Zum Hauptinhalt springen
Diese Seite behandelt Syslog der Sophos-Firewall-Appliance (SFOS). Informationen zu Endpunkt-Erkennungen aus Sophos Central finden Sie unter Sophos Central.

​
Einrichtung

  1. Folgen Sie der gemeinsamen Anleitung Log-Forwarder, um Sophos Firewall hinzuzufügen und die Forwarder-Details zu öffnen (oder fragen Sie im Chat nach ip:port des Listeners). Sophos sendet Syslog über UDP oder, wenn die sichere Protokollübertragung aktiviert ist, über TLS. An einen reinen TCP-Listener kann die Firewall nicht senden
  2. Öffnen Sie in der Web-Admin-Konsole von Sophos Firewall System services > Log settings und klicken Sie im Abschnitt Syslog servers auf Add. Sie können bis zu fünf Syslog-Server hinzufügen
  3. Geben Sie einen Name ein und tragen Sie unter IP address/domain und Port die Werte aus Forwarder-Details ein
  4. Wenn Forwarder-Details TLS: Aktiviert anzeigt, aktivieren Sie Secure log transmission. Andernfalls lassen Sie die Option deaktiviert; die Firewall sendet dann über UDP
  5. Setzen Sie Format auf Standard syslog protocol (unter SFOS 19.0 Central Reporting Format genannt). Das ältere Device standard format wird ebenfalls geparst
  6. Setzen Sie Facility auf DAEMON und Severity level auf Information und klicken Sie dann auf Save
  7. Suchen Sie unter Log settings die Spalte des neuen Syslog-Servers, wählen Sie darin alle Protokolltypen aus (Wirespeed parst jeden davon) und klicken Sie auf Apply
  8. Die Ereignisse werden in Kürze angezeigt
Wenn Forwarder-Details TLS: Aktiviert anzeigt, geben Sie den Listener von Wirespeed als Domainnamen ein. Die Firewall prüft, ob der Common Name des Zertifikats (oder bei aktiviertem LINCE-Modus sein Subject Alternative Name) mit dieser Domain übereinstimmt. Siehe Syslog über TLS.

​
Zeitzonen

Das Standard-Syslog-Protokoll sendet timestamp mit seinem UTC-Offset. Das ältere Geräteformat sendet date und time in der lokalen Zeit der Firewall mit einer Zeitzonenabkürzung (zum Beispiel timezone="CEST"). Verwenden Sie das Standard-Syslog-Protokoll, um Zeitzonenverschiebungen zu vermeiden.

​
Geparste Ereignisse

Wirespeed parst Ereignisse zu Firewall-Regeln, Inhaltsfilterung (Web und SSL/TLS-Inspektion), Anwendungssteuerung, IPS, ATP, Anti-Malware, Anti-Spam, VPN und System anhand von log_type, log_component und log_subtype in eigene Felder. Anmeldungen an der Web-Admin-Konsole und der SSH-Konsole sowie Authentifizierungsereignisse von Firewall, VPN und Benutzerportal werden als Anmeldungen normalisiert. Felder ohne eigene Spalte bleiben in unmapped erhalten.