Implementación de la recopilación de registros Stormshield

Introducción

Esta guía detalla los pasos de configuración necesarios en Stormshield para permitir el acceso a los registros en su oferta XDR. Esta configuración es necesaria para que nuestros equipos puedan implementar la recopilación de estos registros en su entorno de forma segura.

1. Requisitos previos para la integración de su cortafuegos Stormshield

Para garantizar la integración óptima de su cortafuegos Stormshield con el servidor syslog, debe disponer de los siguientes elementos, que le serán proporcionados por nuestros equipos:

• Un certificado de cliente válido
• El nombre de dominio completo (FQDN) del servidor syslog
• El número de puerto de comunicación del servidor syslog
• La lista de tipos de eventos que se deben transmitir al servidor syslog

Nota importante: Si no se le han comunicado algunos de estos elementos o si encuentra dificultades, póngase en contacto con nuestro equipo técnico, que le asistirá en este proceso.

2. Configuración en Stormshield

2.1 Acceso a la configuración Syslog

1. Conéctese a la interfaz de administración de su cortafuegos Stormshield
2. Acceda a la sección Configuración > Notificaciones
3. Seleccione la pestaña Syslog

2.2 Creación de un perfil Syslog

1. En la sección "Perfiles Syslog", haga clic en "Añadir" para crear un nuevo perfil
2. En el área "Detalles", configure los siguientes parámetros:
   1. Nombre: Introduzca un nombre explícito para el perfil (ej: "Stoik-XDR-Logs")
   2. Comentario: Añada opcionalmente una descripción
   3. Servidor Syslog: Cree un objeto relacionado con el nombre de dominio proporcionado por nuestro equipo. Es específico de su equipo, no lo modifique.
   4. Protocolo: Seleccione TLS
   5. Puerto: Utilice el puerto proporcionado por nuestro equipo, es específico de su equipo, no lo modifique.

2.3 Configuración del cifrado TLS

Para asegurar la transmisión de los registros:

1. En el campo Autoridad de certificación, seleccione la autoridad que firmó los certificados de autenticación
2. Deje vacío el campo Certificado de servidor
3. En Certificado de cliente, importe el certificado que le proporcionaremos específicamente para esta integración
   1. Nuestro equipo le enviará un certificado de cliente seguro para la autenticación de su cortafuegos
   2. Importe este certificado en Configuración > Objetos > Certificados y PKI

2.4 Parámetros avanzados

1. Para el Formato, seleccione RFC5424 (formato estándar conforme a la RFC 5424)
2. No seleccione ningún Servidor de respaldo
3. Seleccione none para la Categoría (facility)

2.5 Selección de los registros a enviar

En la cuadrícula "Registros activados":

1. Active los tipos de registros validados con nuestro equipo de seguridad, en caso de duda por favor contáctenos de nuevo.
   

    

3. Verificación de la configuración

Después de haber configurado su perfil Syslog:

1. Asegúrese de que el estado del perfil sea Activo (haga doble clic en el estado si es necesario)
2. Verifique que la conexión de red entre el Stormshield y el servidor Syslog esté abierta
3. Confirme que los puertos necesarios estén autorizados en las reglas de filtrado
   
   

4. Información que debe proporcionarnos

Una vez terminada la configuración, por favor comuníquenos de forma segura la siguiente información:

1. Dirección IP del cortafuegos Stormshield
2. Modelo y versión del firmware Stormshield
3. Tipos de registros activados (lista de trazas configuradas)
4. Formato de los registros configurado (RFC5424 recomendado)

Esta información nos permitirá finalizar la integración en el lado XDR y comenzar la recopilación de los registros Stormshield de forma segura.