Megosztás a következőn keresztül:

[Elavult] Fortinet via Legacy Agent connector for Microsoft Sentinel

  • Cikk

Fontos

A sok készülékről és eszközről származó naplógyűjtést mostantól támogatja a Common Event Format (CEF) az AMA-n, a Syslogon keresztül az AMA-n vagy az egyéni naplókon keresztül a Microsoft Sentinel AMA-adatösszekötőn keresztül. További információért lásd: A Microsoft Sentinel-adatösszekötő megkeresése.

A Fortinet tűzfal-összekötővel egyszerűen csatlakoztathatja Fortinet-naplóit a Microsoft Sentinelhez, megtekintheti az irányítópultokat, egyéni riasztásokat hozhat létre, és javíthatja a vizsgálatot. Ez további betekintést nyújt a szervezet hálózatába, és javítja a biztonsági üzemeltetési képességeket.

Ez automatikusan létrehozott tartalom. A módosításokért forduljon a megoldásszolgáltatóhoz.

Összekötő attribútumai

Összekötő attribútum Leírás
Log Analytics-tábla(ok) CommonSecurityLog (Fortinet)
Adatgyűjtési szabályok támogatása Munkaterület-átalakítás – DCR
Támogatja: Microsoft Corporation

Példák lekérdezésekre

Minden napló


CommonSecurityLog

| where DeviceVendor == "Fortinet"

| where DeviceProduct startswith "Fortigate"

         
| sort by TimeGenerated

Összegzés cél IP-címe és portja szerint


CommonSecurityLog

| where DeviceVendor == "Fortinet"

| where DeviceProduct startswith "Fortigate"

         
| summarize count() by DestinationIP, DestinationPort, TimeGenerated​
         
| sort by TimeGenerated

Szállító telepítési útmutatója

1.0 Linux Syslog-ügynök konfigurálása

Telepítse és konfigurálja a Linux-ügynököt, hogy összegyűjtse a Common Event Format (CEF) Syslog-üzeneteket, és továbbítsa őket a Microsoft Sentinelnek.

Figyelje meg, hogy az összes régió adatai a kijelölt munkaterületen lesznek tárolva

1.1 Linux-gép kiválasztása vagy létrehozása

Válasszon vagy hozzon létre egy Linux rendszerű gépet, amelyet a Microsoft Sentinel a biztonsági megoldás és a Microsoft Sentinel közötti proxyként használ, és ez a gép a helyszíni környezetben, az Azure-ban vagy más felhőkben is lehet.

1.2 A CEF-gyűjtő telepítése a Linux-gépen

Telepítse a Microsoft Monitoring Agentet a Linux rendszerű gépére, és konfigurálja a gépet a szükséges port figyelésére, és küldje el az üzeneteket a Microsoft Sentinel-munkaterületre. A CEF-gyűjtő cef-üzeneteket gyűjt az 514-ös TCP-porton.

  1. Győződjön meg arról, hogy a python a gépén a következő paranccsal található: python --version.

  2. Emelt szintű engedélyekkel (sudo) kell rendelkeznie a gépen.

    Futtassa a következő parancsot a CEF-gyűjtő telepítéséhez és alkalmazásához:

    sudo wget -O cef_installer.py https://raw.githubusercontent.com/Azure/Azure-Sentinel/master/DataConnectors/CEF/cef_installer.py &&sudo python cef_installer.py {0} {1}

  3. Fortinet-naplók továbbítása a Syslog-ügynöknek

Állítsa be a Fortinetet, hogy CEF formátumban küldjön Syslog-üzeneteket a proxygépnek. Győződjön meg arról, hogy a naplókat a gép IP-címén lévő 514-ös TCP-portra küldi.

Másolja ki az alábbi parancssori felületi parancsokat, és:

  • Cserélje le a "kiszolgáló <IP-címét>" a Syslog-ügynök IP-címére.
  • Állítsa be a "<facility_name>" értéket a Syslog-ügynökben konfigurált létesítmény használatára (alapértelmezés szerint az ügynök ezt helyi4 értékre állítja).
  • Állítsa a Syslog-portot 514-re, az ügynök által használt portra.
  • Ha engedélyezni szeretné a CEF formátumot a FortiOS korai verzióiban, előfordulhat, hogy a "csv letiltásának beállítása" parancsot kell futtatnia.

További információkért lépjen a Fortinet dokumentumtárba, válassza ki a verziót, és használja a "Kézikönyv" és a "Naplóüzenet referenciája" PDF-eket.

További információ

Állítsa be a kapcsolatot a parancssori felülettel a következő parancsok futtatásához:

config log syslogd setting
    set status enable
set format cef
set port 514
set server <ip_address_of_Receiver>
end

1.3 Kapcsolat ellenőrzése

Kövesse az utasításokat a kapcsolat ellenőrzéséhez:

Nyissa meg a Log Analyticst annak ellenőrzéséhez, hogy a naplók a CommonSecurityLog sémával érkeznek-e.

Ez körülbelül 20 percet vehet igénybe, amíg a kapcsolat adatokat továbbít a munkaterületre.

Ha a naplók nem érkeztek meg, futtassa a következő kapcsolatérvényesítési szkriptet:

  1. Győződjön meg arról, hogy a számítógépen a Python a következő paranccsal található: python --version

  2. Emelt szintű engedélyekkel (sudo) kell rendelkeznie a gépen

    Futtassa a következő parancsot a kapcsolat ellenőrzéséhez:

    sudo wget -O cef_troubleshoot.py https://raw.githubusercontent.com/Azure/Azure-Sentinel/master/DataConnectors/CEF/cef_troubleshoot.py &&sudo python cef_troubleshoot.py {0}

  3. A gép védelme

Győződjön meg arról, hogy a gép biztonságát a szervezet biztonsági szabályzata szerint konfigurálja

További információ

Következő lépések

További információ: a kapcsolódó megoldás az Azure Marketplace-en.