이 페이지 내용
Forcepoint V-시리즈 콘텐츠 게이트웨이
JSA용 Forcepoint V-Series Content Gateway DSM은 Content Gateway 소프트웨어를 사용하여 Forcepoint V-Series 어플라이언스의 웹 콘텐츠에 대한 이벤트를 지원합니다.
Forcepoint V-Series Content Gateway DSM은 syslog를 사용하여 이벤트를 스트리밍하거나 로그 파일 프로토콜을 사용하여 JSA에 이벤트를 제공하는 이벤트를 수락합니다. 어플라이언스를 JSA와 통합하려면 먼저 다음 구성 방법 중 하나를 선택해야 합니다.
-
Forcepoint V-Series에 대해 syslog를 구성하려면 Forcepoint V-Series Content Gateway에 대한 Syslog 구성을 참조하십시오.
-
Forcepoint V-Series에 대한 로그 파일 프로토콜을 구성하려면 Forcepoint V-Series Content Gateway에 대한 로그 파일 프로토콜을 참조하십시오.
Forcepoint V-Series Content Gateway에 대한 Syslog 구성
Forcepoint V-Series DSM은 Linux 소프트웨어 설치에서 Forcepoint Content Gateway를 실행하는 Forcepoint V-Series 기기를 지원합니다.
JSA를 구성하기 전에 LEEF 형식의 syslog 이벤트를 제공하도록 Forcepoint Content Gateway를 구성해야 합니다.
Forcepoint V-Series Content Gateway에 대한 관리 콘솔 구성
Content Gateway Manager에서 이벤트 로깅을 구성할 수 있습니다.
-
Forcepoint Content Gateway Manager에 로그인합니다.
-
구성 탭을 클릭합니다.
-
Subsystems >Logging)을 선택합니다.
일반 로깅 구성 창이 표시됩니다.
-
Log Transactions and Errors(트랜잭션 및 오류 기록)를 선택합니다.
-
로그 디렉토리를 선택하여 저장된 이벤트 로그 파일의 디렉토리 경로를 지정합니다.
정의하는 디렉터리가 있어야 하며 Forcepoint 사용자는 지정된 디렉터리에 대한 읽기 및 쓰기 권한이 있어야 합니다.
기본 디렉토리는 /opt/WGC/logs입니다.
-
적용을 클릭합니다.
-
사용자 지정 탭을 클릭합니다.
-
Custom Log File Definitions(사용자 지정 로그 파일 정의) 창에서 LEEF 형식에 대한 다음 텍스트를 입력합니다.
<LogFormat> <Name = "leef"/> <Format = "LEEF:1.0|Forcepoint|WCG| 7.6| %<wsds>|cat=%<wc> src=%<chi> devTime=%<cqtn> devTimeFormat=dd/MMM/yyyy:HH:mm:ss Z http-username=%<caun> url=%<cquc> method=%<cqhm> httpversion=%<cqhv> cachecode=%<crc>dstBytes=%<sscl> dst=%<pqsi> srcBytes=%<pscl> proxy-statuscode=%< pssc> server-status-code=%<sssc> usrName=%<wui> duration=%<ttms>"/> </LogFormat>
<LogObject> <Format = "leef"/> <Filename = "leef"/> </LogObject>
메모:LEEF 형식 문자열의 필드는 탭으로 구분됩니다. 텍스트 편집기에서 LEEF 형식을 입력한 다음 잘라내어 웹 브라우저에 붙여넣어 탭 구분을 유지해야 할 수 있습니다. definitions 파일은 추가 공백, 빈 줄 및 모든 주석을 무시합니다.
-
Enabled(사용)를 선택하여 사용자 지정 로깅 정의를 사용하도록 설정합니다.
-
적용을 클릭합니다.
이제 Forcepoint Content Gateway에 대한 이벤트 로깅을 활성화할 수 있습니다.
Forcepoint V-Series Content Gateway에 대한 이벤트 로깅 활성화
Forcepoint V-Series 어플라이언스를 사용하는 경우 Forcepoint 기술 지원에 문의하여 이 기능을 활성화하십시오.
-
Forcepoint Content Gateway를 실행하는 서버의 CLI(명령줄 인터페이스)에 로그인합니다.
-
/etc/rc.local 파일의 끝에 다음 행을 추가합니다.
( while [ 1 ] ; do tail -n1000 -F /opt/WCG/logs/leef.log | nc <IP Address> 514 sleep 1 done ) &
여기서 <IP Address>은 JSA의 IP 주소입니다.
-
로깅을 즉시 시작하려면 다음 명령을 입력합니다.
nohup /bin/bash -c "while [ 1 ] ; do tail -F /opt/WCG/logs/leef.log | nc <IP Address> 514; sleep 1; done" &
메모:Forcepoint V-Series Content Gateway에 대한 이벤트 로깅 활성화에 로깅 명령을 입력하거나 명령을 텍스트 편집기에 복사하여 따옴표를 해석해야 할 수 있습니다.
구성이 완료되었습니다. Forcepoint V-Series Content Gateway의 syslog 이벤트가 자동으로 검색되므로 로그 소스가 JSA에 추가됩니다. Forcepoint V-Series Content Gateway에서 전달한 이벤트는 JSA의 로그 활동 탭에 표시됩니다.
Forcepoint V-Series Content Gateway에 대한 Syslog 로그 소스 매개 변수
JSA가 로그 소스를 자동으로 감지하지 못하는 경우, syslog 프로토콜을 사용하여 JSA 콘솔에서 Forcepoint V-Series Content Gateway 로그 소스를 추가하십시오.
syslog 프로토콜을 사용할 때 사용해야 하는 특정 매개 변수가 있습니다.
다음 표에서는 Forcepoint V-Series Content Gateway에서 syslog 이벤트를 수집하기 위해 특정 값이 필요한 매개 변수에 대해 설명합니다.
| 매개 변수 |
값 |
|---|---|
| 로그 소스 이름 |
로그 소스의 이름을 입력합니다. |
| 로그 소스 설명 |
로그 소스에 대한 설명을 입력합니다. |
| 로그 소스 유형 |
Forcepoint V 시리즈 |
| 프로토콜 구성 |
Syslog |
| 로그 소스 식별자 |
로그 소스의 IP 주소 또는 호스트 이름을 Forcepoint V-Series Content Gateway 어플라이언스의 이벤트에 대한 식별자로 입력합니다. |
Forcepoint V-Series Content Gateway의 로그 파일 프로토콜
로그 파일 프로토콜을 통해 JSA 는 원격 호스트에서 보관된 로그 파일을 검색할 수 있습니다.
Forcepoint V-Series DSM은 예약된 간격으로 이벤트를 제공하기 위해 로그 파일 프로토콜을 사용하여 Forcepoint V-Series Content Gateway에서 로그 파일을 대량으로 로드할 수 있도록 지원합니다. 로그 파일에는 Forcepoint V-Series Content Gateway에 대한 트랜잭션 및 오류 이벤트가 포함되어 있습니다.
- Forcepoint V-Series Content Gateway에 대한 Content Management Console 구성
- Forcepoint V-Series Content Gateway에 대한 로그 파일 로그 소스 매개 변수
Forcepoint V-Series Content Gateway에 대한 Content Management Console 구성
Content Management Console에서 이벤트 로깅을 구성합니다.
-
Forcepoint Content Gateway 인터페이스에 로그인합니다.
-
구성 탭을 클릭합니다.
-
Subsystems >Logging)을 선택합니다.
-
Log Transactions and Errors(트랜잭션 및 오류 기록)를 선택합니다.
-
로그 디렉토리를 선택하여 저장된 이벤트 로그 파일의 디렉토리 경로를 지정합니다.
정의한 디렉터리가 이미 있어야 하며 Forcepoint 사용자에게 지정된 디렉터리에 대한 읽기 및 쓰기 권한이 있어야 합니다.
기본 디렉토리는 /opt/WGC/logs입니다.
-
적용을 클릭합니다.
-
형식 탭을 클릭합니다.
-
형식 유형으로 Netscape Extended Format(Netscape 확장 형식 )을 선택합니다.
-
적용을 클릭합니다.
이제 Forcepoint V-Series Content Gateway에 대한 이벤트 로깅을 활성화할 수 있습니다.
Forcepoint V-Series Content Gateway에 대한 로그 파일 로그 소스 매개 변수
JSA가 로그 소스를 자동으로 감지하지 못하는 경우, 로그 파일 프로토콜을 사용하여 JSA 콘솔에서 Forcepoint V-Series Content Gateway 로그 소스를 추가합니다.
로그 파일 프로토콜을 사용할 때 사용해야 하는 특정 매개 변수가 있습니다.
다음 표에서는 Forcepoint V-Series Content Gateway에서 로그 파일 이벤트를 수집하기 위해 특정 값이 필요한 매개 변수에 대해 설명합니다.
| 매개 변수 |
값 |
|---|---|
| 로그 소스 유형 |
Forcepoint V 시리즈 |
| 프로토콜 구성 |
로그 파일 |
| 로그 소스 식별자 |
로그 소스의 IP 주소 또는 호스트 이름을 Forcepoint V-Series Content Gateway 장치의 이벤트에 대한 식별자로 입력합니다. |
| 서비스 유형 |
보안 파일 전송 프로토콜(SFTP) |
| FTP 파일 패턴 |
|
| 원격 디렉터리 |
/opt/WCG/logs |
| 이벤트 생성기 |
라인바이라인 |
Forcepoint V-Series Content Gateway 샘플 이벤트 메시지
이 샘플 이벤트 메시지를 사용하여 JSA와의 성공적인 통합을 확인하십시오.
형식 문제로 인해 메시지 형식을 텍스트 편집기에 붙여 넣은 다음 캐리지 리턴 또는 줄 바꿈 문자를 제거합니다.
Forcepoint V-Series Content Gateway 샘플 Syslog 프로토콜을 사용할 때 메시지
샘플 1: 다음 샘플 이벤트 메시지는 액세스가 websense에 의해 차단되었음을 보여줍니다.
<159>Jul 16 16:37:26 forcepoint.vseries.test LEEF:1.0|Forcepoint|Security|8.5.3| transaction:blocked|sev=7 cat=1504 usrName=qradar1 loginID=qradar1 src=10.223.7.33 srcPort=34311 srcBytes=0 dstBytes=0 dst=10.10.10.10 dstPort=443 proxyStatuscode= 403 serverStatus-code=0 duration=66 method=POST disposition=1064 contentType=- reason=0-17336-Generic.Content.Web.RTSS policy=Super Administrator**IM Chat and Conferencing Policy role=8 userAgent=Mozilla/5.0 (Windows NT 6.1; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/74.0.3729.169 Safari/537.36 url=https:// www.qradar.example.test/psettings/jobs/profile-shared-with-recruiter logRecordSource= %<logRecordSource>
| JSA 필드 이름 |
이벤트 페이로드에서 강조 표시된 값 |
|---|---|
| 이벤트 ID |
심성 |
| 범주 |
고양이 |
| 소스 IP |
src |
| 소스 포트 |
srcPort |
| 대상 IP |
증권 시세 표시기 |
| 목적지 포트 | dst포트 |
| 사용자 이름 |
usrName(usr이름) |
샘플 2: 다음 샘플 이벤트 메시지는 websense에서 액세스를 허용함을 보여줍니다.
<159>Jun 25 10:45:18 forcepoint.vseries.test LEEF:1.0|Forcepoint|Security|8.5.3| transaction:permitted|sev=1 cat=209 usrName=testUser loginID=testID src=10.252.88.231 srcPort=7434 srcBytes=636 dstBytes=63385 dst=10.10.10.10 dstPort=443 proxyStatus-code=200 serverStatus-code=200 duration=32 method=GET disposition=1065 contentType=text/html; charset\=utf-8 reason=0-14057- Generic.Content.Web.RTSS policy=testPolicy Videos from testCompany role=8 userAgent=Mozilla/5.0 (Windows NT 6.1) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/ 72.0.3626.121 Safari/537.36 url=https://www.qradar.example.test/watch?v\=VsxpUZaggcw logRecordSource=%<logRecordSource>
| JSA 필드 이름 |
강조 |
|---|---|
| 이벤트 ID |
심성 |
| 범주 |
고양이 |
| 소스 IP |
src |
| 소스 포트 |
srcPort |
| 대상 IP |
증권 시세 표시기 |
| 목적지 포트 |
dst포트 |
| 사용자 이름 |
usrName(usr이름) |