ligne de la requête, entrez le nom d’hôte de chaque appareil WatchGuard Firebox si vous en avez plusieurs, ainsi que tous les autres identificateurs uniques du flux de journaux. L’activation de la fonction prend généralement 10 à 15 minutes après l’installation ou la mise à jour de la solution.
- Installer et intégrer l'agent pour Linux
En règle générale, vous devez installer l’agent sur un ordinateur différent de celui sur lequel les journaux sont générés.
Les journaux Syslog sont collectés uniquement à partir d’agents Linux.
- Configurer les journaux à collecter
Configurez les installations à collecter et leurs gravités.
- Sous Configuration dans les paramètres avancés de l’espace de travail, sélectionnez Données, puis Syslog.
- Sélectionnez Appliquer la configuration ci-dessous à mes machines, puis sélectionnez les installations et les gravités.
- Cliquez sur Enregistrer.
Étapes suivantes
Pour plus d’informations, accédez à la solution associée dans la Place de marché Azure.