Aller au contenu
Découvrez comment nous prenons en charge MDR.

Permalien de la page

Utilisez toujours le permalien suivant lorsque vous faites référence à cette page. Il restera inchangé dans les futures versions de l’aide.

https://docs.sophos.com/central/customer/help/fr-fr/index.html?contextId=InfinityTotalProtection

Pare-feu Quantum de Check Point

Collecteur de journaux

Vous devez avoir un pack de licence d’intégration « Firewall » pour utiliser cette fonction.

Vous pouvez intégrer le pare-feu Quantum de Check Point à Sophos Central afin de lui permettre d’envoyer des données d’audit à Sophos pour analyse.

Cette intégration utilise un collecteur de journaux hébergé sur une machine virtuelle (VM). Ensemble, ils s’appellent une appliance. L’appliance reçoit des données tierces et les envoie à Sophos Data Lake.

Remarque

Vous pouvez ajouter plusieurs pare-feu Quantum à la même appliance Sophos.

Pour ce faire, configurez votre intégration de pare-feu Quantum dans Sophos Central, puis configurez un pare-feu pour lui envoyer des journaux. Configurez ensuite vos autres pare-feu Quantum pour envoyer des journaux à la même appliance Sophos.

Vous n’avez pas besoin de répéter la partie Sophos Central de la configuration.

Les étapes essentielles sont les suivantes :

  • Configurer une intégration pour ce produit. Cette option permet de configurer une image à utiliser sur une machine virtuelle.
  • Télécharger et déployer l’image sur votre machine virtuelle. Cela devient votre appliance.
  • Configurez le pare-feu Quantum pour qu’il envoie des données à l’appliance.

Conditions requises

Les appliances ont des exigences en matière d’accès au système et au réseau. Pour vérifier que vous y adhérez, consultez Exigences relatives à l’appliance.

Configurer une intégration

Pour intégrer le pare-feu Quantum à Sophos Central, procédez de la manière suivante :

  1. Dans Sophos Central, allez dans Centre d’analyse des menaces > Intégrations > Marketplace.

  2. Cliquez sur Pare-feu Quantum de Check Point.

    La page Pare-feu Quantum de Check Point s’ouvre. Vous pouvez configurer les intégrations et voir une liste de celles que vous avez déjà configurées.

  3. Dans Ingestion de données (alertes de sécurité), cliquez sur Ajouter une configuration.

    Remarque

    S’il s’agit de la première intégration que vous ajoutez, nous vous demanderons des détails sur vos domaines et adresses IP internes. Voir Mes domaines et adresses IP.

Configurer la machine virtuelle

Dans les Étapes de configuration de l’intégration, vous configurez votre machine virtuelle comme une appliance pour lui permettre de recevoir des données du pare-feu Quantum. Vous pouvez utiliser une machine virtuelle existante ou en créer une nouvelle.

Pour configurer la machine virtuelle, procédez de la manière suivante :

  1. Ajoutez un nom et une description pour la nouvelle intégration.

  2. Saisissez le nom et la description de l’appliance.

    Si vous avez déjà configuré une appliance Sophos, vous pouvez la sélectionner dans une liste.

  3. Sélectionnez la plate-forme virtuelle. Actuellement, nous prenons en charge VMware ESXi 6.7 Update 3 ou version ultérieure et Microsoft Hyper-V 6.0.6001.18016 (Windows Server 2016) ou version ultérieure.

  4. Spécifiez les paramètres IP pour les Ports du réseau connecté à Internet. Cette opération configure l’interface de gestion de la machine virtuelle.

    • Sélectionnez DHCP pour assigner automatiquement l’adresse IP.

      Remarque

      Si vous sélectionnez DHCP, vous devez lui réserver l’adresse IP.

    • Sélectionnez Manuel pour spécifier les paramètres réseau.

  5. Sélectionnez la version IP syslog et saisissez l’adresse IP syslog.

    Vous aurez besoin de l’adresse IP syslog ultérieurement lorsque vous allez configurer Quantum Firewall pour qu’il envoie des données à votre appliance.

  6. Sélectionnez un Protocole.

    Vous devez utiliser le même protocole lorsque vous configurez Quantum Firewall pour envoyer des données à votre appliance.

  7. Cliquez sur Enregistrer.

    Nous créons l’intégration et celle-ci apparaît dans votre liste.

    Dans les détails d’intégration, vous pouvez voir le numéro de port de l’appliance. Vous aurez besoin de cette information ultérieurement lorsque vous allez configurer Quantum Firewall pour qu’il lui envoie des données.

    L’image VM sera prête au téléchargement en l’espace de quelques minutes.

Déployer la machine virtuelle

Restriction

Si vous utilisez ESXi, le fichier OVA est vérifié avec Sophos Central afin de ne pouvoir être utilisé qu’une seule fois. Si vous devez déployer une autre machine virtuelle, veuillez créer de nouveau le fichier OVA dans Sophos Central.

Utilisez l’image VM pour déployer la machine virtuelle. Procédez de la manière suivante :

  1. Dans la liste des intégrations, dans Actions, cliquez sur l’action de téléchargement de votre plate-forme, par exemple Télécharger la version OVA pour ESXi.
  2. Une fois le téléchargement de l’image terminé, déployez-la sur votre machine virtuelle. Voir Déployer une machine virtuelle pour les intégrations.

Configurer le pare-feu Quantum

Allez maintenant dans le pare-feu Quantum et configurez l’outil d’exportation des journaux Check Point pour nous envoyer des données d’audit.

Vous pouvez le faire à l’aide de l’interface de ligne de commande (CLI) ou de SmartConsole.

Utiliser le CLI

Pour configurer l’outil d’exportation des journaux à l’aide des commandes CLI, utilisez la commande cp_log_export sur le serveur de journaux.

La syntaxe est la suivante :

cp_log_export add name <name> [domain-server <domain-server>] target-server <target-server IP/host name> target-port <target-port> protocol <(udp|tcp)> format <(cef)|(syslog)> [optional arguments]

  1. Avant d’exécuter la commande, ajoutez-y les paramètres suivants :

    • En mode MDS ou MLM, vous aurez besoin de l’argument domaine-serveur. Configurez-le de la manière suivante :

      • Définissez la valeur de domain-server comme mds pour exporter les journaux d’audit de niveau MDS.
      • Définissez la valeur de domain-server comme all pour configurer l’intégration sur chaque domaine.

    • Utilisez l’adresse IP ou le nom de domain-server pour configurer l’intégration sur un domaine spécifique. Target-server peut utiliser l’adresse IP ou le nom DNS.

      Ceci crée un nouveau répertoire cible avec le nom unique spécifié dans name, sous $EXPORTERDIR/targets/<deployment_name>.

    • Pour les détails de connexion de votre appliance Sophos, utilisez les paramètres target-server suivants :

      • Adresse IP
      • Port

      • Protocole

        Vous devez saisir la même adresse IP, le même port et les mêmes paramètres de protocole que ceux saisi dans Sophos Central lorsque vous avez ajouté l’intégration.

    • Nous vous recommandons de définir format sur cef.

  2. Exécutez la commande add name.

  3. Pour démarrer le nouvel outil d’exportation des journaux avec les nouveaux paramètres, exécutez cp_log_export restart. L’outil ne démarre pas automatiquement.

Retrouvez plus de renseignements sur la commande cp_log_export, sur Log Exporter - Déploiement de base.

Vos données Quantum Firewall devraient apparaître dans Sophos Data Lake après validation.

Utiliser SmartConsole

Pour configurer l’outil d’exportation des journaux avec SmartConsole, consultez le Guide d’administration de la journalisation et de la surveillance de Check Point. Voir le Guide d’administration de la journalisation et de la surveillance.