Fortinet FortiAnalyzer (collecteur de journaux)

Collecteur de journaux

Vous pouvez intégrer Fortinet FortiAnalyzer à Sophos Central pour lui permettre d’envoyer des alertes de pare-feu à Sophos pour analyse.

Cette intégration utilise un collecteur de journaux hébergé sur une machine virtuelle (VM). Ensemble, ils s’appellent une appliance. L’appliance reçoit des données tierces et les envoie à Sophos Data Lake.

Les étapes essentielles sont les suivantes :

• Configurer une intégration pour ce produit. Cette option permet de configurer une image à utiliser sur une machine virtuelle.
• Télécharger et déployer l’image sur votre machine virtuelle. Cela devient votre appliance.
• Configurer FortiAnalyzer pour qu’il envoie des données à l’appliance.

Conditions requises

Les appliances ont des exigences en matière d’accès au système et au réseau. Pour vérifier que vous y adhérez, consultez Exigences relatives à l’appliance.

Configurer une intégration

Pour configurer l’intégration, procédez comme suit :

1. Dans Sophos Central, allez dans Centre d’analyse des menaces > Intégrations > Marketplace.

2. Cliquez sur Fortinet FortiAnalyzer (collecteur de journaux).

   La page Fortinet FortiAnalyzer (collecteur de journaux) s’ouvre. Vous pouvez configurer les intégrations et voir une liste de celles que vous avez déjà configurées.

3. Dans Ingestion de données (alertes de sécurité), cliquez sur Ajouter une configuration.

   Remarque

   S’il s’agit de la première intégration que vous ajoutez, nous vous demanderons des détails sur vos domaines et adresses IP internes. Voir Mes domaines et adresses IP.

   Les Étapes de configuration de l’intégration s’affichent.

Configurer la machine virtuelle

Dans les Étapes de configuration de l’intégration, vous configurez votre machine virtuelle comme une appliance pour lui permettre de recevoir des données provenant de FortiAnalyzer. Vous pouvez utiliser une machine virtuelle existante ou en créer une nouvelle.

Pour configurer la machine virtuelle, procédez de la manière suivante :

1. Saisissez le nom de domaine et sa description.

2. Saisissez le nom et la description de l’appliance.

   Si vous avez déjà configuré une appliance Sophos, vous pouvez la sélectionner dans une liste.

3. Sélectionnez la plate-forme virtuelle. Actuellement, nous prenons en charge VMware ESXi 6.7 Update 3 ou version ultérieure et Microsoft Hyper-V 6.0.6001.18016 (Windows Server 2016) ou version ultérieure.

4. Spécifiez les paramètres IP pour les Ports du réseau connecté à Internet. Cette opération configure l’interface de gestion de la machine virtuelle.

   • Sélectionnez DHCP pour assigner automatiquement l’adresse IP.

     Remarque

     Si vous sélectionnez DHCP, vous devez lui réserver l’adresse IP.

   • Sélectionnez Manuel pour spécifier vos paramètres réseau.

5. Sélectionnez la version IP syslog et saisissez l’adresse IP syslog.

   Vous aurez besoin de l’adresse IP syslog ultérieurement lorsque vous allez configurer FortiAnalyzer pour qu’il envoie des données à votre appliance.

6. Sélectionnez un Protocole.

   Vous devez utiliser le même protocole ultérieurement lorsque vous configurez FortiAnalyzer pour envoyer des données à votre appliance.

7. Cliquez sur Enregistrer.

   Nous créons l’intégration et celle-ci apparaît dans votre liste.

   Dans les détails d’intégration, vous pouvez voir le numéro de port de l’appliance. Vous aurez besoin de cette information ultérieurement lorsque vous allez configurer FortiAnalyzer pour qu’il lui envoie des données.

   L’image VM sera prête au téléchargement en l’espace de quelques minutes.

Déployer la machine virtuelle

Utilisez l’image VM pour déployer la machine virtuelle. Procédez comme suit :

1. Dans la liste des intégrations, dans Actions, cliquez sur l’action de téléchargement de votre plate-forme, par exemple Télécharger la version OVA pour ESXi.
2. Une fois le téléchargement de l’image terminé, déployez-la sur votre machine virtuelle. Voir Déployer une machine virtuelle pour les intégrations.

Configurer FortiAnalyzer

Maintenant, vous configurez FortiAnalyzer pour qu’il envoie des alertes à l’appliance Sophos sur la machine virtuelle.

Vous pouvez configurer le transfert des journaux dans la console FortiAnalyzer comme suit :

1. Allez dans Paramètres système > Transfert de journaux.
2. Cliquez sur Créer.

3. Sur la page Créer un nouveau transfert de journaux, saisissez les informations suivantes :

   1. Nom : Saisissez un nom pour le serveur, par exemple « Appliance Sophos ».
   2. État : Définissez cette option sur Activé.
   3. Type de serveur distant : Sélectionnez Format d’événement commun (CEF).
   4. IP du serveur : Saisissez l’adresse IP de votre appliance. Il s’agit de l’adresse IP Syslog que vous avez saisie dans Sophos Central.
   5. Port du serveur : Saisissez le numéro de port que vous avez défini dans Sophos Central.
   6. Connexion fiable : Activez cette option pour utiliser une connexion TCP. Désactivez cette option pour utiliser une connexion UDP. Cela doit correspondre au protocole que vous avez défini précédemment dans Sophos Central.
   7. Fréquence d’envoi. Ignorez cette option. Elle sert uniquement pour les serveurs FortiAnalyzer.
   8. Filtres de transfert de journaux : Nous vous recommandons de ne pas appliquer de filtres à FortiAnalyzer. Sophos applique un filtrage au niveau de l’appliance.
   9. Cliquez sur OK.

L’appareil FortiAnalyzer commencera à transférer les journaux vers l’appliance.