> ## Documentation Index
> Fetch the complete documentation index at: https://docs.wirespeed.co/llms.txt
> Use this file to discover all available pages before exploring further.

# Sophos Firewall

> Syslog-Ereignisse von Sophos Firewall (SFOS) weiterleiten

> [!NOTE]
>
> Diese Seite behandelt Syslog der Sophos-Firewall-Appliance (SFOS). Informationen zu Endpunkt-Erkennungen aus Sophos Central finden Sie unter [Sophos Central](https://docs.wirespeed.co/de/integrations/sophos.md).

## Einrichtung

1. Folgen Sie der gemeinsamen Anleitung [Log-Forwarder](https://docs.wirespeed.co/de/integrations/log-forwarders.md), um **Sophos Firewall** hinzuzufügen und die **Forwarder-Details** zu öffnen (oder fragen Sie im Chat nach `ip:port` des Listeners). Sophos sendet Syslog über UDP oder, wenn die sichere Protokollübertragung aktiviert ist, über TLS. An einen reinen TCP-Listener kann die Firewall nicht senden
2. Öffnen Sie in der Web-Admin-Konsole von Sophos Firewall **System services** > **Log settings** und klicken Sie im Abschnitt **Syslog servers** auf **Add**. Sie können bis zu fünf Syslog-Server hinzufügen
3. Geben Sie einen **Name** ein und tragen Sie unter **IP address/domain** und **Port** die Werte aus **Forwarder-Details** ein
4. Wenn **Forwarder-Details** **TLS: Aktiviert** anzeigt, aktivieren Sie **Secure log transmission**. Andernfalls lassen Sie die Option deaktiviert; die Firewall sendet dann über UDP
5. Setzen Sie **Format** auf **Standard syslog protocol** (unter SFOS 19.0 **Central Reporting Format** genannt). Das ältere **Device standard format** wird ebenfalls geparst
6. Setzen Sie **Facility** auf **DAEMON** und **Severity level** auf **Information** und klicken Sie dann auf **Save**
7. Suchen Sie unter **Log settings** die Spalte des neuen Syslog-Servers, wählen Sie darin alle Protokolltypen aus (Wirespeed parst jeden davon) und klicken Sie auf **Apply**
8. Die Ereignisse werden in Kürze angezeigt

Wenn **Forwarder-Details** **TLS: Aktiviert** anzeigt, geben Sie den Listener von Wirespeed als Domainnamen ein. Die Firewall prüft, ob der Common Name des Zertifikats (oder bei aktiviertem LINCE-Modus sein Subject Alternative Name) mit dieser Domain übereinstimmt. Siehe [Syslog über TLS](https://docs.wirespeed.co/de/integrations/log-forwarders.md#syslog-über-tls).

## Zeitzonen

Das Standard-Syslog-Protokoll sendet `timestamp` mit seinem UTC-Offset. Das ältere Geräteformat sendet `date` und `time` in der lokalen Zeit der Firewall mit einer Zeitzonenabkürzung (zum Beispiel `timezone="CEST"`). Verwenden Sie das Standard-Syslog-Protokoll, um Zeitzonenverschiebungen zu vermeiden.

## Geparste Ereignisse

Wirespeed parst Ereignisse zu Firewall-Regeln, Inhaltsfilterung (Web und SSL/TLS-Inspektion), Anwendungssteuerung, IPS, ATP, Anti-Malware, Anti-Spam, VPN und System anhand von `log_type`, `log_component` und `log_subtype` in eigene Felder. Anmeldungen an der Web-Admin-Konsole und der SSH-Konsole sowie Authentifizierungsereignisse von Firewall, VPN und Benutzerportal werden als Anmeldungen normalisiert. Felder ohne eigene Spalte bleiben in `unmapped` erhalten.


This documentation is built and hosted on [Mintlify](https://mintlify.com), a developer documentation platform.