Integrar Fortinet FortiGate

Você pode integrar o Fortinet FortiGate ao Sophos Central. Isso permite que o FortiGate envie alertas de firewall à Sophos para análise.

Essa integração usa um coletor de log hospedado em uma máquina virtual (VM). Juntos, eles são chamados de dispositivo de integração. O dispositivo recebe dados de terceiros e os envia ao Sophos Data Lake.

Etapas principais

As principais etapas em uma integração são as seguintes:

• Adicione uma integração deste produto. Nesta etapa, você cria uma imagem do dispositivo.
• Baixe e implante a imagem na sua VM. Isso se torna o seu dispositivo.
• Configure o FortiGate para enviar dados ao dispositivo.

Requisitos

Os dispositivos têm requisitos de acesso ao sistema e à rede. Para verificar se você os atende, consulte Requisitos do dispositivo.

Adicionar uma integração

Para adicionar a integração, siga este procedimento:

1. Em Sophos Central, vá para Centro de Análise de Ameaças > Integrações > Marketplace.

2. Clique em Fortinet FortiGate.

   A página Fortinet FortiGate é aberta. Você pode adicionar integrações aqui e ver uma lista daquelas que você já adicionou.

3. Em Ingestão de dados (Alertas de segurança), clique em Adicionar configuração.

   Nota

   Se esta for a primeira integração que você adiciona, solicitaremos detalhes sobre seus domínios internos e IPs. Consulte Meus domínios e IPs.

   Etapas de configuração de integração aparece.

Configurar o dispositivo

Em Etapas de configuração de integração, você pode configurar um novo dispositivo ou usar um existente.

Presumimos aqui que você queira configurar um novo dispositivo. Para fazer isso, crie uma imagem da seguinte forma:

1. Insira um nome de integração e uma descrição.
2. Clique em Criar um novo dispositivo.
3. Insira um nome e uma descrição para o dispositivo.
4. Selecione a plataforma virtual. Atualmente, oferecemos suporte a VMware ESXi 6.7 Update 3 ou posterior e Microsoft Hyper-V 6.0.6001.18016 (Windows Server 2016) ou posterior.

5. Especifique as configurações de IP das Portas de rede voltadas à Internet. Isso configura a interface de gerenciamento do dispositivo.

   • Selecione DHCP para atribuir o endereço IP automaticamente.

     Nota

     Se você selecionar DHCP, deverá reservar o endereço IP.

   • Selecione Manual para especificar as configurações de rede.

6. Selecione a Versão de IP do syslog e insira o endereço IP de syslog.

   Você precisará desse endereço IP de syslog mais tarde, ao configurar o FortiGate para enviar dados ao seu dispositivo.

7. Selecione um Protocolo.

   Você deve usar o mesmo protocolo ao configurar o FortiGate para enviar dados ao seu dispositivo.

8. Clique em Salvar.

   Nós criamos a integração e ela aparece na sua lista.

   Nos detalhes de integração, você pode ver o número da porta do dispositivo. Você precisará dele mais tarde, ao configurar o Fortigate para enviar dados.

   Pode levar alguns minutos para que a imagem do dispositivo fique pronta.

Implantar o dispositivo

Use a imagem para implantar o dispositivo da seguinte forma:

1. Na lista de integrações, em Ações, clique na ação de download para a sua plataforma, por exemplo, Baixar OVA para ESXi.
2. Quando o download da imagem for concluído, implante-a em sua VM. Consulte Implantar um dispositivo.

Configurar o FortiGate

Agora você configurar o FortiGate para enviar alertas ao dispositivo da Sophos na VM.

Configure o FortiGate da seguinte forma:

1. Faça login na interface de linha de comando (CLI).

2. Digite os seguintes comandos para ativar o encaminhamento de syslog e enviar dados para o seu dispositivo. Certifique-se de usar os comandos corretos para a sua versão do FortiGate.

   FortiGate 7 e posteriorFortiGate 6 e anterior

   config log syslogd setting
   set status enable
   set facility user
   set port <número da porta do seu dispositivo>
   set server <endereço IP do syslog do seu dispositivo>
   set mode udp
   set format cef
   end
   

   config log syslogd setting
   set status enable
   set facility user
   set port [número da porta do seu dispositivo]
   set server [endereço IP do syslog do seu dispositivo]
   set format cef
   set reliable disable
   end
   

Seus alertas do FortiGate agora devem aparecer no Sophos Data Lake após a validação.

Personalizar alertas

Por padrão, a maioria dos recursos do FortiGate é registrada em log.

Para garantir que os recursos de filtragem de tráfego, Web e URL sejam registrados em log, digite os seguintes comandos. Certifique-se de usar os comandos corretos para a sua versão do FortiGate.

config log syslogd filter
set severity warning
set forward-traffic enable
set local-traffic enable
set multicast-traffic enable
set sniffer-traffic enable
set anomaly enable
end

config log syslogd filter
set traffic enable
set web enable
set url-filter enable
end

No FortiGate 5.4 e posterior também é possível registrar em log as URLs referenciadoras. Uma URL referenciadora é o endereço da página da Web em que um usuário clicou em um link para ir para a página atual. Isso é útil para a análise de uso da Web.

Para ativar o registro em log da URL referenciadora para cada perfil da Web, faça o seguinte:

config webfilter profile
edit [Nome do seu perfil]
set log-all-url enable
set web-filter-referer-log enable
end

Mais recursos

Este vídeo o direciona pela configuração de integração.

Para obter mais informações sobre como efetuar login em um servidor syslog remoto, consulte Fortinet’s Logging and Reporting Guide.