適用于 Microsoft Sentinel 的 Fortinet 連接器
Fortinet 防火牆連接器可讓您輕鬆地將 Fortinet 記錄與 Microsoft Sentinel 連線，以檢視儀表板、建立自訂警示，以及改善調查。 這可讓您深入瞭解貴組織的網路，並改善安全性作業功能。
連接器屬性
| 連接器屬性 | Description |
|---|---|
| 記錄分析資料表 | CommonSecurityLog (Fortinet) |
| 資料收集規則支援 | 工作區轉換 DCR |
| 支援者 | Microsoft Corporation |
查詢範例
所有記錄
CommonSecurityLog
| where DeviceVendor == "Fortinet"
| where DeviceProduct startswith "Fortigate"
| sort by TimeGenerated
依目的地 IP 和埠摘要
CommonSecurityLog
| where DeviceVendor == "Fortinet"
| where DeviceProduct startswith "Fortigate"
| summarize count() by DestinationIP, DestinationPort, TimeGenerated
| sort by TimeGenerated
廠商安裝指示
- Linux Syslog 代理程式設定
安裝並設定 Linux 代理程式以收集您的一般事件格式 (CEF) Syslog 訊息，並將其轉送至 Microsoft Sentinel。
請注意，來自所有區域的資料將會儲存在選取的工作區中
1.1 選取或建立 Linux 電腦
選取或建立 Microsoft Sentinel 將用來作為安全性解決方案與 Microsoft Sentinel 之間 Proxy 的 Linux 電腦，此機器可以位於內部部署環境、Azure 或其他雲端上。
1.2 在 Linux 電腦上安裝 CEF 收集器
在 Linux 電腦上安裝 Microsoft Monitoring Agent，並將機器設定為接聽必要的埠，並將訊息轉送至 Microsoft Sentinel 工作區。 CEF 收集器會在埠 514 TCP 上收集 CEF 訊息。
- 使用下列命令確定您的電腦上有 Python：python --version。
- 您在機器上必須具有更高的權限 (sudo)。
執行下列命令來安裝和套用 CEF 收集器：
sudo wget -O cef_installer.py https://raw.githubusercontent.com/Azure/Azure-Sentinel/master/DataConnectors/CEF/cef_installer.py &&sudo python cef_installer.py {0} {1}
- 將 Fortinet 記錄轉送至 Syslog 代理程式
將您的 Fortinet 設定為以 CEF 格式傳送 Syslog 訊息至 Proxy 電腦。 請務必將記錄傳送至機器 IP 位址上的埠 514 TCP。
複製下列 和 的 CLI 命令：
- 將 「server < ip address > 」 取代為 Syslog 代理程式的 IP 位址。
- 將 「 < facility_name > 」 設定為使用您在 Syslog 代理程式 (中設定的功能，根據預設，代理程式會將此設定為 local4) 。
- 將 Syslog 埠設定為 514，代理程式所使用的埠。
- 若要在舊版 FortiOS 中啟用 CEF 格式，您可能需要執行命令「set csv disable」。
如需詳細資訊，請移至 Fortinet 文件庫，選擇您的版本，並使用「手冊」和「記錄訊息參考」PDF。
使用 CLI 設定連線以執行下列命令：
config log syslogd 設定狀態啟用設定格式 cef set port 514 set server < ip_address_of_Receiver > end
- 驗證連線
請遵循指示來驗證您的連線能力：
開啟 Log Analytics 以檢查記錄是否使用 CommonSecurityLog 架構接收。
在連線將資料串流至工作區之前，可能需要大約 20 分鐘的時間。
如果未收到記錄，請執行下列連線驗證腳本：
- 使用下列命令確定您的電腦上有 Python：python --version
- 您必須在機器上擁有 (sudo) 提高的許可權
執行下列命令來驗證您的連線能力：
sudo wget -O cef_troubleshoot.py https://raw.githubusercontent.com/Azure/Azure-Sentinel/master/DataConnectors/CEF/cef_troubleshoot.py &&sudo python cef_troubleshoot.py {0}
- 保護您的機器
請務必根據組織的安全性原則來設定電腦的安全性
後續步驟
如需詳細資訊，請移至Azure Marketplace中的相關解決方案。