Integration von Check Point Firewall-Ereignissen von externen Syslog-Weiterleitungen

Check Point Firewall-Ereignisse können von externen Quellen wie Splunk -Weiterleitungen oder anderen Syslog-Weiterleitungen anderer Anbieter, die Ereignisse an IBM QRadarsenden, weitergeleitet werden.

Wenn Check Point Firewall-Ereignisse aus externen Quellen im Syslog-Format bereitgestellt werden, werden die Ereignisse mit der IP-Adresse im Syslog-Header identifiziert. Diese Identifikation bewirkt, dass Ereignisse falsch identifiziert werden, wenn sie mit dem Syslog-Standardprotokoll verarbeitet werden. Das Syslog-Umleitungsprotokoll bietet Administratoren eine Methode, eine IP-Adresse aus den Ereignisnutzdaten in den Syslog-Header zu ersetzen, um die Ereignisquelle ordnungsgemäß anzugeben.

Zum Ersetzen einer IP-Adresse müssen Administratoren ein allgemeines Feld aus den Ereignisnutzdaten der Check Point Firewall angeben, das die richtige IP-Adresse enthält. Ereignisse von Splunk Forwarders verwenden beispielsweise orig= in den Ereignisnutzdaten, um die ursprüngliche IP-Adresse für die Check Point-Firewall zu identifizieren. Das Protokoll ersetzt die korrekte IP-Adresse, um sicherzustellen, dass die Einheit in der Protokollquelle ordnungsgemäß identifiziert wird. Wenn Check Point Firewall-Ereignisse weitergeleitet werden, erkennt und erstellt QRadar automatisch neue Protokollquellen für jede eindeutige IP-Adresse.

Ersetzungen werden mit regulären Ausdrücken ausgeführt und können TCP-oder UDP-Syslog-Ereignisse unterstützen. Das Protokoll konfiguriert automatisch iptables für die ursprüngliche Protokollquellen-und Portkonfiguration. Wenn ein Administrator entscheidet, die Portzuordnung zu ändern, ist eine vollständige Implementierungskonfiguration erforderlich, um die iptables-Konfiguration zu aktualisieren und die neue Portzuordnung zu verwenden.