> ## Documentation Index
> Fetch the complete documentation index at: https://docs.wirespeed.co/llms.txt
> Use this file to discover all available pages before exploring further.

# Sophos Firewall

> Transférez les événements syslog depuis Sophos Firewall (SFOS)

> [!NOTE]
>
> Cette page concerne le syslog de l’appliance Sophos Firewall (SFOS). Pour les détections des terminaux Sophos Central, consultez [Sophos Central](https://docs.wirespeed.co/fr/integrations/sophos.md).

## Configuration

1. Suivez le guide commun [Redirecteurs de journaux](https://docs.wirespeed.co/fr/integrations/log-forwarders.md) pour ajouter **Sophos Firewall** et ouvrir **Détails du redirecteur** (ou demandez au Chat l’`ip:port` de l’écouteur). Sophos envoie le syslog en UDP, ou en TLS lorsque la transmission sécurisée des journaux est activée. Il ne peut pas envoyer vers un écouteur TCP simple
2. Dans la console d’administration Web de Sophos Firewall, accédez à **System services** > **Log settings** et cliquez sur **Add** dans la section **Syslog servers**. Vous pouvez ajouter jusqu’à cinq serveurs syslog
3. Saisissez un **Name**, puis renseignez **IP address/domain** et **Port** avec les valeurs de **Détails du redirecteur**
4. Si **Détails du redirecteur** affiche **TLS : Activé**, activez **Secure log transmission**. Sinon, laissez cette option désactivée : le pare-feu envoie alors en UDP
5. Réglez **Format** sur **Standard syslog protocol** (appelé **Central Reporting Format** sous SFOS 19.0). L’ancien format **Device standard format** est également analysé
6. Réglez **Facility** sur **DAEMON** et **Severity level** sur **Information**, puis cliquez sur **Save**
7. Sur **Log settings**, repérez la colonne du nouveau serveur syslog, sélectionnez-y tous les types de journaux (Wirespeed les analyse tous) et cliquez sur **Apply**
8. Les événements commenceront à apparaître sous peu

Si **Détails du redirecteur** affiche **TLS : Activé**, saisissez l’écouteur de Wirespeed sous forme de nom de domaine. Le pare-feu vérifie que le Common Name du certificat (ou, si le mode LINCE est activé, son Subject Alternative Name) correspond à ce domaine. Consultez [Syslog sur TLS](https://docs.wirespeed.co/fr/integrations/log-forwarders.md#syslog-sur-tls).

## Fuseaux horaires

Le protocole syslog standard envoie `timestamp` avec son décalage UTC. L’ancien format de l’appareil envoie `date` et `time` dans l’heure locale du pare-feu, avec une abréviation de fuseau horaire (par exemple `timezone="CEST"`). Utilisez le protocole syslog standard pour éviter les décalages de fuseau horaire.

## Événements analysés

Wirespeed analyse dans des champs dédiés les événements de règles de pare-feu, de filtrage de contenu (Web et inspection SSL/TLS), de contrôle des applications, d’IPS, d’ATP, d’anti-malware, d’anti-spam, de VPN et de système, identifiés par `log_type`, `log_component` et `log_subtype`. Les connexions à la console d’administration Web et à la console SSH, ainsi que les événements d’authentification du pare-feu, du VPN et du portail utilisateur, sont normalisés en tant que connexions. Les champs sans colonne dédiée sont conservés dans `unmapped`.


This documentation is built and hosted on [Mintlify](https://mintlify.com), a developer documentation platform.