FW1_LEA2DLF.IN(1) LogReport's Lire Documentation FW1_LEA2DLF.IN(1)

fw1_lea2dlf - تبدیل لاگ‌های Check Point FireWall-1 NG به قالب DLF فایروال

fw1_lea2dlf file

دستور fw1_lea2dlf لاگ‌های Check Point FireWall-1 NG را به قالب DLF فایروال تبدیل می‌کند. ورودی این مبدل، خروجی ابزار fw1-loggrabber است که یک کلاینت ساده برای LEA (رابط خروجی لاگ یا Log Export Api) محسوب می‌شود.

این مبدل DLF به صورت پیش‌فرض در Lire فعال نیست. این ابزار به ماژول پرل Date::Manip و ابزار fw1-loggrabber نیاز دارد. ماژول Date::Manip را می‌توان از CPAN نصب کرد. ابزار fw1-loggrabber نیز از نشانی http://sourceforge.net/projects/fw1-loggrabber در دسترس است.

اگر هر دوی این مؤلفه‌ها نصب شده باشند، می‌توانید با خارج کردن خط مربوط به آن از حالت توضیح (uncomment) در فایل @sysconfdir@/@PACKAGE@/address.cf مبدل DLF با نام fw1_lea را فعال کنید.

هشدار! در صورتی که هشدارهای فراوانی مبنی بر ایراد در نویسه‌های UTF-8 دریافت می‌کنید که ظاهری شبیه به زیر دارند:

all all UNSET fw1_lea2dlf warning Malformed UTF-8 character
 (unexpected non-continuation byte 0x7a, immediately after
 start byte 0xe3) at /usr/lib/perl5/vendor_perl/5.8.0/Date/Manip.pm
 line 5931.

و محلی‌سازی (locale) سیستم شما بر روی UTF-8 تنظیم شده است، یک راهکار موقت وجود دارد: متغیرهای محیطی LANG و LC_CTYPE را به جای مثلاً en_US.UTF-8 بر روی en_US تنظیم کنید. می‌توانید این کار را به طور موقت در هنگام فراخوانی مبدل انجام دهید:

LANG=en_US LC_CTYPE=en_US ./fw12dlf < /your/log/file

ابزار fw1-loggrabber با استفاده از کیت توسعه نرم‌افزار (SDK) مربوط به OPSEC ساخته شده است. چارچوب OPSEC (سرنام Open Platform for Security، http://www.opsec.com) یک چارچوب امنیتی باز و چندفروشنده‌ای است.

در ادامه نکاتی دربارهٔ fw1-loggrabber نقل شده است:

********************************************************
FW1-LOGGRABBER
Author:           Torsten Fellhauer
current Version:  1.0
********************************************************
1) Prerequisites
2) How to Build
3) How to Use
4) Change History
********************************************************
1) Prerequisites
a) for running FW1-LOGGRABBER
FW1-LOGGRABBER is statically linked and can therefore be
run on the following systems:
* Linux (Tested distributions are Red Hat, SuSE and De-
  bian with Kernel Versions 2.2.x and 2.4.x)
* Solaris SPARC (Tested versions are Solaris 8 and 9)
 * Windows NT/2000/XP (currently no W32 of FW1-LOGGRABBER
  is available yet and therefore not yet tested)
b) for building FW1-LOGGRABBER
FW1-LOGGRABBER uses API-functions from Checkpoints'
OPSEC SDK. In order to be able to build applications 
which are using this SDK, a very special build environ-
ment has to be used. Currently building FW1-LOGGRABBER is
supported only for Solaris SPARC platform and the Linux
platform.
* Linux
 - Red Hat 6.2
 - gcc 2.95.1
 - Checkpoint OPSEC SDK NG-FP3 for Linux 2.2
* Solaris SPARC
 - Solaris 8
 - gcc 2.95.2
 - Checkpoint OPSEC SDK NG-FP3 for Solaris SPARC
* Windows
 - EDITME
3) How to Use
a) Configure FW1 to enable LEA-Protocol
In order to be able to use this tool with a Checkpoint
FW-1 installation, the following tasks have to be done:
* modify $FWDIR/conf/fwopsec.conf and define the port 
  for unauthenticated lea connections.
    #  lea_server  auth_port   18184
    lea_server       port       50001
* bounce FW1 (cpstop / cpstart) to activate changes
* add rule to policy to enable connections on port 
  50001 to the FW-1 Management-Server
b) Usage of FW1-LOGGRABBER
FW1-LOGGRABBER is statically linked and therefore not
dependent of OPSEC libraries. The binary can be run on
any Linux or Solaris SPARC system.
Command-Line Options:
 -s             IP-Address of FW1-Management-Server
 -p             unauthenticated LEA-Port of FW1-Server
 -f             exact name of FW1-Logfile or pattern to
                be matched on FW1-Logfiles.
 --resolve      Resolve IP-Addresses to Names
 --noresolve    Do not resolve IP-Addresses to Names
 --showfiles    Only show available FW1-Logfiles and exit.
 --debug        Enable debug-mode of FW1-LOGGRABBER
Examples:
o fw1-loggrabber -s 192.168.2.254 -p 50001 --showfiles

 Show all logfiles that are available on the FW1-Manage-
 ment-Server with the IP-Address 192.168.2.254. The LEA-
 Port the Management-Server is listening for unauthenti-
 cated connections is 50001.
o fw1-loggrabber -s 192.168.2.254 -p 50001
 Show all logentries of the default FW1-Logfile (fw.log)
 on the FW1-Management-Server with the IP-Address
 192.168.2.254 and the LEA-Port 50001.
o fw1-loggrabber -s 192.168.2.254 -p 50001 -f 2003-03-27_213652.log
 Show all logentries of the specified logfile. If the Log-
 file doesn't exist on the specified FW1-Management-Server,
 no entries are returned.
o fw1-loggrabber -s 192.168.2.254 -p 50001 -f 2003-03
 Show all logentries of all logfiles on the FW1-Management-
 Server, that contain the pattern "2003-03", i.e. all Log-
 Files from March 2003
o fw1-loggrabber -s 192.168.2.254 -p 50001 -f fw.adtlog
 Show all logentries of audit logfile on FW1-Management-Server
4) Change History
* 1.0 - Initial Version (2003/03/30)
 o get all available FW1-Logfiles
 o get data of one or more FW1-Logfiles
5) Features to be implemented
* Implementation of authenticated connections
* Win32 build

برای پردازش لاگی که توسط FW-1 تولید شده است:

$ fw1-loggrabber -s 192.168.2.254 -p 50001 -f fw.log | fw12dlf

دستور fw1_lea2dlf به ندرت به تنهایی استفاده می‌شود و بیشتر توسط lr_log2report فراخوانی می‌گردد:

$ fw1-loggrabber -s 192.168.2.254 -p 50001 -f fw.log | \
   lr_log2report fw1_lea

این مبدل به کتابخانهٔ Date::Manip در پرل وابسته است. بهتر بود برای این منظور از ماژول دیگری استفاده می‌شد که در سایر بخش‌های کد Lire نیز بیشتر کاربرد دارد.

وضعیت و مجوز انتشار ابزار fw1-loggrabber نامشخص است.

متأسفانه Check Point مستندات به راحتی در دسترسی ارائه نمی‌دهد: نشانی http://www.checkpoint.com/support/technical/documents/index.html با گذرواژه محافظت می‌شود. پاره‌ای نکات دربارهٔ محصول FireWall-1 در نشانی http://www.checkpoint.com/products/protect/firewall-1.html موجود است.

Torsten Fellhauer <torsten@fellhauer-web.de>

$Id: fw1_lea2dlf.in,v 1.9 2006/07/23 13:16:35 vanbaal Exp $

Copyright (C) 2003 Torsten Fellhauer

این برنامه یک نرم‌افزار آزاد است؛ شما می‌توانید آن را تحت شرایط «مجوز عمومی همگانی گنو» (GNU General Public License) همان‌طور که توسط بنیاد نرم‌افزارهای آزاد منتشر شده است؛ چه نسخهٔ ۲ مجوز و چه (به دلخواه خودتان) هر نسخهٔ متأخرتری بازتوزیع کرده یا تغییر دهید.

این برنامه به این امید توزیع شده است که سودمند باشد، اما بدون هرگونه ضمانت؛ حتی بدون ضمانت ضمنی «قابل فروش بودن» یا «تناسب برای یک هدف مشخص». برای جزئیات بیشتر به «مجوز عمومی همگانی گنو» مراجعه کنید.

شما باید به همراه این برنامه یک نسخه از مجوز عمومی همگانی گنو را دریافت کرده باشید (فایل COPYING را ببینید)؛ در غیر این صورت، نشانی http://www.gnu.org/copyleft/gpl.html را بررسی کنید.

2025-09-28 Lire 2.1.1