Aller au contenu
Découvrez comment nous prenons en charge MDR.

Permalien de la page

Utilisez toujours le permalien suivant lorsque vous faites référence à cette page. Il restera inchangé dans les futures versions de l’aide.

https://docs.sophos.com/central/customer/help/fr-fr/index.html?contextId=barracudacloudgen

Intégrer Barracuda CloudGen

Outil de collecte des journaux Pare-feu

Vous devez avoir un pack de licence d’intégration « Firewall » pour utiliser cette fonction.

Vous pouvez intégrer Barracuda CloudGen à Sophos Central pour lui permettre d’envoyer des alertes à Sophos.

Cette intégration utilise un collecteur de journaux hébergé sur une machine virtuelle (VM). Ensemble, ils s’appellent une appliance. L’appliance reçoit des données tierces et les envoie à Sophos Data Lake.

Remarque

Vous pouvez ajouter plusieurs instances de Barracuda CloudGen à la même appliance.

Pour ce faire, configurez votre intégration Barracuda CloudGen dans Sophos Central, puis configurez une instance Barracuda CloudGen pour lui envoyer des journaux. Configurez ensuite vos autres instances Barracuda CloudGen pour envoyer des journaux à la même appliance Sophos.

Vous n’avez pas besoin de répéter la partie Sophos Central de la configuration.

Les étapes essentielles sont les suivantes :

  • Configurer une intégration pour ce produit. Cette option permet de configurer une image à utiliser sur une machine virtuelle.
  • Télécharger et déployer l’image sur votre machine virtuelle. Cela devient votre appliance.
  • Configurer Barracuda CloudGen pour qu’il envoie des données à l’appliance.

Conditions requises

Les appliances ont des exigences en matière d’accès au système et au réseau. Pour vérifier que vous y adhérez, consultez Exigences relatives à l’appliance.

Configurer une intégration

Pour configurer l’intégration, procédez comme suit :

  1. Dans Sophos Central, allez dans Centre d’analyse des menaces > Intégrations > Marketplace.

  2. Cliquez sur Barracuda CloudGen.

    La page Barracuda CloudGen s’ouvre. Vous pouvez configurer les intégrations et voir une liste de celles que vous avez déjà configurées.

  3. Dans Ingestion de données (alertes de sécurité), cliquez sur Ajouter une configuration.

    Remarque

    S’il s’agit de la première intégration que vous ajoutez, nous vous demanderons des détails sur vos domaines et adresses IP internes. Voir Mes domaines et adresses IP.

    Les Étapes de configuration de l’intégration s’affichent.

Configurer la machine virtuelle

Dans les Étapes de configuration de l’intégration, vous configurez votre machine virtuelle comme une appliance pour lui permettre de recevoir des données provenant de Barracuda CloudGen. Vous pouvez utiliser une machine virtuelle existante ou en créer une nouvelle.

Pour configurer la machine virtuelle, procédez de la manière suivante :

  1. Saisissez le nom de domaine et sa description.

  2. Saisissez le nom et la description de l’appliance.

    Si vous avez déjà configuré une appliance Sophos, vous pouvez la sélectionner dans une liste.

  3. Sélectionnez la plate-forme virtuelle. Actuellement, nous prenons en charge VMware ESXi 6.7 Update 3 ou version ultérieure et Microsoft Hyper-V 6.0.6001.18016 (Windows Server 2016) ou version ultérieure.

  4. Spécifiez les paramètres IP pour les Ports du réseau connecté à Internet. Cette opération configure l’interface de gestion de la machine virtuelle.

    • Sélectionnez DHCP pour assigner automatiquement l’adresse IP.

      Remarque

      Si vous sélectionnez DHCP, vous devez lui réserver l’adresse IP.

    • Sélectionnez Manuel pour spécifier les paramètres réseau.

  5. Sélectionnez la version IP syslog et saisissez l’adresse IP syslog.

    Vous aurez besoin de l’adresse IP syslog ultérieurement lorsque vous allez configurer Barracuda CloudGen pour qu’il envoie des données à votre appliance.

  6. Dans Protocole, TCP est présélectionné. Ce paramètre ne peut pas être modifié.

    Lorsque vous configurez Barracuda CloudGen pour qu’il envoie des données à votre appliance, assurez-vous qu’il utilise le même protocole.

  7. Cliquez sur Enregistrer.

    Nous créons l’intégration et celle-ci apparaît dans votre liste.

    Dans les détails d’intégration, vous pouvez voir le numéro de port de l’appliance. Vous aurez besoin de cette information ultérieurement lorsque vous allez configurer Barracuda CloudGen pour qu’il lui envoie des données.

    L’image VM sera prête au téléchargement en l’espace de quelques minutes.

Déployer la machine virtuelle

Restriction

Si vous utilisez ESXi, le fichier OVA est vérifié avec Sophos Central afin de ne pouvoir être utilisé qu’une seule fois. Si vous devez déployer une autre machine virtuelle, veuillez créer de nouveau le fichier OVA dans Sophos Central.

Utilisez l’image VM pour déployer la machine virtuelle. Procédez comme suit :

  1. Dans la liste des intégrations, dans Actions, cliquez sur l’action de téléchargement de votre plate-forme, par exemple Télécharger la version OVA pour ESXi.
  2. Une fois le téléchargement de l’image terminé, déployez-la sur votre machine virtuelle. Voir Déployer une machine virtuelle pour les intégrations.

Configurer Barracuda CloudGen

Configurez à présent Barracuda CloudGen pour lui permettre de nous envoyer des alertes à l’aide du transfert Syslog.

Activer la diffusion syslog

Activez la diffusion syslog sur le pare-feu Barracuda CloudGen de la manière suivante :

  1. Allez dans CONFIGURATION > Arborescence de configuration > Box > Services d’infrastructure > Diffusion syslog.
  2. Cliquez sur Verrouiller.
  3. Définissez Activer la diffusion syslog sur Oui.
  4. Cliquez sur Envoyer les modifications et Activer.

Activer les rapports détaillés sur le pare-feu

  1. Allez dans Arborescence de configuration > Services d'infrastructure > Configuration générale du pare-feu.
  2. Cliquez sur Verrouiller.
  3. Dans le menu de gauche, cliquez sur Audit et rapports.
  4. Sous Stratégie journal, définissez le Mode du journal d'activité sur Log-Pipe-Separated-Key-Value-List (Liste de valeurs clé séparées par des pipes).
  5. Cliquez sur Envoyer les modifications et Activer.

Exemple de résultat avec Log-Pipe-Separated-Key-Value-List :

2024 05 07 10:02:51 +00:00 Info     Allow: type=LOUT|proto=TCP|srcIF=dhcp|srcIP=10.0.0.4|srcPort=47542|srcMAC=00:0d:3a:46:14:a3|dstIP=168.63.129.16|dstPort=32526|dstService=|dstIF=|rule=PASSALL|info=0|srcNAT=10.0.0.4|dstNAT=168.63.129.16|duration=0|count=1|receivedBytes=0|sentBytes=0|receivedPackets=0|sentPackets=0|user=|protocol=|application=|target=|content=|urlcat=

Configurer les filtres de données de journal

Spécifiez les types de fichiers journaux à diffuser.

  1. Allez dans CONFIGURATION > Arborescence de configuration > Box > Services d’infrastructure > Diffusion syslog.
  2. Dans le menu de gauche, sélectionnez Filtres de données de journal.
  3. Cliquez sur Verrouiller.

  4. Dans le tableau Filtres, cliquez sur "+" pour ajouter un nouveau filtre.

    La fenêtre Filtres s’ouvre.

  5. Saisissez un Nom, par exemple « Intégration Sophos MDR ».

  6. Cliquez sur OK.

  7. Dans le tableau Sélection des données, ajoutez les fichiers journaux Données de journal de niveau supérieur à diffuser. Vous pouvez sélectionner :

    • Fatal_log
    • Journal panique
    • Firewall_Audit_Log

    Pour Firewall_audit_Log, le journal d'audit du pare-feu doit être activé et configuré et Livraison de l’audit doit être défini sur Proxy Syslog. Voir Comment activer le service journal d’audit du pare-feu.

Configurer Sophos comme destination du flux du journal

Configurez le pare-feu pour envoyer la diffusion syslog à Sophos Central.

  1. Allez dans CONFIGURATION > Arborescence de configuration > Box > Services d’infrastructure > Diffusion Syslog.
  2. Dans le menu de gauche, sélectionnez Destinations du flux du journal.
  3. Cliquez sur Verrouiller.

  4. Dans le tableau Destinations, cliquez sur "+" pour ajouter un nouveau filtre.

    La page Destinations s’ouvre.

  5. Saisissez un Nom et cliquez sur OK.

  6. Dans Destination du flux du journal, sélectionnez le nom que vous avez saisi lors de la configuration des filtres de données de journal (« Intégration Sophos MDR » dans notre exemple).
  7. Dans les champs Adresse IP de destination et Port de destination, saisissez l’adresse IP et le port que vous avez configurés précédemment dans Sophos Central.
  8. Cliquez sur Envoyer les modifications et Activer.

Configurer le flux de données du journal

Combinez les filtres de données de journal et la destination du flux de journal pour configurer un flux de données de journal.

  1. Allez dans CONFIGURATION > Arborescence de configuration > Box > Services d’infrastructure > Diffusion syslog.
  2. Dans le menu de gauche, sélectionnez Flux des données de journal.
  3. Cliquez sur Verrouiller.

  4. Dans le tableau Flux, cliquez sur "+" pour ajouter un nouveau flux syslog.

    La fenêtre Flux s’ouvre.

  5. Saisissez un Nom. Utilisez le même nom que dans les sections précédentes (« Intégration Sophos MDR » dans notre exemple).

  6. Cliquez sur OK.
  7. Définissez Flux actif sur Oui.
  8. Dans le tableau Destinations du journal, cliquez sur "+" et sélectionnez la destination du flux de journal que vous avez configurée précédemment.
  9. Dans le tableau Filtres de journal, cliquez sur "+" et sélectionnez le filtre de données de journal que vous avez configuré précédemment.
  10. Cliquez sur OK.
  11. Cliquez sur Envoyer les modifications et Activer.

Tous les journaux couverts par le filtre de données de journal sont désormais diffusés vers Sophos.