Cisco Secure Firewall Management Center-Protokolle erfassen

Parserversion: 7.0

Unterstützt in:

Google SecOps SIEM

In diesem Dokument wird beschrieben, wie Sie Cisco Secure Firewall Management Center-Logs (früher FireSIGHT/Firepower Management Center) mit dem Bindplane-Agenten in Google Security Operations aufnehmen.

Cisco Secure Firewall Management Center (FMC) ist eine zentrale Verwaltungskonsole, die umfassende Richtlinienverwaltung, Ereignisanalyse und Berichterstellung für Cisco Secure Firewall Threat Defense-Geräte bietet. FMC kann Verbindungsevents, Security Intelligence-Events, Einbruchsevents, Dateievents und Malware-Events über Syslog an externe SIEM-Systeme senden.

Hinweis

Prüfen Sie, ob folgende Voraussetzungen erfüllt sind:

• Eine Google SecOps-Instanz
• Windows Server 2016 oder höher oder Linux-Host mit systemd
• Netzwerkverbindung zwischen dem Bindplane-Agent und dem Cisco Secure Firewall Management Center
• Wenn der Agent hinter einem Proxy ausgeführt wird, müssen die Firewallports gemäß den Anforderungen des Bindplane-Agents geöffnet sein.
• Privilegierter Zugriff auf die Weboberfläche des Cisco Secure Firewall Management Center
• Nutzerrolle „Administrator“ oder „Sicherheitsanalyst“ im FMC

Google SecOps-Anmeldedaten für den Bindplane-Agenten abrufen

Wählen Sie eine der folgenden Methoden aus, um den Bindplane-Agenten bei Google SecOps zu authentifizieren:

• Neue Bereitstellungen: Verwenden Sie die Chronicle API (Option 1).
• Legacy-Bereitstellungen: Verwenden Sie die Authentifizierungsdatei für die Datenaufnahme (Option 2) weiter, bis die Ingestion API am 20. Juli 2027 eingestellt wird.

Option 1: Dienstkonto für die Chronicle API erstellen (empfohlen)

1. Melden Sie sich in der Google Cloud -Konsole an und wählen Sie das Google Cloud -Projekt aus, das mit Ihrer Google SecOps-Instanz verknüpft ist.
2. Rufen Sie IAM und Verwaltung > Dienstkonten auf.
3. Klicken Sie auf Dienstkonto erstellen.
4. Geben Sie die folgenden Konfigurationsdetails an:
   • Name des Dienstkontos: Geben Sie einen Namen für das Konto ein (z. B. bindplane-ingest).
   • Dienstkontobeschreibung: Geben Sie eine Beschreibung ein (z. B. Bindplane agent log ingestion).
5. Klicken Sie auf Erstellen und fortfahren.
6. Klicken Sie im Abschnitt Diesem Dienstkonto Zugriff auf das Projekt erteilen auf Rolle auswählen und wählen Sie Chronicle Editor aus.
7. Klicken Sie auf Weiter und dann auf Fertig.
8. Klicken Sie auf das von Ihnen erstellte Dienstkonto und rufen Sie den Tab Schlüssel auf.
9. Klicken Sie auf Schlüssel hinzufügen > Neuen Schlüssel erstellen.
10. Wählen Sie JSON aus und klicken Sie auf Erstellen. Die Schlüsseldatei wird auf Ihren Computer heruntergeladen.
11. Speichern Sie die Schlüsseldatei als ingestion-auth.json im Bindplane-Collector-Verzeichnis (/opt/observiq-otel-collector/ingestion-auth.json unter Linux oder C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json unter Windows) oder aktualisieren Sie creds_file_path in config.yaml, sodass der Pfad mit dem Pfad übereinstimmt, unter dem Sie die Datei speichern.
12. Rufen Sie IAM und Verwaltung > Einstellungen auf und kopieren Sie die Projektnummer. Sie benötigen sie für die Exporter-Konfiguration.

Hinweis: Der JSON-Schlüssel ist ein Berechtigungsnachweis. Beschränken Sie den Zugriff auf die Datei auf dem Bindplane-Host und rotieren Sie den Schlüssel gemäß den Richtlinien Ihrer Organisation.

Option 2: Authentifizierungsdatei für die Datenaufnahme herunterladen (Legacy)

1. Melden Sie sich in der Google SecOps-Konsole an.
2. Rufen Sie Einstellungen > Datenverwaltung > Erfassungs-Agents auf. Wenn Sie eine reine SIEM-Plattform verwenden, rufen Sie die Einstellungen > Erfassungs-Agents auf.
3. Laden Sie die Authentifizierungsdatei für die Datenaufnahme herunter.
4. Speichern Sie die Datei sicher auf dem System, auf dem der Bindplane-Agent installiert werden soll.

Hinweis: Mit dieser Datei wird der Agent bei der alten Ingestion API (malachiteingestion-pa.googleapis.com) authentifiziert, die Google am 20. Juli 2027 einstellen wird. Planen Sie den Wechsel zu Option 1 vor diesem Datum.

Google SecOps-Kundennummer abrufen

1. Melden Sie sich in der Google SecOps-Konsole an.
2. Gehen Sie zu Einstellungen > Verwaltung > Profil. Wenn Sie eine reine SIEM-Plattform verwenden, rufen Sie die Einstellungen > Profil auf.

3. Kopieren und speichern Sie die Kundennummer aus dem Bereich Organisationsdetails.

   Hinweis: Die Kundennummer ist für die Konfiguration des Bindplane-Agent-Exporters erforderlich.

Bindplane-Agent installieren

Installieren Sie den Bindplane-Agenten gemäß der folgenden Anleitung auf Ihrem Windows- oder Linux-Betriebssystem.

Windows-Installation

1. Öffnen Sie die Eingabeaufforderung oder PowerShell als Administrator.

2. Führen Sie dazu diesen Befehl aus:

   msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet
   

3. Warten Sie, bis die Installation abgeschlossen ist.

4. Überprüfen Sie die Installation mit folgendem Befehl:

   sc query observiq-otel-collector
   

   Der Dienst sollte als RUNNING angezeigt werden.

Linux-Installation

1. Öffnen Sie ein Terminal mit Root- oder sudo-Berechtigungen.

2. Führen Sie dazu diesen Befehl aus:

   sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh
   

3. Warten Sie, bis die Installation abgeschlossen ist.

4. Überprüfen Sie die Installation mit folgendem Befehl:

   sudo systemctl status observiq-otel-collector
   

   Der Dienst sollte als active (running) angezeigt werden.

Zusätzliche Installationsressourcen

Weitere Installationsoptionen und Informationen zur Fehlerbehebung finden Sie in der Installationsanleitung für den Bindplane-Agenten.

Hinweis: Für die Konfiguration des Chronicle API-Exporters ist Bindplane Collector v1.106.0 oder höher erforderlich. Mit den vorherigen Befehlen wird die neueste Version installiert. Wenn Sie eine vorhandene Installation aktualisieren, aktualisieren Sie den Collector, bevor Sie die Konfiguration ändern.

Bindplane-Agenten so konfigurieren, dass Syslog-Daten aufgenommen und an Google SecOps gesendet werden

Konfigurationsdatei suchen

• Linux:

  sudo nano /opt/observiq-otel-collector/config.yaml
  

• Windows:

  notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"
  

Konfigurationsdatei bearbeiten

• Ersetzen Sie den gesamten Inhalt von config.yaml durch die folgende Konfiguration:

  receivers:
      udplog:
          listen_address: "0.0.0.0:514"
  
  exporters:
      chronicle/cisco_fmc:
          protocol: https
          # Region of your instance, for example us, europe, asia-southeast1
          location: <LOCATION>
          # Project number of the Google Cloud project linked to the instance
          project: '<PROJECT_NUMBER>'
          compression: gzip
          creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
          customer_id: 'YOUR_CUSTOMER_ID'
          endpoint: chronicle.googleapis.com
          log_type: CISCO_FIRESIGHT
          raw_log_field: body
          ingestion_labels:
              env: production
              source: fmc
  
  service:
      pipelines:
          logs/fmc_to_chronicle:
              receivers:
                  - udplog
              exporters:
                  - chronicle/cisco_fmc
  

Konfigurationsparameter

Ersetzen Sie die folgenden Platzhalter:

• Empfängerkonfiguration:

  • listen_address: Legen Sie 0.0.0.0:514 fest, um auf allen Schnittstellen an UDP-Port 514 zu lauschen. Wenn Port 514 unter Linux Root-Berechtigungen erfordert, verwenden Sie stattdessen Port 1514 und konfigurieren Sie FMC so, dass Daten an diesen Port gesendet werden.

• Exporter-Konfiguration:

  • creds_file_path: Vollständiger Pfad zur JSON-Schlüsseldatei des Dienstkontos (Option 1):
    • Linux: /opt/observiq-otel-collector/ingestion-auth.json
    • Windows: C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
  • YOUR_CUSTOMER_ID: Ersetzen Sie dies durch die Kundennummer, die Sie im vorherigen Abschnitt kopiert haben.
  • location: Ersetzen Sie <LOCATION> durch die Region Ihrer Google SecOps-Instanz (z. B. us, europe oder asia-southeast1). Der Exporter stellt diesem Wert chronicle.googleapis.com voran. Eine vollständige Liste finden Sie unter Regionale Endpunkte.
  • project: Ersetzen Sie <PROJECT_NUMBER> durch die Projektnummer aus IAM & Verwaltung > Einstellungen.
  • endpoint: Behalten Sie die Einstellung chronicle.googleapis.com bei.
  • log_type: Auf CISCO_FIRESIGHT festlegen (genaue Übereinstimmung erforderlich)
  • ingestion_labels: Optionale Labels zum Filtern und Organisieren

Legacy-Ingestion-API-Exporter

• Wenn Sie die Authentifizierungsdatei für die Datenaufnahme aus Option 2 verwenden, ersetzen Sie den Block exporters durch Folgendes. Legen Sie für creds_file_path den Pfad zur Authentifizierungsdatei für die Datenaufnahme fest. Wenn sich Ihre Instanz außerhalb der USA befindet, ersetzen Sie malachiteingestion-pa.googleapis.com durch Ihren regionalen Endpunkt (z. B. europe-malachiteingestion-pa.googleapis.com).

  exporters:
      chronicle/cisco_fmc:
          compression: gzip
          creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
          customer_id: 'YOUR_CUSTOMER_ID'
          endpoint: malachiteingestion-pa.googleapis.com
          log_type: CISCO_FIRESIGHT
          raw_log_field: body
          ingestion_labels:
              env: production
              source: fmc
  

Hinweis: Dieser Exporter funktioniert nicht mehr, wenn die Ingestion API am 20. Juli 2027 eingestellt wird.

Konfigurationsdatei speichern

• Speichern Sie die Datei nach der Bearbeitung:
  • Linux: Drücken Sie Ctrl+O, dann Enter und dann Ctrl+X.
  • Windows: Klicken Sie auf Datei > Speichern.

Starten Sie den Bindplane-Agent neu, um die Änderungen zu übernehmen.

• Führen Sie den folgenden Befehl aus, um den Bindplane-Agenten unter Linux neu zu starten:

  sudo systemctl restart observiq-otel-collector
  

  1. Prüfen Sie, ob der Dienst ausgeführt wird:

     sudo systemctl status observiq-otel-collector
     

  2. Prüfen Sie die Logs auf Fehler:

     sudo journalctl -u observiq-otel-collector -f
     

• Wählen Sie eine der folgenden Optionen aus, um den Bindplane-Agenten unter Windows neu zu starten:

  • Eingabeaufforderung oder PowerShell als Administrator:

    net stop observiq-otel-collector && net start observiq-otel-collector
    

  • Dienstkonsole:

    1. Drücken Sie Win+R, geben Sie services.msc ein und drücken Sie die Eingabetaste.
    2. Suchen Sie nach observIQ OpenTelemetry Collector.
    3. Rechtsklicken Sie und wählen Sie Neu starten aus.

    4. Prüfen Sie, ob der Dienst ausgeführt wird:

       sc query observiq-otel-collector
       

    5. Prüfen Sie die Logs auf Fehler:

       type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"
       

Syslog-Weiterleitung für Cisco Secure Firewall Management Center konfigurieren

In diesem Abschnitt wird beschrieben, wie Sie FMC so konfigurieren, dass Syslog-Nachrichten zu Sicherheitsereignissen (Verbindungs-, Security Intelligence-, Einbruchs-, Datei- und Malware-Ereignisse) von Secure Firewall Threat Defense-Geräten an den Bindplane-Agent gesendet werden.

Syslog-Benachrichtigungsantwort erstellen

1. Melden Sie sich in der Weboberfläche des Cisco Secure Firewall Management Center an.
2. Gehen Sie zu System > Integration > Syslog.
3. Klicken Sie auf Syslog-Benachrichtigung erstellen.
4. Geben Sie die folgenden Konfigurationsdetails an:
   • Name: Geben Sie einen aussagekräftigen Namen ein (z. B. Chronicle-Bindplane).
   • Host: Geben Sie die IP-Adresse des Bindplane-Agent-Hosts ein (z. B. 192.168.1.100).
   • Port: Geben Sie 514 ein (oder 1514, wenn Sie Bindplane so konfiguriert haben, dass ein nicht privilegierter Port überwacht wird).
   • Facility: Wählen Sie eine Facility aus dem Drop-down-Menü aus (z. B. SYSLOG).
   • Schweregrad: Wählen Sie im Drop-down-Menü einen Schweregrad aus (z. B. INFO).

5. Klicken Sie auf Speichern.

   Hinweis: Die Werte für Einrichtung und Schweregrad werden in Syslog-Nachrichten nicht angezeigt. Sie teilen dem empfangenden System mit, wie die Nachrichten kategorisiert werden sollen.

Syslog-Einstellungen für Secure Firewall Threat Defense-Geräte konfigurieren

1. Rufen Sie in der Weboberfläche des Cisco Secure Firewall Management Center die Option Geräte > Plattform-Einstellungen auf.
2. Bearbeiten Sie die Richtlinie für Plattformeinstellungen, die mit Ihrem Secure Firewall Threat Defense-Gerät verknüpft ist, oder erstellen Sie eine neue Richtlinie.
3. Klicken Sie im linken Navigationsbereich auf Syslog.
4. Klicken Sie auf Syslog-Server und dann auf Hinzufügen, um einen neuen Syslog-Server zu konfigurieren.
5. Geben Sie die folgenden Konfigurationsdetails an:
   • IP-Adresse: Geben Sie die IP-Adresse des Bindplane-Agent-Hosts ein (z. B. 192.168.1.100).
   • Protokoll: Wählen Sie UDP aus.
   • Port: Geben Sie 514 ein (oder 1514, wenn Sie Bindplane so konfiguriert haben, dass ein nicht privilegierter Port überwacht wird).
   • Schnittstelle: Wählen Sie die Verwaltungsschnittstelle oder die Schnittstelle aus, die den Bindplane-Agenten erreichen kann.
6. Klicken Sie auf OK, um die Syslog-Serverkonfiguration zu speichern.
7. Klicken Sie auf Syslog-Einstellungen und konfigurieren Sie die folgenden Einstellungen:
   • Setzen Sie ein Häkchen bei Zeitstempel für Syslog-Nachrichten aktivieren.
   • Zeitstempelformat: Wählen Sie ISO 8601 aus (empfohlen für Google SecOps).
   • Setzen Sie ein Häkchen bei Syslog-Geräte-ID aktivieren und geben Sie optional eine benutzerdefinierte Gerätekennung ein.
8. Klicken Sie auf Logging-Einrichtung.
9. Wählen Sie aus, ob Syslogs im EMBLEM-Format gesendet werden sollen. Für die Google SecOps-Aufnahme werden beide Formate unterstützt.
10. Klicken Sie auf Speichern, um die Richtlinie für Plattformeinstellungen zu speichern.

Logging-Einstellungen für Zugriffssteuerungsrichtlinien konfigurieren

1. Rufen Sie in der Weboberfläche des Cisco Secure Firewall Management Center Richtlinien > Zugriffssteuerung auf.
2. Bearbeiten Sie die entsprechende Zugriffssteuerungsrichtlinie.
3. Klicken Sie auf den Tab Logging.
4. Wählen Sie Die Syslog-Einstellungen verwenden, die in der auf dem Gerät bereitgestellten Richtlinie für die Einstellungen der Threat Defense-Plattform konfiguriert sind aus.
5. Wählen Sie optional einen Syslog-Schweregrad aus (z. B. Info oder Warnung).
6. Wenn Sie Datei- und Malware-Ereignisse senden möchten, setzen Sie ein Häkchen bei Syslog-Nachrichten für Datei- und Malware-Ereignisse senden.
7. Klicken Sie auf Speichern.

Protokollierung für Security Intelligence-Ereignisse aktivieren

1. Klicken Sie in derselben Zugriffssteuerungsrichtlinie auf den Tab Security Intelligence.
2. Klicken Sie an jedem der folgenden Orte auf Logging und aktivieren Sie das Logging:
   • Klicken Sie neben DNS Policy (DNS-Richtlinie) auf Logging (Protokollierung), aktivieren Sie Log at Beginning of Connection (Zu Beginn der Verbindung protokollieren) und Log at End of Connection (Am Ende der Verbindung protokollieren) und aktivieren Sie Syslog Server.
   • Im Feld Block List (Sperrliste) für Networks (Netzwerke): Klicken Sie auf Logging (Protokollierung), aktivieren Sie Log at Beginning of Connection (Zu Beginn der Verbindung protokollieren) und Log at End of Connection (Am Ende der Verbindung protokollieren) und aktivieren Sie Syslog Server.
   • Klicken Sie im Feld Block List (Sperrliste) für URLs auf Logging (Protokollierung), aktivieren Sie Log at Beginning of Connection (Zu Beginn der Verbindung protokollieren) und Log at End of Connection (Am Ende der Verbindung protokollieren) und aktivieren Sie Syslog Server.
3. Klicken Sie auf Speichern.

Syslog-Logging für Zugriffssteuerungsregeln aktivieren

1. Klicken Sie in derselben Zugriffssteuerungsrichtlinie auf den Tab Regeln.
2. Klicken Sie auf eine Regel, um sie zu bearbeiten.
3. Klicken Sie in der Regel auf den Tab Logging.
4. Wählen Sie aus, ob der Beginn oder das Ende von Verbindungen oder beides protokolliert werden soll:
   • Aktivieren Sie Log at Beginning of Connection (generiert ein hohes Volumen).
   • Setzen Sie ein Häkchen bei Log at End of Connection (für die meisten Anwendungsfälle empfohlen).
5. Wenn Sie Dateiereignisse protokollieren möchten, setzen Sie ein Häkchen bei Log Files (Protokolldateien).
6. Wählen Sie Syslog Server aus.
7. Prüfen Sie, ob die Regel die Standard-Syslog-Konfiguration im Zugriffssteuerungs-Logging verwendet. Konfigurieren Sie keine Überschreibungen.
8. Klicken Sie auf Hinzufügen, um die Regel zu speichern.
9. Wiederholen Sie die Schritte 2 bis 8 für jede Regel in der Richtlinie, die Sie protokollieren möchten.

Syslog-Einstellungen für die Richtlinie zur Einbruchserkennung konfigurieren

1. Gehen Sie zu Richtlinien > Einbruch.
2. Bearbeiten Sie die Einbruchsrichtlinie, die mit Ihrer Zugriffssteuerungsrichtlinie verknüpft ist.
3. Klicken Sie auf Erweiterte Einstellungen > Syslog-Benachrichtigungen.
4. Setzen Sie Syslog Alerting auf Enabled.
5. Klicken Sie neben Syslog-Benachrichtigungen auf Bearbeiten.
6. Legen Sie folgende Einstellungen fest:
   • Logging Host: Lassen Sie dieses Feld leer, um die in den Threat Defense Platform Settings konfigurierten Syslog-Einstellungen zu verwenden. Wenn Sie hier einen Logging-Host angeben, müssen Sie auch Facility und Severity konfigurieren.
   • Facility: Gilt nur, wenn Sie einen Logging-Host angeben. Wählen Sie eine Einrichtung aus (z. B. AUTH oder LOCAL0).
   • Schweregrad: Gilt nur, wenn Sie einen Logging-Host angeben. Wählen Sie einen Schweregrad aus (z. B. Info oder Warnung).
7. Klicken Sie auf Zurück.
8. Klicken Sie im linken Navigationsbereich auf Richtlinieninformationen.
9. Klicken Sie auf Änderungen übernehmen.

Konfigurationsänderungen bereitstellen

1. Nachdem Sie alle Syslog-Einstellungen konfiguriert haben, stellen Sie die Änderungen auf Ihren verwalteten Geräten bereit.
2. Klicken Sie in der Weboberfläche des Cisco Secure Firewall Management Center oben rechts auf Deploy (Bereitstellen).
3. Wählen Sie die Geräte aus, auf denen Sie die Konfiguration bereitstellen möchten.

4. Klicken Sie auf Bereitstellen, um die Änderungen zu übernehmen.

   Hinweis: Änderungen an Warnungsantworten werden sofort wirksam, außer wenn Verbindungslogs an einen Syslog-Server gesendet werden. Wenn Sie Benachrichtigungsantworten zum Senden von Verbindungslogs verwenden, müssen Sie Konfigurationsänderungen bereitstellen, nachdem Sie diese Benachrichtigungsantworten bearbeitet haben.

Syslog-Weiterleitung prüfen

1. Generieren Sie Test-Traffic oder Sicherheitshinweise auf Ihren Secure Firewall Threat Defense-Geräten.

2. Prüfen Sie die Bindplane-Agent-Logs, um zu bestätigen, dass Syslog-Nachrichten empfangen werden:

   • Linux:

     sudo journalctl -u observiq-otel-collector -f
     

   • Windows:

     type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"
     

3. Melden Sie sich in der Google SecOps-Konsole an und prüfen Sie, ob Ereignisse in der Ereignisanzeige angezeigt werden.

   Hinweis: Nach der Erstkonfiguration kann es bis zu 15 Minuten dauern, bis Ereignisse in Google SecOps angezeigt werden.

Unterstützte Ereignistypen

Cisco Secure Firewall Management Center kann die folgenden Ereignistypen über Syslog an Google SecOps senden:

Ereignistyp	Beschreibung
Verbindungsereignisse	Netzwerkverbindungsdaten zwischen überwachten Hosts und allen anderen Hosts
Security Intelligence-Ereignisse	Ereignisse im Zusammenhang mit Security Intelligence-Sperrlisten (IP, URL, DNS)
Einbruchsereignisse	Ereignisse zur Einbruchserkennung und -vermeidung, die von verwalteten Geräten generiert werden
Dateiereignisse	Ereignisse zur Dateianalyse
Malware-Ereignisse	Ereignisse zur Malware-Erkennung

Hinweis: Retrospektive Malware-Ereignisse und von Cisco Secure Endpoint generierte Ereignisse sind nicht über Syslog verfügbar.

Syslog-Nachrichtenformat

Das Cisco Secure Firewall Management Center sendet Syslog-Nachrichten im folgenden Format:

• Beispiel für ein Verbindungsereignis:

  <134>1 2024-01-15T10:15:45.123Z fmc-hostname %FTD-6-430003: EventPriority: Low, DeviceUUID: abc123, InstanceID: 1, FirstPacketSecond: 1705318545, ConnectionID: 12345, AccessControlRuleAction: Allow, SrcIP: 10.0.0.5, DstIP: 8.8.8.8, SrcPort: 54321, DstPort: 53, Protocol: udp, IngressInterface: inside, EgressInterface: outside, IngressZone: inside-zone, EgressZone: outside-zone, ACPolicy: Default-Policy, AccessControlRuleName: Allow-DNS, User: [e-mail], ApplicationProtocol: DNS, InitiatorBytes: 64, ResponderBytes: 128
  
  

• Beispiel für ein Einbruchsereignis:

  <134>1 2024-01-15T10:16:30.456Z fmc-hostname %FTD-4-430001: EventPriority: High, DeviceUUID: abc123, InstanceID: 1, SrcIP: 192.168.1.100, DstIP: 10.0.0.50, SrcPort: 12345, DstPort: 80, Protocol: tcp, IngressInterface: outside, EgressInterface: inside, IngressZone: outside-zone, EgressZone: inside-zone, IntrusionPolicy: Security-Over-Connectivity, SignatureID: 1:2024123:1, SignatureGeneratorID: 1, Classification: web-application-attack, Priority: 1, Message: SQL injection attempt detected
  

Die Syslog-Nachrichten enthalten durch Kommas getrennte Schlüssel/Wert-Paare, die von Google SecOps geparst werden können.

Beschränkungen

• Es kann bis zu 15 Minuten dauern, bis Ereignisse in Google SecOps angezeigt werden, nachdem sie von FMC gesendet wurden.
• Retrospektive Malware-Ereignisse sind nicht über Syslog verfügbar.
• Von Cisco Secure Endpoint generierte Ereignisse sind nicht über Syslog verfügbar.
• Einige Metadaten, die über die eStreamer API verfügbar sind, sind nicht in Syslog-Nachrichten enthalten (z. B. detaillierte Nutzerinformationen aus LDAP, erweiterte Anwendungsmetadaten, Standortdaten).
• Wenn Sie Objektnamen (Richtliniennamen, Regelnamen) mit Sonderzeichen wie Kommas konfigurieren, kann dies das Syslog-Parsing beeinträchtigen. Verwenden Sie keine Sonderzeichen in Objektnamen.

UDM-Zuordnungstabelle

Logfeld	UDM-Zuordnung	Logik
WebApplication, URLReputation, EgressInterface, IngressInterface, ACPolicy, NAPPolicy, ConnectionID, ssl_ticket_id, qoa_applied_interface, sinkhole_uuid, security_context, sec_zone_egress, sec_zone_ingress	additional.fields	Zusammengeführt aus verschiedenen Labelfeldern, sofern nicht leer
eventType	extensions.auth.type	Auf „VPN“ festgelegt, wenn eventType „USER_LOGIN_INFORMATION“ ist
vulnerabilities	extensions.vulns.vulnerabilities	Aus Sicherheitslücken zusammengeführt, wenn nicht leer
flowStatistics.httpReferrer	http.referral_url	Wert direkt kopiert
flowStatistics.httpResponse	http.response_code	In Ganzzahl umgewandelt
flowStatistics.userAgent	http.user_agent	Wert direkt kopiert
_intermediary	intermediary	Zusammengeführt aus _intermediary, wenn nicht leer
recordTypeDescription, entry.message	metadata.description	Wert aus recordTypeDescription, wenn nicht leer, andernfalls aus entry.message
event_second, connection_timestamp, _serverTimestamp	metadata.event_timestamp	Datum, das aus „event_second“ geparst wurde, falls nicht leer, andernfalls „connection_timestamp“, andernfalls „_serverTimestamp“
event_type	metadata.event_type	Wert direkt kopiert
prod_event_type, eventId, recordTypeCategory, app, _recordTypeName, eventType	metadata.product_event_type	Wert aus „prod_event_type“, falls nicht leer, sonst „eventId“, sonst „recordTypeCategory“, sonst „app“, sonst „_recordTypeName“, sonst „eventType“
DeviceUUID	metadata.product_log_id	Wert direkt kopiert
flowStatistics.clientAppVersion, client_version	metadata.product_version	Wert aus flowStatistics.clientAppVersion, falls nicht leer, andernfalls client_version
flowStatistics.clientAppURL	metadata.url_back_to_product	Wert direkt kopiert
ApplicationProtocol	network.application_protocol	Wird auf „LDAP“ gesetzt, wenn (?i)ldap übereinstimmt, auf „HTTPS“, wenn (?i)https übereinstimmt, und auf „HTTP“, wenn (?i)http übereinstimmt
Annehmen	network.dns.answers	Aus Antwort zusammengeführt
flowStatistics.dnsQuery	network.dns.answers.name	Wert direkt kopiert
flowStatistics.dnsTTL	network.dns.answers.ttl	In uinteger umgewandelt
flowStatistics.dnsRecordType	network.dns.answers.type	In uinteger umgewandelt
flowStatistics.dnsResponseType	network.dns.response_code	In uinteger umgewandelt
user_agent	network.http.parsed_user_agent	In „parseduseragent“ konvertiert
user_agent	network.http.user_agent	Wert direkt kopiert
proto, Protocol, inputType, proto_type, protocol, ip_v4_protocol, protocol_number_src	network.ip_protocol	Festgelegt anhand verschiedener Felder mit Protokollzuordnungen und Fällen
ResponderBytes, flowStatistics.bytesReceived	network.received_bytes	Wert aus ResponderBytes, wenn nicht leer, andernfalls flowStatistics.bytesReceived, konvertiert in uinteger
ResponderPackets	network.received_packets	In Ganzzahl umgewandelt
InitiatorBytes, flowStatistics.bytesSent	network.sent_bytes	Wert aus InitiatorBytes, wenn nicht leer, andernfalls flowStatistics.bytesSent, konvertiert in uinteger
InitiatorPackets, packet_data	network.sent_packets	Wert aus InitiatorPackets, wenn nicht leer, andernfalls packet_data, in Ganzzahl konvertiert
ssl_session_id	network.session_id	Wert direkt kopiert
ssl_cipher_suite	network.tls.cipher	Wert direkt kopiert
agent_type, agent_version	observer.application	Verkettet als agent_type agent_version, wenn beide nicht leer sind
entry.host.hostname	observer.hostname	Wert direkt kopiert
entry.host.ip	observer.ip	Zusammengeführt aus entry.host.ip
entry.host.mac	observer.mac	Zusammengeführt aus entry.host.mac
clientApplication, hold.app_string	principal.application	Wert aus clientApplication, falls nicht leer, andernfalls hold.app_string
prin_host, DeviceAddress, principal_hostname	principal.asset.hostname	Wert von prin_host, falls nicht leer, andernfalls DeviceAddress, falls sourceAddress leer, andernfalls principal_hostname
SrcIP, principal_ip, source_address_IPv4v6	principal.asset.ip	Zusammengeführt aus SrcIP (grok-validiert), principal_ip, source_address_IPv4v6 (grok-validiert)
file_sha_hash, sha_hash	principal.file.sha256	Wert aus „file_sha_hash“, wenn nicht leer, andernfalls „sha_hash“
prin_host, DeviceAddress, principal_hostname	principal.hostname	Wert von prin_host, falls nicht leer, andernfalls DeviceAddress, falls sourceAddress leer, andernfalls principal_hostname
SrcIP, principal_ip, source_address_IPv4v6	principal.ip	Zusammengeführt aus SrcIP (grok-validiert), principal_ip, source_address_IPv4v6 (grok-validiert)
flowStatistics.initiatorCountry.geolocation.countryName, src_ip_country	principal.location.country_or_region	Wert aus flowStatistics.initiatorCountry.geolocation.countryName, wenn nicht leer, andernfalls src_ip_country
entry.macAddress	principal.mac	Zusammengeführt aus entry.macAddress
host_os_platform	principal.platform	Wird auf LINUX gesetzt, wenn centos, andernfalls auf entry.host.os.platform in Großbuchstaben
entry.host.os.kernel	principal.platform_patch_level	Wert direkt kopiert
identityData.fingerprintUUID.osName, osFingerprint.fingerprintUUID.osName	principal.platform_version	Verkettete osName osVersion aus identityData, falls nicht leer, andernfalls osFingerprint
SrcPort, entry.sourcePort, entry.sourcePortOrIcmpType, source_port, flowStatistics.initiatorPort, source_port_or_icmp_code	principal.port	Wert aus SrcPort, wenn nicht leer, sonst entry.sourcePort, sonst entry.sourcePortOrIcmpType, sonst source_port, sonst flowStatistics.initiatorPort, sonst source_port_or_icmp_code, konvertiert in Ganzzahl
isecurityZoneName	principal.resource.attribute.labels	Zusammengeführt aus isecurityZoneName
DeviceType	principal.resource.name	Wert direkt kopiert
	principal.resource.resource_type	Auf „DEVICE“ festlegen
entry.computed.user	principal.user.user_display_name	In String umgewandelt
entry.userId, user_id, flowStatistics.user.userId, entry.computed.user, userLoginInformation.userName	principal.user.userid	Wert aus entry.userId, wenn nicht leer, sonst user_id, sonst flowStatistics.user.userId, sonst entry.computed.user, sonst userLoginInformation.userName
connectionID_label, FirstPacketSecond_label	sec_result.about.resource.attribute.labels	Zusammengeführt aus connectionID_label und FirstPacketSecond_label, falls nicht leer
sec_result_action	sec_result.action	Zusammengeführt aus sec_result_action
flowStatistics.securityIntelligenceList1.securityIntelligenceListName	sec_result.category	Auf NETWORK_MALICIOUS setzen, wenn rule_name „Malware“ ist, auf NETWORK_SUSPICIOUS, wenn Anomali_IP
classification.description, userLoginInformation.description, sec_desc	sec_result.description	Wert aus classification.description, wenn nicht leer, sonst userLoginInformation.description, sonst sec_desc
entry.computed.priority	sec_result.priority	Eintrag in Großbuchstaben.computed.priority _PRIORITY
entry.ruleId, rule_ruleId	sec_result.rule_id	Wert aus entry.ruleId, falls nicht leer, andernfalls rule_ruleId
AccessControlRuleName, rule_message, fw_rule, flowStatistics.securityIntelligenceList1.securityIntelligenceListName	sec_result.rule_name	Wert aus AccessControlRuleName, wenn nicht leer, sonst rule_message, sonst fw_rule, sonst flowStatistics.securityIntelligenceList1.securityIntelligenceListName
EventPriority, sec_severity, severity_code, priority_name	sec_result.severity	Auf LOW gesetzt, wenn EventPriority „Low“ ist, auf HIGH, wenn „High“, auf MEDIUM, wenn „Medium“; andernfalls aus sec_severity-Zuordnungen; andernfalls aus severity_code-Zuordnungen; andernfalls priority_name in Großbuchstaben
Nutzer	sec_result.summary	Wert direkt kopiert
threat_name	sec_result.threat_name	Wert direkt kopiert
security_result	security_result	Aus security_result zusammengeführt
firewallRuleAction, hold.action, AccessControlRuleAction, sec_result_action, vendor_blocked	security_result.action	Wert aus firewallRuleAction in Großbuchstaben, wenn nicht no_action, andernfalls hold.action, andernfalls aus AccessControlRuleAction mit Fällen, andernfalls sec_result_action, andernfalls aus vendor_blocked (0 ALLOW, andernfalls BLOCK)
disposition	security_result.action_details	Wird auf „Infiziert“ gesetzt, wenn die Disposition 3 ist, andernfalls auf „Unbekannt“
eventDescription	security_result.description	Wert direkt kopiert
firewallRule	security_result.rule_name	Wert direkt kopiert
threat_name	security_result.threat_name	Wert direkt kopiert
hostService.webApplication.webApplication0.applicationId.webApplicationName	target.application	Wert direkt kopiert
DstIP, entry.destinationIpAddress, dest_ip, flowStatistics.responderIPAddress, destination_address_IPv4v6	target.asset.ip	Zusammengeführt aus DstIP (grok), entry.destinationIpAddress, dest_ip, flowStatistics.responderIPAddress, destination_address_IPv4v6 (grok)
InstanceID, flowStatistics.clientAppId	target.asset_id	Wert aus InstanceID, wenn nicht leer, andernfalls „Client_app_id: “ + flowStatistics.clientAppId
Datei	target.file	Aus Datei umbenannt
DstIP, entry.destinationIpAddress, dest_ip, flowStatistics.responderIPAddress, destination_address_IPv4v6	target.ip	Zusammengeführt aus DstIP (grok), entry.destinationIpAddress, dest_ip, flowStatistics.responderIPAddress, destination_address_IPv4v6 (grok)
flowStatistics.responderCountry.geolocation.countryName, dest_ip_country, entry.country.data	target.location.country_or_region	Wert aus flowStatistics.responderCountry.geolocation.countryName, falls nicht leer, andernfalls dest_ip_country, andernfalls entry.country.data
MACAddress	target.mac	MACAddress in Kleinbuchstaben, wenn nicht 00:00:00:00:00:00
DstPort, entry.destinationPort, entry.destinationPortOrIcmpType, dest_port, flowStatistics.responderPort, destination_port_or_icmp_code	target.port	Wert aus DstPort, wenn nicht leer, sonst entry.destinationPort, sonst entry.destinationPortOrIcmpType, sonst dest_port, sonst flowStatistics.responderPort, sonst destination_port_or_icmp_code, konvertiert in Ganzzahl
securityZoneName, det_engine, file_num, file_pos, rec_length	target.resource.attribute.labels	Zusammengeführt aus securityZoneName, det_engine, file_num, file_pos, rec_length, wenn nicht leer
URL	target.url	Wert direkt kopiert
entry.user.username.data	target.user.userid	Wert direkt kopiert
descript	vulnerabilities.description	Wert direkt kopiert
severity_detail	vulnerabilities.severity_details	Wert direkt kopiert
Produkt	vulnerabilities.vendor	Wert direkt kopiert
	metadata.product_name	Legen Sie diesen Wert auf „CISCO_FIRESIGHT“ fest.
	metadata.vendor_name	Legen Sie diesen Wert auf „CISCO MANAGEMENT CENTER“ fest.
syslog_priority	event.idm.read_only_udm.additional.fields	Aus Änderungsprotokoll zugeordnet
IngressZone	event.idm.read_only_udm.additional.fields	Aus Änderungsprotokoll zugeordnet
EgressZone	event.idm.read_only_udm.additional.fields	Aus Änderungsprotokoll zugeordnet
IngressVRF	event.idm.read_only_udm.additional.fields	Aus Änderungsprotokoll zugeordnet
EgressVRF	event.idm.read_only_udm.additional.fields	Aus Änderungsprotokoll zugeordnet
ClientAppDetector	event.idm.read_only_udm.additional.fields	Aus Änderungsprotokoll zugeordnet
Prefilter Policy	event.idm.read_only_udm.security_result.detection_fields	Aus Änderungsprotokoll zugeordnet
Tunnel or Prefilter Rule	event.idm.read_only_udm.security_result.detection_fields	Aus Änderungsprotokoll zugeordnet
inter	intermediary.hostname	Aus Änderungsprotokoll zugeordnet
ConnectionID	security_result.about.resource.attribute.labels	Aus Änderungsprotokoll zugeordnet
FirstPacketSecond	security_result.about.resource.attribute.labels	Aus Änderungsprotokoll zugeordnet
EventPriority	security_result.severity	Aus Änderungsprotokoll zugeordnet
WebApplication", "URLReputation", "EgressInterface", "IngressInterface", "ACPolicy", and "NAPPolicy	additional.fields	Aus Änderungsprotokoll zugeordnet
service_type", "syslog_facility_code", "syslog_priority	additional.fields	Aus Änderungsprotokoll zugeordnet
entry_msg	metadata.description	Aus Änderungsprotokoll zugeordnet

Änderungsprotokoll

Änderungsprotokoll für diesen Parser ansehen

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten