Integrazione di Fortinet FortiGate

Il software Fortinet FortiGate può essere integrato con Sophos Central. Questo permette a FortiGate di inviare avvisi del firewall a Sophos, a scopo di analisi.

Questa integrazione utilizza un agente di raccolta log ospitato su una virtual machine (VM). Insieme, vengono chiamati “appliance di integrazione”. L’appliance riceve dati da prodotti di terze parti e li invia al Sophos Data Lake.

Passaggi principali

I passaggi principali in un’integrazione sono i seguenti:

• Aggiungere un’integrazione per questo prodotto. In questo passaggio viene creata un’immagine dell’appliance.
• Scaricare e distribuire l’immagine sulla propria VM, che diventa l’appliance.
• Configurare FortiGate in modo che invii dati all’appliance.

Requisiti

Le appliance hanno requisiti specifici per l’accesso al sistema e alla rete. Per verificare che siano soddisfatti, vedere Requisiti dell’appliance.

Aggiunta di un’integrazione

Per aggiungere l’integrazione, procedere come segue:

1. In Sophos Central, selezionare Centro di analisi delle minacce > Integrazioni > Marketplace.

2. Cliccare su Fortinet FortiGate.

   Si apre la pagina Fortinet FortiGate. Qui è possibile aggiungere integrazioni e visualizzare un elenco delle integrazioni che sono già state aggiunte.

3. In Inserimento dei dati (Avvisi di sicurezza), cliccare su Aggiungi configurazione.

   Nota

   Se questa è la prima integrazione aggiunta, chiederemo dei dettagli sui domini e sugli IP interni. Vedere I miei domini e IP.

   Verranno visualizzati i Passaggi di configurazione dell’integrazione.

Configurazione dell’appliance

In Passaggi di configurazione dell’integrazione, è possibile configurare una nuova appliance o utilizzarne una esistente.

In queste istruzioni si presuppone che si stia configurando una nuova appliance. Per farlo, creare un’immagine procedendo come segue:

1. Inserire un nome e una descrizione per l’integrazione.
2. Cliccare su Crea nuova appliance.
3. Inserire un nome e una descrizione per l’appliance.
4. Selezionare la piattaforma virtuale. Attualmente supportiamo VMware ESXi 6.7 Update 3 o versione successiva e Microsoft Hyper-V 6.0.6001.18016 (Windows Server 2016) o versione successiva.

5. Specificare le impostazioni dell’IP per le Porte di rete con connessione Internet. Verrà così configurata l’interfaccia di gestione per l’appliance.

   • Selezionare DHCP per assegnare automaticamente l’indirizzo IP.

     Nota

     Se si seleziona DHCP, occorrerà riservare l’indirizzo IP.

   • Selezionare Manuale per specificare le impostazioni di rete.

6. Selezionare la Versione dell’IP del syslog e immettere l’indirizzo IP del syslog.

   L’indirizzo IP del syslog sarà necessario in un secondo momento, durante la configurazione di Fortigate per l’invio dei dati all’appliance.

7. Selezionare un Protocollo.

   Utilizzare lo stesso protocollo quando si configura Fortigate per l’invio dei dati all’appliance.

8. Cliccare su Salva.

   L’integrazione verrà creata e visualizzata nell’elenco.

   Nei dettagli dell’integrazione, verrà visualizzato il numero di porta per l’appliance. Sarà necessario in un secondo momento, durante la configurazione di Fortigate per l’invio dei dati a quell’agente di raccolta dati.

   Potrebbero trascorrere alcuni minuti prima che l’immagine dell’appliance sia pronta.

Distribuzione dell’appliance

Utilizzare l’immagine per distribuire l’appliance, procedendo come segue:

1. Nell’elenco delle integrazioni, sotto Azioni, cliccare sull’azione di download corrispondente alla propria piattaforma, ad esempio Scarica OVA per ESXi.
2. Al termine del download dell’immagine, distribuirla sulla propria VM. Vedere Distribuzione di un’appliance.

Configurazione di FortiGate

A questo punto, occorre configurare FortiGate in modo che invii avvisi all’appliance Sophos sulla VM.

Configurare FortiGate come segue:

1. Accedere all’interfaccia della riga di comando (CLI).

2. Immettere i seguenti comandi per attivare l’inoltro di syslog e inviare dati all’appliance. Assicurarsi di utilizzare i giusti comandi in base alla versione di FortiGate utilizzata.

   FortiGate 7 e versioni successiveFortiGate 6 e precedenti

   config log syslogd setting
   set status enable
   set facility user
   set port <numero di porta della propria appliance>
   set server <indirizzo IP del syslog della propria appliance>
   set mode udp
   set format cef
   end
   

   config log syslogd setting
   set status enable
   set facility user
   set port [numero di porta della propria appliance]
   set server [indirizzo IP del syslog della propria appliance]
   set format cef
   set reliable disable
   end
   

Gli avvisi di FortiGate dovrebbero essere visualizzati nel Sophos Data Lake dopo la convalida.

Personalizzazione degli avvisi

La maggior parte delle funzionalità di FortiGate vengono registrate nei log per impostazione predefinita.

Per assicurarsi che vengano registrate nei log le funzionalità relative al traffico, al web e al filtro degli URL, immettere i seguenti comandi. Assicurarsi di utilizzare i giusti comandi in base alla versione di FortiGate utilizzata.

config log syslogd filter
set severity warning
set forward-traffic enable
set local-traffic enable
set multicast-traffic enable
set sniffer-traffic enable
set anomaly enable
end

config log syslogd filter
set traffic enable
set web enable
set url-filter enable
end

FortiGate 5.4 e versioni successive possono anche registrare nei log gli URL referrer. Un URL referrer è l’indirizzo della pagina web in cui un utente ha cliccato su un link per aprire la pagina corrente. Questa opzione è utile per le analisi dell’utilizzo del web.

Per attivare la registrazione nei log degli URL referrer per tutti i profili web, procedere come segue:

config webfilter profile
edit [nome del profilo]
set log-all-url enable
set web-filter-referer-log enable
end

Ulteriori risorse

Questo video mostra come configurare l’integrazione.

Per maggiori informazioni sull’invio di log a un server syslog remoto, consultare la Guida ai log e alla reportistica di Fortinet.