Mengumpulkan log Fortinet Firewall

Dokumen ini menjelaskan cara mengumpulkan dan menyerap log Fortinet ke Google Security Operations menggunakan Bindplane. Parser mengekstrak kolom dari log, yang menangani format JSON dan SYSLOG (dengan key-value pair). Alat ini menormalisasi kolom yang diekstrak ke dalam Unified Data Model (UDM), termasuk koneksi jaringan, aktivitas pengguna, peristiwa DNS, dan temuan keamanan, sekaligus menangani berbagai format log dan kasus ekstrem.

Sebelum memulai

• Pastikan Anda memiliki instance Google Security Operations.
• Pastikan Anda menggunakan Windows 2016 atau yang lebih baru, atau host Linux dengan systemd.
• Jika berjalan di balik proxy, pastikan port firewall terbuka.
• Pastikan Anda memiliki akses dengan hak istimewa ke perangkat Fortinet Firewall.

Mendapatkan file autentikasi penyerapan Google SecOps

1. Login ke konsol Google SecOps.
2. Buka Setelan SIEM > Agen Pengumpulan.
3. Download File Autentikasi Proses Transfer. Simpan file dengan aman di sistem tempat Bindplane akan diinstal.

Mendapatkan ID pelanggan Google SecOps

1. Login ke konsol Google SecOps.
2. Buka Setelan SIEM > Profil.
3. Salin dan simpan ID Pelanggan dari bagian Detail Organisasi.

Menginstal agen Bindplane

Penginstalan Windows

1. Buka Command Prompt atau PowerShell sebagai administrator.

2. Jalankan perintah berikut:

   msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet
   

Penginstalan Linux

1. Buka terminal dengan hak istimewa root atau sudo.

2. Jalankan perintah berikut:

   sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh
   

Referensi penginstalan tambahan

• Untuk opsi penginstalan tambahan, lihat panduan penginstalan ini.

Mengonfigurasi agen Bindplane untuk menyerap Syslog dan mengirim ke Google SecOps

1. Akses file konfigurasi:

   1. Temukan file config.yaml. Biasanya, file ini berada di direktori /etc/bindplane-agent/ di Linux atau di direktori penginstalan di Windows.
   2. Buka file menggunakan editor teks (misalnya, nano, vi, atau Notepad).

2. Edit file config.yaml sebagai berikut:

   ```yaml
   receivers:
       udplog:
           # Replace the port and IP address as required
           listen_address: "0.0.0.0:514"
   
   exporters:
       chronicle/chronicle_w_labels:
           compression: gzip
           # Adjust the path to the credentials file you downloaded in Step 1
           creds: '/path/to/ingestion-authentication-file.json'
           # Replace with your actual customer ID from Step 2
           customer_id: <customer_id>
           endpoint: malachiteingestion-pa.googleapis.com
           # Add optional ingestion labels for better organization
           ingestion_labels:
               log_type: FORTINET_FIREWALL
               raw_log_field: body
   
   service:
       pipelines:
           logs/source0__chronicle_w_labels-0:
               receivers:
                   - udplog
               exporters:
                   - chronicle/chronicle_w_labels
   ```
   

3. Ganti port dan alamat IP sesuai kebutuhan di infrastruktur Anda.

4. Ganti <customer_id> dengan ID pelanggan yang sebenarnya.

5. Perbarui /path/to/ingestion-authentication-file.json ke jalur tempat file autentikasi disimpan di bagian Mendapatkan file autentikasi penyerapan Google SecOps.

Mulai ulang agen Bindplane untuk menerapkan perubahan

• Untuk memulai ulang agen Bindplane di Linux, jalankan perintah berikut:

  sudo systemctl restart bindplane-agent
  

• Untuk memulai ulang agen Bindplane di Windows, Anda dapat menggunakan konsol Services atau memasukkan perintah berikut:

  net stop BindPlaneAgent && net start BindPlaneAgent
  

Mengonfigurasi Syslog di FortiGate menggunakan CLI

1. Login ke antarmuka command line di perangkat Fortinet FortiGate Anda.

2. Ketik perintah berikut dalam urutan yang sama (ganti variabel dengan nilai yang sesuai dengan lingkungan Anda).

   sh full-configuration | grep -f syslogd
   config log syslogd setting
       set status enable
       set server IP_ADDRESS
       set mode udp
       set port PORT
       set facility LOCAL
       set reliable enable or disable
       set source-ip FIEWALL_IP
   end
   

3. Perbarui nilai berikut:

   • IP_ADDRESS: masukkan alamat IPv4 agen Bindplane.
   • PORT: masukkan nomor port untuk agen Bindplane; misalnya, 514.
   • LOCAL: menetapkan tingkat fasilitas sebagai local6 (Anda juga dapat memilih lainnya sebagai local0, local1, local2, local3, local4, local5, atau local7 untuk log informasi).
   • enable or disable: masukkan disable untuk mengirim data sebagai UDP (Jika Anda menetapkan nilai andal sebagai enable, data akan dikirim sebagai TCP).
   • FIEWALL_IP: masukkan alamat IPv4 Firewall.

Mengonfigurasi Syslog di FortiGate menggunakan GUI

1. Login ke UI web Fortinet Fortigate.
2. Buka Log & Laporan > Setelan Log.
3. Edit konfigurasi berikut:
   • Kirim log ke Syslog: pilih Aktifkan.
   • Alamat IP / FQDN: masukkan alamat IPv4 agen Bindplane.
   • Pembuatan Log Peristiwa: pilih Semua.
   • Local Traffic Log: pilih All.

4. Buka Policy & Objects > Firewall Policy

   • Aktifkan level log ke Semua (jangan tetapkan ke Nonaktifkan & UTM) untuk setiap kebijakan firewall.
   • Pastikan kebijakan Implicit Deny juga berada di level log All.

5. Buka CLI dan masukkan perintah berikut.

   1. Dapatkan IP aplikasi firewall Anda:

      Show full-configuration | grep -f syslogd
      

   2. Tetapkan IP & Fasilitas sumber:

      • LOCAL: Tetapkan tingkat fasilitas sebagai local6 (Anda juga dapat memilih lainnya sebagai local0, local1, local2, local3, local4, local5, atau local7 untuk log informasi).

      • FIEWALL_IP: Masukkan alamat IPv4 Firewall.

        config log syslogd setting
        set source-ip FIEWALL_IP
        set facility LOCAL
        end
        

   3. Aktifkan resolve-ip untuk setiap perangkat fortigate:

      config log setting
      set resolve-ip enable
      

6. Ulangi proses ini untuk setiap perangkat yang perlu diaktifkan di Google SecOps.

Opsional: Opsi konfigurasi Syslog Fortigate tambahan

1. Untuk FortiGate v5.X, jalankan perintah berikut untuk mengaktifkan log yang diperluas:

   config antivirus profile
       edit default
           set extended-utm-log enable
       end
   config application
       edit default
           set extended-utm-log enable
       end
   config webfilter
       edit default
           set extended-utm-log enable
       end
   config spamfilter
       edit default
           set extended-utm-log enable
       end
   config dlp
       edit default
           set extended-utm-log enable
       end
   config ips
       edit default
           set extended-utm-log enable
       end
   

Tabel Pemetaan UDM

Perlu bantuan lain? Dapatkan jawaban dari anggota Komunitas dan profesional Google SecOps.