Saltar al contenido principal
Esta página cubre el syslog del dispositivo Sophos Firewall (SFOS). Para las detecciones de puntos de conexión de Sophos Central, consulte Sophos Central.

​
Configuración

  1. Siga la guía compartida de reenviadores de registros para añadir Sophos Firewall y abrir Forwarder Details (o pregunte a Chat por el ip:port del receptor). Sophos envía syslog por UDP, o por TLS cuando la transmisión segura de registros está activada. No puede enviar a un receptor TCP en texto plano
  2. En la consola de administración web de Sophos Firewall, vaya a System services > Log settings y haga clic en Add en la sección Syslog servers. Puede añadir hasta cinco servidores syslog
  3. Introduzca un Name y establezca IP address/domain y Port con los valores de Forwarder Details
  4. Si Forwarder Details muestra TLS: Enabled, active Secure log transmission. En caso contrario, déjelo desactivado y el firewall enviará por UDP
  5. Establezca Format en Standard syslog protocol (denominado Central Reporting Format en SFOS 19.0). También se analiza el legado Device standard format
  6. Establezca Facility en DAEMON y Severity level en Information, y haga clic en Save
  7. En Log settings, busque la columna del nuevo servidor syslog, seleccione en ella todos los tipos de registro (Wirespeed analiza cada uno) y haga clic en Apply
  8. Los eventos empezarán a aparecer en breve
Si Forwarder Details muestra TLS: Enabled, introduzca el receptor de Wirespeed como nombre de dominio. El firewall comprueba que el Common Name del certificado (o, con el modo LINCE activado, su Subject Alternative Name) coincida con ese dominio. Consulte Syslog over TLS.

​
Zonas horarias

El protocolo syslog estándar envía timestamp con su desplazamiento UTC. El formato de dispositivo legado envía date y time en la hora local del firewall con una abreviatura de zona horaria (por ejemplo timezone="CEST"). Use el protocolo syslog estándar para evitar desfases de zona horaria.

​
Eventos analizados

Wirespeed analiza eventos de reglas del firewall, filtrado de contenido (inspección web y SSL/TLS), control de aplicaciones, IPS, ATP, antimalware, antispam, VPN y del sistema en campos dedicados indexados por log_type, log_component y log_subtype. Los inicios de sesión en la administración web y en la consola SSH, así como los eventos de autenticación del firewall, la VPN y el portal de usuario, se normalizan como inicios de sesión. Los campos sin columna dedicada se conservan en unmapped.