Pular para o conteúdo
Saiba como oferecemos suporte ao MDR.

WatchGuard Firebox

Coletor de log

Você deve ter o pacote de licença de integrações "Firewall" para usar esse recurso.

Você pode integrar os firewalls WatchGuard Firebox ao Sophos Central. Isso permite que o WatchGuard Firebox envie alertas de firewall à Sophos para análise.

Essa integração usa um coletor de log hospedado em uma máquina virtual (VM). Juntos, eles são chamados de dispositivo. O dispositivo recebe dados de terceiros e os envia ao Sophos Data Lake.

Nota

Você pode adicionar várias instâncias do WatchGuard Firebox ao mesmo dispositivo.

Para isso, configure a sua integração do WatchGuard Firebox no Sophos Central e depois configure uma instância do WatchGuard Firebox para enviar logs para ele. Em seguida, configure suas outras instâncias do WatchGuard Firebox para enviar logs ao mesmo dispositivo da Sophos.

Você não precisa repetir a parte Sophos Central da configuração.

As principais etapas para configurar uma integração são as seguintes:

  • Configure uma integração para este produto. Isso configura uma imagem para ser usada em uma VM.
  • Baixe e implante a imagem na sua VM. Isso se torna o seu dispositivo.
  • Configure o WatchGuard Firebox para enviar dados ao dispositivo.

Requisitos

Os dispositivos têm requisitos de acesso ao sistema e à rede. Para verificar se você os atende, consulte Requisitos do dispositivo.

Configurar uma integração

Para configurar uma integração, siga este procedimento:

  1. Em Sophos Central, vá para Centro de Análise de Ameaças > Integrações > Marketplace.
  2. Clique em WatchGuard Firebox.

    A página WatchGuard Firebox é aberta. Você pode configurar integrações aqui e ver uma lista daquelas que você já configurou.

  3. Em Ingestão de dados (Alertas de segurança), clique em Adicionar configuração.

    Nota

    Se esta for a primeira integração que você adiciona, solicitaremos detalhes sobre seus domínios internos e IPs. Consulte Meus domínios e IPs.

    Etapas de configuração de integração aparece.

Configurar a VM

Em Etapas de configuração de integração, você configura a sua VM como um dispositivo para receber dados do WatchGuard Firebox. Você pode usar uma VM existente ou criar uma nova.

Para configurar a VM, faça o seguinte:

  1. Insira um nome de integração e uma descrição.
  2. Insira um nome e uma descrição para o dispositivo.

    Se você já tiver configurado um dispositivo da Sophos, poderá escolhê-lo em uma lista.

  3. Selecione a plataforma virtual. Atualmente, oferecemos suporte apenas a VMware ESXi 6.7 Update 3 ou posterior e Microsoft Hyper-V 6.0.6001.18016 (Windows Server 2016) ou posterior.

  4. Especifique as configurações de IP das Portas de rede voltadas à Internet. Isso configura a interface de gerenciamento da VM.

    • Selecione DHCP para atribuir o endereço IP automaticamente.

      Nota

      Se você selecionar DHCP, deverá reservar o endereço IP.

    • Selecione Manual para especificar as configurações de rede.

  5. Selecione a Versão de IP do syslog e insira o endereço IP de syslog.

    Você precisará desse endereço IP de syslog mais tarde, ao configurar o WatchGuard Firebox para enviar dados ao seu dispositivo.

  6. Selecione um Protocolo.

    Você deve usar o mesmo protocolo ao configurar a WatchGuard Firebox para enviar dados ao seu dispositivo.

  7. Clique em Salvar.

    Nós criamos a integração e ela aparece na sua lista.

    Nos detalhes de integração, você pode ver o número da porta do dispositivo. Você precisará dele mais tarde, ao configurar a WatchGuard Firebox para enviar dados.

    Pode levar alguns minutos para que a imagem da VM fique pronta.

Implantar a VM

Restrição

Se estiver usando o ESXi, o arquivo OVA é verificado com o Sophos Central, portanto, ele só pode ser usado uma vez. Se for necessário implementar outra VM, você deve criar um arquivo OVA novamente no Sophos Central.

Use a imagem da VM para implantar a VM. Para isso, siga este procedimento:

  1. Na lista de integrações, em Ações, clique na ação de download para a sua plataforma, por exemplo, Baixar OVA para ESXi.
  2. Quando o download da imagem for concluído, implante-a em sua VM. Consulte Implantar uma VM para integrações.

Configurar WatchGuard Firebox

Agora você configura os firewalls WatchGuard Firebox para nos enviar alertas, usando o encaminhamento de syslog.

Para configurar o WatchGuard Firebox, você pode entrar em um firewall usando o WatchGuard System Manager ou usar a IU da Web do WatchGuard.

Clique na guia do método que deseja usar.

Para configurar o firewall usando o WatchGuard System Manager, faça o seguinte.

  1. Entre no WatchGuard System Manager.
  2. Clique em File > Connect to Device.
  3. Selecione um firewall e faça login.
  4. Clique no ícone Policy Manager.
  5. Em Policy Manager, clique em Setup > Logging.

    Em Logging Setup, adicione os detalhes de conexão do dispositivo da Sophos como um servidor syslog.

  6. Vá para Syslog Server e ative Send log messages to these syslog servers.

  7. Clique em Adicionar.
  8. Em Configure Syslog, insira os seguintes detalhes de conexão do seu dispositivo da Sophos.

    • Endereço
    • Porta

    Você deve inserir as mesmas configurações inseridas no Sophos Central quando adicionou a integração.

  9. Em Format, selecione IBM LEEF.

  10. Adicione uma Descrição para identificar esse servidor syslog como o dispositivo da Sophos.
  11. Ative as configurações para incluir o número de série do dispositivo e o cabeçalho do syslog nas mensagens do syslog.
  12. Aceite as configurações padrão em Select the syslog facility para cada tipo de mensagem de log do dispositivo.
  13. Não é necessário alterar Performance Statistics ou Diagnostic Log Level.
  14. Clique em OK.

Salvar e ativar configurações

Para salvar as alterações no firewall e ativá-las, faça o seguinte.

  1. Clique em File > Save > To Firebox.

    O item de menu pode variar dependendo do seu produto WatchGuard.

  2. Em Save To Firebox, verifique os detalhes e digite a frase de segurança em Administrator Passphrase.

  3. Clique em OK.

Seus alertas do WatchGuard Firebox agora devem aparecer no Sophos Data Lake após a validação.

Repita as etapas de configuração para todos os outros firewalls que deseja configurar.

Para configurar o firewall usando a IU da Web do WatchGuard, faça o seguinte.

  1. Faça login na IU da Web do firewall.
  2. Clique em System > Logging.
  3. Clique no ícone de cadeado para desbloquear a interface do usuário para que você possa fazer alterações.
  4. Clique em Syslog Server.
  5. Ative Send log messages to these syslog servers.
  6. Clique em ADD.
  7. Em Syslog Server, insira os seguintes detalhes de conexão do seu dispositivo da Sophos.

    • Endereço
    • Porta

    Você deve inserir as mesmas configurações inseridas no Sophos Central quando adicionou a integração.

  8. Em Format, selecione IBM LEEF.

  9. Adicione uma Descrição para identificar esse servidor syslog como o dispositivo da Sophos.
  10. Ative as configurações para incluir o número de série do dispositivo e o cabeçalho do syslog nas mensagens do syslog.
  11. Aceite as configurações padrão em Select the syslog facility para cada tipo de mensagem de log do dispositivo.
  12. Clique em OK.
  13. Clique em SAVE. Isso salva as alterações no firewall e as ativa.

Seus alertas do WatchGuard Firebox agora devem aparecer no Sophos Data Lake após a validação.

Repita as etapas de configuração para todos os outros firewalls que deseja configurar.