การเชื่อมต่อ SaaS XDR กับ FortiGate

หากยังไม่ได้สร้าง Broker ให้สร้าง Broker VM ตาม Guide นี้ก่อน 

Integrate 3rd Party Device กับ Sangfor Athena SaaS XDR

โดยการเชื่อมต่อจะแบ่งเป็นส่ง Log และการเชื่อมต่อ SOAR API 

สารบัญ

ขั้นตอนการเชื่อมต่อเพื่อส่ง Log

ขั้นตอนการเชื่อมต่อ SOAR

ขั้นตอนการเชื่อมต่อเพื่อส่ง Log

Log ใน Guide นี้จะส่งมาด้วย Syslog UDP Port 514 ด้วย UTF-8 encoding format

ฝั่ง FortiGate

1. ไปยัง Log & Report > Log Setting และ Enable Syslog Logging จากนั้นตั้งค่า IP Address/FQDN เป็น IP ของ Broker

   

ฝั่ง SaaS XDR

1. หลังจากเชื่อมต่อกับ Broker VM เรียบร้อย ให้ไปที่ Device Connection > Third-Party Data Ingestion และกด Add 

   

2. ตั้งชื่อ 
   - เลือก Data Source เป็น Broker ที่ติดตั้งไว้

   

   - เลือก Connection Method เป็น Syslog

   

   - กรอก IP ของ FortiGate
   - Reporting Error: หมายถึงหลังจากการ Online ครั้งแรกตัว Log จะต้องขาดหายไปนานขนาดไหนจึงจะขึ้น Error
   - Time Calibration: สำหรับหาก Log ที่ส่งมาเวลาไม่ตรงกับ Timezone ของประเทศไทย (สามารถข้ามไปได้)
   

   

   - เลือก Device Type เป็น Fortinet FW

   

   - Parsing Mode: Rule-based Parsing
   - Encoding Format: UTF-8

   

3. กด OK

ยืนยันผล

1. หลังจากกด OK แล้วอาจต้องรอประมาณ 5-10 นาที Log ถึงจะ Online

   

2. สามารถยืนยันผลลัพท์การทำ Parsing โดยกดที่ชื่อและดูที่ Data Parsing Status

   

ขั้นตอนการเชื่อมต่อ SOAR

จะต้องมี License Data Fusion ก่อน

ฝั่ง FortiGate

1. ไปที่ System > Administrator เลือก Create New เป็น Rest API Admin.
2. ตั้ง Username, Password และใส่ Trusted Hosts เป็น XDR Broker VM IP

   

3. สร้าง Administrator Profile โดยให้สิทธ์ตามรูป แล้วกด OK

   

4. กด Generate เพื่อสร้าง One-Time API (หากต้องการสร้าง Key API ใหม่ให้กด Regenerate)

   

ฝั่ง SaaS XDR

1. ไปที่ Configuration > Device Connection > Third-Party Response Devices หา FortiGate และกด Add
   

   

2. Resource: ชื่อของอุปกรณ์ ตั้งเพื่อให้แยกแยะง่าย
   Device IP: IP ของตัว Fortinet Firewall
   Is Admin Account: ให้เลือก NO เนื่องจากเราใช้ API Admin Account
   Username: Username ที่ส้รางจากฝั่ง FortiGate ในขั้นตอนที่ 2
   Password: Password ที่ส้รางจากฝั่ง FortiGate ในขั้นตอนที่ 2
   Cross-Network Proxy: เลือก Broker ที่ได้สร้างไว้และเชื่อมต่อกับ Fortinet ไว้