Check Point Quantum Firewall

記錄收集器防火牆

要使用此功能，您必須擁有「防火牆」整合授權套件。

您可以將 Check Point Quantum Firewall 與 Sophos Central 整合，以便將稽核資料傳送到 Sophos 進行分析。

此整合使用虛擬機 (VM) 上託管的記錄收集器。它們一起被稱為集成設備。設備接收協力廠商資料，並將資料傳送到 Sophos Data Lake。

此頁面介紹使用ESXi或Hyper-V上的設備進行集成如果要使用AWS上的設備進行集成，請參閱 AWS上的集成。

關鍵步驟

設定整合的主要步驟如下：

新增此產品的整合。在此步驟中，您將創建設備的映像。
在 VM 上下載並部署映像。這將成為您的設備。
設定 Quantum Firewall 以將資料傳送到設備。

需求

設備具有系統和網路存取要求。要檢查您是否滿足這些要求，請參閱設備要求。

新增整合

若要將 Quantum Firewall 整合到 Sophos Central，請依照以下步驟操作：

在 Sophos Central 中，移至威脅分析中心 > 整合 > 市場。
按一下 Check Point Quantum Firewall。

Check Point Quantum Firewall 頁面隨即打開。您可以在此處添加集成，並查看已添加的所有集成列表。
在資料擷取（安全警示）中，按一下新增設定。

注意

如果這是您新增的第一個整合，我們可能會要求您提供內部網域和 IP 的詳細資料。請參閱提供您的域和IP詳細資訊。

配置設備

在 集成設定步驟中，您可以配置新設備或使用現有設備。

我們假定您在此配置新設備。要執行此操作，請按以下步驟創建映像：

為新整合新增名稱和說明。
按一下建立新設備。
輸入設備的名稱和說明。
選取虛擬平台。目前我們支援 VMware ESXi 6.7 Update 3 或更新版本以及 Microsoft Hyper-V 6.0.6001.18016 (Windows Server 2016) 或更新版本。
指定面向網際網路的網路連接埠的 IP 設定。這將為設備設定管理接口。
- 選取 DHCP 可自動指派 IP 位址。
  
  注意
  
  如果選取 DHCP，則必須保留 IP 位址。
- 選取手動以指定網路設定。
選取 Syslog IP 版本並輸入 Syslog IP 位址。

稍後設定 Quantum Firewall 以向設備傳送資料時，您將需要該 syslog IP 位址。
選取一項通訊協定。

設定 Quantum Firewall 以向設備傳送資料時，必須使用相同的通訊協定。
按一下儲存。

我們會建立整合，整合會顯示在您的清單中。

在整合詳細資料中，您可以看到設備的連接埠號。稍後設定 Quantum Firewall 以向其傳送資料時，您將需要該編號。

設備映像可能需要幾分鐘時間才能準備就緒。

部署設備

限制

如果您使用的是 ESXi，則 OVA 檔案透過 Sophos Central 驗證，因此只能使用一次。如果必須部署其他 VM，則必須在 Sophos Central 中重新建立 OVA 檔案。

使用映像部署設備，如下所示：

在整合清單的動作中，按一下適用於您的平台的下載動作，例如，若是 ESXi，則按一下下載 OVA。
映像下載完成後，請將其部署在 VM 上。請參閱部署設備。

設定 Quantum Firewall

現在，移至 Quantum Firewall 並設定 Check Point Log Exporter 以向我們傳送稽核資料。

注意

您可以配置Quantum Firewall的多個實例，以便通過同一設備向Sophos發送數據。完成集成後，對Quantum Firewall的其他實例重複本節中的步驟。您不需要重複Sophos Central中的步驟。

您可以使用命令行界面(CLI)或SmartConsole配置Check Point Log Exporter。

使用 CLI

要使用 CLI 命令設定 Log Exporter，請在記錄伺服器上使用 cp_log_export 命令。

語法如下：

cp_log_export add name <name> [domain-server <domain-server>] target-server <target-server IP/host name> target-port <target-port> protocol <(udp|tcp)> format <(cef)|(syslog)> [optional arguments]

在執行命令之前，請使用以下資訊對其進行設定：
- 在 MDS 或 MLM 模式中，需要網域伺服器引數。設定方法如下：
  - 將 mds 用作 domain-server 匯出 MDS 層級稽核記錄的值。
  - 將 all 用作 domain-server 在每個網域上設定整合的值。
- domain-server IP 位址或名稱在特定網域上設定整合。Target-server 可以使用 IP 位址或 DNS 名稱。
  
  這將在 $EXPORTERDIR/targets/<deployment_name> 下使用在 name 中指定的唯一名稱建立新的目標目錄。
- 將以下 target-server 參數設定為 Sophos 設備的連線詳細資料：
  - IP 位址 (IP 位址)
  - 連接埠
  - 通訊協定
    
    您必須輸入新增整合時在 Sophos Central 中輸入的相同的 IP 位址、連接埠和通訊協定設定。
- 設定 format 為 cef。
執行 add name 命令。
要使用新參數啟動新的記錄匯出工具，請執行 cp_log_export restart。它不會自動啟動。

有關 cp_log_export 命令的詳細資料，請參見記錄匯出工具 - 基本部署。

驗證後，Quantum Firewall 資料應顯示在 Sophos Data Lake 中。

使用 SmartConsole

要使用 SmartConsole 設定 Log Exporter，請參見 Check Point 記錄和監控管理指南。請參閱記錄和監控管理指南。