ส่ง Log จาก FortiGate เข้า Athena XDR ผ่าน XDR Broker

บทความนี้อธิบายการส่ง Log จาก FortiGate เข้า Sangfor Athena XDR (SaaS) ผ่าน XDR Broker ด้วย Syslog เพื่อให้ทีม SOC ค้นหาและวิเคราะห์ Log ของ FortiGate ได้ในที่เดียวกับอุปกรณ์อื่น และให้ XDR นำ Log ไปสร้าง Alert และ Incident สำหรับผู้ดูแลระบบที่ติดตั้ง Broker เรียบร้อยแล้ว หากต้องการให้ XDR สั่งบล็อกที่ FortiGate ด้วย ให้ทำต่อที่ การสั่งบล็อกที่ FortiGate จาก Athena XDR (Coordinated Response)

เพิ่ม FortiGate ใน Athena XDR

1. ไปที่ Configuration › Connection › Device Connection › Third-Party Devices › Connected Devices แล้วกด Add

   

2. ขั้น Capability Selection กรอกข้อมูลดังนี้

   • Device Type: พิมพ์ Forti แล้วเลือก Fortinet/Fortinet FW
   • Name: ชื่ออุปกรณ์ ใช้ "_" แทน "-" เช่น FW_DMZ
   • Version: เวอร์ชัน FortiOS ของเครื่อง เช่น 7.4.4 (ใช้จับคู่กฎการเชื่อมต่อและ Operation Guide)
   • Connection Mode: Broker Connection แล้วเลือก Broker ที่ Online อยู่
   • Supported Capabilities: ติ๊ก Log Ingestion (ป้าย Predefined Rules Available หมายถึงมีกฎแปลง Log ของรุ่นนี้พร้อมใช้) ส่วน Coordinated Response เปิดภายหลังได้เมื่อจะตั้งค่าการสั่งบล็อก

   

3. กด Next ไปขั้น Log Ingestion

   • Connection Method: Syslog
   • Src IP: IPv4 ที่ FortiGate ใช้ส่ง Log มาถึง Broker XDR ใช้ค่านี้จับคู่ Log ที่เข้า Broker กับอุปกรณ์แถวนี้ ค่าจึงต้องตรงกับ IP ต้นทางจริง
   • Reporting Error: ระยะเวลา (Time Since Last Sync) ที่ Log ขาดหายก่อนสถานะเปลี่ยนเป็น Error ค่าในฟอร์มตั้งไว้ที่ 72 ชั่วโมง
   • Advanced: Encoding Format UTF-8 และ Data Transfer Direct Transfer ส่วน Time Calibration ใช้เมื่อเวลาใน Log ไม่ตรงกับเวลาจริง (ไม่บังคับ)

   แผง Operation Guide ด้านขวาแสดงคำอธิบายแต่ละช่องและขั้นตอนฝั่ง FortiGate ของเวอร์ชันที่เลือก

   

4. กด OK แถวของ FortiGate จะขึ้นในรายการ ป้าย Log Ingestion เป็นสีเทา และ Logs Ingested Today เป็น 0 จนกว่า FortiGate จะเริ่มส่ง Log

   

ตั้งค่า Syslog บน FortiGate

1. Login เข้า FortiGate ไปที่ Log & Report › Log Settings

   

2. ตั้ง Syslog logging เป็น Enable แล้วกรอก IP Address/FQDN เป็น IP ของ Broker

3. กด Apply ระบบจะแจ้ง "Your changes have been saved." FortiGate จะส่ง Syslog ทาง UDP พอร์ต 514 ซึ่งตรงกับที่ Broker รอรับ

   

สำหรับการเชื่อมต่อกับ XDR ให้ FortiGate ส่ง Event logging โดยไม่จำเป็นต้องเปิด Local traffic logging ยิ่ง Log ที่ส่งมามีข้อมูลด้านความปลอดภัยครบ เช่น การโจมตี URL และชื่อกฎ XDR ก็ยิ่งนำไปใช้ได้หลายความสามารถ (ดูผลได้ที่ Data Quality Analysis)

กำหนด IP ต้นทางของ Syslog (source-ip)

หน้า GUI ใช้กำหนด IP ปลายทาง ส่วน IP ต้นทางที่ FortiGate ใช้ส่ง Syslog ให้กำหนดใน CLI (เมนู Edit in CLI หรือ SSH) เพื่อให้ตรงกับช่อง Src IP ใน XDR

config log syslogd setting
    set source-ip <IP ของอินเทอร์เฟซที่ FortiGate ใช้ส่ง Log>
end

ทุกครั้งที่เครือข่ายเปลี่ยน เช่น ตั้ง HA หรือเปลี่ยน Route ให้ตรวจ IP ต้นทางนี้อีกครั้ง หาก IP ที่ส่งจริงไม่ตรงกับ Src IP ให้แก้ได้สองทาง

• (แนะนำ) ตั้ง source-ip ให้คงที่ในชุด Syslog ที่ชี้ไปที่ Broker
• หรือที่ XDR กด Edit ที่แถวของ FortiGate แล้วแก้ Src IP ให้ตรงกับ IP ที่ส่งมาจริง

ส่ง Log ไปยังระบบเดิมและ XDR พร้อมกัน

หากช่อง Syslog ในหน้า GUI ใช้ส่ง Log ไปยังระบบเก็บ Log เดิมอยู่แล้ว ให้เพิ่มปลายทางชุดที่สองสำหรับ Broker ทาง CLI โดยไม่ต้องแก้ค่าเดิม

config log syslogd2 setting
    set status enable
    set server <IP ของ Broker>
    set mode udp
    set port 514
    set source-ip <IP ของอินเทอร์เฟซที่ FortiGate ใช้ส่ง Log>
end

ตรวจค่าด้วยคำสั่ง get log syslogd2 setting ค่า status ต้องเป็น enable และ server ชี้ไปที่ Broker จากนั้น FortiGate จะส่ง Log ไปทั้งระบบเดิมและ XDR พร้อมกัน

ตรวจสอบผล

1. กลับไปที่ Third-Party Devices › Connected Devices เมื่อ Log เริ่มเข้า ป้าย Log Ingestion ของแถว FortiGate จะเป็นสีเขียว และ Logs Ingested Today เพิ่มขึ้นจาก 0 การ์ด Connection Statistics Today ด้านบนสรุปยอด Log ทั้งวันและจำนวนอุปกรณ์ในกลุ่ม Normal, Abnormal/Alerting และ Not Connected

   

2. ความหมายของสีป้ายดูได้จากไอคอนข้าง Capability Status: เทา = ตั้งค่าแล้วแต่ยังไม่เชื่อมต่อ, ฟ้า = GPT กำลังวิเคราะห์ Log เพื่อสร้างกฎแปลง, เขียว = เชื่อมต่อและทำงานปกติ, ส้มหรือแดง = เกิดข้อผิดพลาด ให้คลิกชื่ออุปกรณ์เพื่อดูรายละเอียด

3. ค้นหา Log ของ FortiGate ได้ที่ Detections › Security Logs ซึ่ง Log ของ FortiGate แสดง Reporting Device เป็น Fortinet FW (ดู Security Logs บน Athena XDR)

4. ดูคุณภาพของ Log ที่แท็บ Data Quality Analysis ในกลุ่ม Fortinet FW ชี้ที่แถบของแต่ละคอลัมน์เพื่อดูว่าฟิลด์ที่ส่งมาครบสำหรับความสามารถนั้นหรือไม่

   

หากตัวเลขไม่ขยับ ให้ไล่ตรวจตามลำดับ: Broker เป็น Online และ Test Connectivity ผ่าน → Packet Capture บน Console ของ Broker ด้วย IP ของ FortiGate และพอร์ต 514 ได้ไฟล์ที่มีขนาด → Src IP ใน XDR ตรงกับ source-ip ของ FortiGate (รายละเอียดใน บทความการติดตั้ง XDR Broker)

สั่งบล็อกที่ FortiGate

แถวของ FortiGate เดียวกันนี้เปิดความสามารถ Coordinated Response ได้ เพื่อให้ XDR สั่งบล็อก IP หรือโดเมนที่ FortiGate ผ่าน Broker ตัวเดิม โดยใช้บัญชี REST API Admin บน FortiGate ที่กำหนด Trusted Host เป็น IP ของ Broker และต้องมี License SOAR ขั้นตอนทั้งหมดอยู่ใน การสั่งบล็อกที่ FortiGate จาก Athena XDR (Coordinated Response)

ค่าในภาพเป็นค่าตัวอย่าง ให้เปลี่ยนเป็นค่าขององค์กร