Passer au contenu principal
Cette page concerne le syslog de l’appliance Sophos Firewall (SFOS). Pour les détections des terminaux Sophos Central, consultez Sophos Central.

​
Configuration

  1. Suivez le guide commun Redirecteurs de journaux pour ajouter Sophos Firewall et ouvrir Détails du redirecteur (ou demandez au Chat l’ip:port de l’écouteur). Sophos envoie le syslog en UDP, ou en TLS lorsque la transmission sécurisée des journaux est activée. Il ne peut pas envoyer vers un écouteur TCP simple
  2. Dans la console d’administration Web de Sophos Firewall, accédez à System services > Log settings et cliquez sur Add dans la section Syslog servers. Vous pouvez ajouter jusqu’à cinq serveurs syslog
  3. Saisissez un Name, puis renseignez IP address/domain et Port avec les valeurs de Détails du redirecteur
  4. Si Détails du redirecteur affiche TLS : Activé, activez Secure log transmission. Sinon, laissez cette option désactivée : le pare-feu envoie alors en UDP
  5. Réglez Format sur Standard syslog protocol (appelé Central Reporting Format sous SFOS 19.0). L’ancien format Device standard format est également analysé
  6. Réglez Facility sur DAEMON et Severity level sur Information, puis cliquez sur Save
  7. Sur Log settings, repérez la colonne du nouveau serveur syslog, sélectionnez-y tous les types de journaux (Wirespeed les analyse tous) et cliquez sur Apply
  8. Les événements commenceront à apparaître sous peu
Si Détails du redirecteur affiche TLS : Activé, saisissez l’écouteur de Wirespeed sous forme de nom de domaine. Le pare-feu vérifie que le Common Name du certificat (ou, si le mode LINCE est activé, son Subject Alternative Name) correspond à ce domaine. Consultez Syslog sur TLS.

​
Fuseaux horaires

Le protocole syslog standard envoie timestamp avec son décalage UTC. L’ancien format de l’appareil envoie date et time dans l’heure locale du pare-feu, avec une abréviation de fuseau horaire (par exemple timezone="CEST"). Utilisez le protocole syslog standard pour éviter les décalages de fuseau horaire.

​
Événements analysés

Wirespeed analyse dans des champs dédiés les événements de règles de pare-feu, de filtrage de contenu (Web et inspection SSL/TLS), de contrôle des applications, d’IPS, d’ATP, d’anti-malware, d’anti-spam, de VPN et de système, identifiés par log_type, log_component et log_subtype. Les connexions à la console d’administration Web et à la console SSH, ainsi que les événements d’authentification du pare-feu, du VPN et du portail utilisateur, sont normalisés en tant que connexions. Les champs sans colonne dédiée sont conservés dans unmapped.