整合 SonicWall SonicOS
MSP Flex 客戶必須具備防火牆整合授權包才能使用此功能。
您可以將 SonicWall SonicOS 安全設備與 Sophos Central 整合，以便其將事件訊息傳送到 Sophos 進行分析。
此整合使用虛擬機 (VM) 上託管的記錄收集器。它們一起被稱為整合設備。該設備會接收第三方資料，並將其傳送至 Sophos Data Lake。
本頁說明如何透過部署於 ESXi 或 Hyper-V 的設備進行整合。若您希望使用部署於 AWS 的設備進行整合，請參閱 在AWS上添加集成。
主要步驟
整合的主要步驟如下：
- 新增此產品的整合項目。此步驟中，您將建立整合設備的映像檔。
- 下載並部署該映像檔至您的虛擬機器。部署後的虛擬機器即成為您的整合設備。
- 設定 SonicOS 以將資料傳送到設備。
需求
整合設備有特定的系統與網路存取需求。若要確認您的環境是否符合要求，請參閱 設備要求。
新增整合項目
若要將 SonicOS 整合到 Sophos Central，請依照以下步驟操作：
- 在 Sophos Central 中，前往 威脅分析中心 > 整合 > Marketplace。
-
按一下 SonicWall SonicOS。
SonicWall SonicOS 頁面隨即打開。您可以在此處新增整合並查看已新增的所有整合清單。
-
在 資料擷取 (安全性警示) 中，按一下 新增設定。
注意
如果這是您首次新增整合，我們將要求您輸入組織的內部網域與 IP 詳細資訊。請參閱 提供您的域和IP詳細資訊。
此時螢幕上將顯示 整合設定步驟。
設定設備
在 整合設定步驟 中，您可以設定新的設備，或使用既有的設備。
此處我們假設您要設定新的設備。請依以下步驟建立映像檔：
- 為新整合新增名稱和說明。
- 按一下建立新設備。
- 輸入設備的名稱和說明。
- 選取虛擬平台。目前支援 VMware ESXi 6.7 Update 3 或更新版本，以及 Microsoft Hyper-V 6.0.6001.18016 (Windows Server 2016) 或更新版本。
-
指定 對外網路連接埠 的 IP 設定這將為 VM 設備設定管理介面。
-
選取 DHCP 可自動指派 IP 位址。
注意
若您選擇 DHCP，請務必保留該 IP 位址。
-
若選擇 手動，則可自行指定網路設定。
-
-
選取 Syslog IP 版本 並輸入 Syslog IP 位址。
稍後設定 SonicOS 以向設備傳送資料時，您將需要該 syslog IP 位址。
-
選取一項通訊協定。
設定 SonicOS 以向設備傳送資料時，必須使用相同的通訊協定。
-
按一下 儲存。
我們會建立整合項目，並將其顯示在您的清單中。
在整合詳細資料中，您可以查看設備所使用的連接埠號碼，稍後設定 SonicOS 以向其傳送資料時，您將需要該編號。
設備映像檔可能需要幾分鐘的時間才能準備好。
部署設備
限制條件
如果您使用的是 ESXi，OVA 檔案會與 Sophos Central 進行驗證，因此只能使用一次。若您需要再次部署新的虛擬機器，則必須在 Sophos Central 中重新建立 OVA 檔案。
請依下列方式使用映像檔部署設備：
- 在整合項目清單中，於 動作 欄位中，按一下對應平台的下載操作，例如 下載 OVA (適用於 ESXi)。
- 映像檔下載完成後，將其部署至您的虛擬機器上。請參閱 部署設備。
設定 SonicOS
您現在可以將 SonicOS 設定為向我們傳送資料。
注意
您可以設定多個 SonicOS 執行個體，以便透過同一設備向 Sophos 傳送資料。完成整合後，請針對其他 SonicOS 執行個體重複本節中的步驟。無須重複執行 Sophos Central 中的設定步驟。
注意
如果您使用 SonicWall 的全域管理系統 (GMS) 來管理防火牆，則無法變更 syslog 格式（預設）或 syslog ID（防火牆）。您可變更其他設定。以下說明不使用 GMS。
要在您的 SonicOS 防火牆上配置 syslog 警報轉發，請按照以下步驟執行：
-
前往系統日誌設定：
- 在 Sonicwall 7.x 上，前往 裝置 > 記錄 > Syslog。
- 在Sonicwall 6.5上，前往管理 > 日誌設定 > Syslog。
-
在 Syslog 伺服器 頁面上，按一下新增。
-
輸入為設備設定的 syslog IP 位址。
新增整合時，必須輸入在 Sophos Central 中輸入的相同設定。
-
在 Syslog 格式中，選擇 ArcSight。Sophos 設備接收 ArcSight CEF 格式警示。
選取 ArcSight 時，設定圖示變為使用中狀態。
-
按一下設定圖示。會顯示 ArcSight CEF 欄位設定設定視窗。
- 選取要記錄的 ArcSight 選項。在大多數情況下為全部。要選取所有選項，請按一下全選。
- 按一下 儲存。
-
在 Syslog ID 方塊中，輸入所需的 syslog ID。
Syslog ID 欄位包含在所有產生的訊息中，帶有前綴
id=。例如，對於防火牆（預設值），所有 syslog 訊息都包括
id=firewall。您可以設置由1到32個字母、數字和底線組成的ID，或將字段保留為空以不設置ID。注意
當使用報告軟體設定覆寫 Syslog 設定選項開啟時，Syslog ID 欄位固定為「防火牆」。不能變更。
-
按一下頁面頂部的接受。
- 移至記錄 > 設定以設定要轉寄到 Sophos 的警示。
-
在記錄級別中，您必須選取警告。
這會篩選掉優先級較低的事件。
-
在記錄 > 設定頁面上，您還可以根據事件屬性篩選事件。
- 選取一個類別，然後按一下設定。
-
在編輯記錄類別中，選中特定類別的 syslog 核取方塊。
您的變更會套用至所選類別中的所有群組和事件。
注意
SonicOS 7.x 可能會傳送格式不正確的資料。如果您已按照我們的所有整合步驟操作，但在 Sophos Central 中未取得 SonicWall 偵測，請嘗試向 SonicWall 支援尋求修補程式 46333。