Mengumpulkan log Cisco Catalyst SD-WAN Manager

Versi Parser: 7.0

Didukung di:

Google SecOps SIEM

Dokumen ini menjelaskan cara menyerap log Cisco Catalyst SD-WAN Manager (sebelumnya dikenal sebagai vManage) ke Google Security Operations menggunakan Google Cloud Storage. Cisco Catalyst SD-WAN Manager adalah sistem pengelolaan jaringan terpusat yang memberikan visibilitas dan kontrol atas fabric SD-WAN, sehingga memungkinkan administrator memantau performa jaringan, mengonfigurasi kebijakan, dan mengelola keamanan di seluruh jaringan perusahaan yang terdistribusi.

Sebelum memulai

Pastikan Anda memiliki prasyarat berikut:

• Instance Google SecOps
• Project GCP dengan Cloud Storage API diaktifkan
• Izin untuk membuat dan mengelola bucket GCS
• Izin untuk mengelola kebijakan IAM di bucket GCS
• Izin untuk membuat layanan Cloud Run, topik Pub/Sub, dan tugas Cloud Scheduler
• Akses istimewa ke konsol pengelolaan Cisco Catalyst SD-WAN Manager
• Akun pengguna Cisco Catalyst SD-WAN Manager dengan izin akses API

Buat bucket Google Cloud Storage

1. Buka Konsol Google Cloud.
2. Pilih project Anda atau buat project baru.
3. Di menu navigasi, buka Cloud Storage > Buckets.
4. Klik Create bucket.

5. Berikan detail konfigurasi berikut:

   Setelan	Nilai
   Beri nama bucket Anda	Masukkan nama yang unik secara global (misalnya, cisco-sdwan-logs-bucket)
   Location type	Pilih berdasarkan kebutuhan Anda (Region, Dual-region, Multi-region)
   Location	Pilih lokasi (misalnya, us-central1)
   Kelas penyimpanan	Standar (direkomendasikan untuk log yang sering diakses)
   Kontrol akses	Seragam (direkomendasikan)
   Alat perlindungan	Opsional: Aktifkan pembuatan versi objek atau kebijakan retensi

6. Klik Create.

Mengumpulkan kredensial API Cisco Catalyst SD-WAN Manager

Membuat akun pengguna API

1. Login ke konsol Cisco Catalyst SD-WAN Manager.
2. Dari menu, buka Administrasi > Kelola Pengguna.
3. Klik Add user.
4. Berikan detail konfigurasi berikut:
   • Nama Pengguna: Masukkan nama pengguna untuk akses API (misalnya, chronicle-api).
   • Sandi: Masukkan sandi yang kuat.
   • Konfirmasi Sandi: Masukkan kembali sandi.
   • Grup Pengguna: Pilih grup pengguna dengan izin yang sesuai (lihat bagian berikutnya).
5. Klik Tambahkan.

6. Salin dan simpan detail berikut di lokasi yang aman:

   • Nama Pengguna: Nama pengguna Catalyst SD-WAN Manager Anda.
   • Sandi: Sandi Catalyst SD-WAN Manager Anda.
   • URL Dasar Catalyst SD-WAN Manager: URL dasar server Catalyst SD-WAN Manager Anda (misalnya, https://sdwan-manager.example.com:8443).
   Catatan: Kredensial ini akan digunakan oleh fungsi Cloud Run untuk melakukan autentikasi ke Cisco Catalyst SD-WAN Manager API.

Mengonfigurasi izin pengguna

Akun pengguna API memerlukan izin tertentu untuk mengakses log audit, alarm, dan peristiwa.

1. Di konsol Cisco Catalyst SD-WAN Manager, dari menu, buka Administration > Manage Users > User Groups.
2. Pilih grup pengguna yang ditetapkan ke pengguna API (atau klik Tambahkan Grup Pengguna untuk membuat grup baru).
3. Klik Edit.
4. Di bagian Fitur, pastikan izin berikut diaktifkan:
   • Log Audit: Pilih izin Baca.
   • Alarm: Pilih izin Baca.
   • Acara: Pilih izin Baca.
5. Klik Update.

Memverifikasi akses API

Uji kredensial Anda sebelum melanjutkan integrasi:

1. Buka terminal atau command prompt.

2. Jalankan perintah berikut untuk menguji autentikasi:

   # Replace with your actual credentials
   SDWAN_HOST="https://sdwan-manager.example.com:8443"
   SDWAN_USERNAME="chronicle-api"
   SDWAN_PASSWORD="your-password"
   
   # Test authentication using session-based login (returns JSESSIONID cookie)
   curl -c cookies.txt -X POST \
     "${SDWAN_HOST}/j_security_check" \
     -H "Content-Type: application/x-www-form-urlencoded" \
     -d "j_username=${SDWAN_USERNAME}&j_password=${SDWAN_PASSWORD}"
   
   # Get CSRF token (X-XSRF-TOKEN)
   curl -b cookies.txt \
     "${SDWAN_HOST}/dataservice/client/token"
   

Jika autentikasi berhasil, perintah kedua akan menampilkan string token CSRF.

Catatan: Di lingkungan produksi, konfigurasikan sertifikat TLS yang valid di Catalyst SD-WAN Manager dan verifikasi sertifikat di klien HTTP. Contoh kode menggunakan verifikasi sertifikat yang dinonaktifkan hanya untuk tujuan pengujian.

Buat akun layanan untuk fungsi Cloud Run

Fungsi Cloud Run memerlukan akun layanan dengan izin untuk menulis ke bucket GCS dan dipanggil oleh Pub/Sub.

Membuat akun layanan

1. Di Konsol GCP, buka IAM & Admin > Service Accounts.
2. Klik Create Service Account.
3. Berikan detail konfigurasi berikut:
   • Nama akun layanan: Masukkan cisco-sdwan-collector-sa.
   • Deskripsi akun layanan: Masukkan Service account for Cloud Run function to collect Cisco Catalyst SD-WAN Manager logs.
4. Klik Create and Continue.
5. Di bagian Grant this service account access to project, tambahkan peran berikut:
   1. Klik Pilih peran.
   2. Telusuri dan pilih Storage Object Admin.
   3. Klik + Add another role.
   4. Telusuri dan pilih Cloud Run Invoker.
   5. Klik + Add another role.
   6. Telusuri dan pilih Cloud Functions Invoker.
6. Klik Lanjutkan.
7. Klik Done.

Peran ini diperlukan untuk:

• Storage Object Admin: Menulis log ke bucket GCS dan mengelola file status
• Cloud Run Invoker: Izinkan Pub/Sub memanggil fungsi
• Cloud Functions Invoker: Mengizinkan pemanggilan fungsi

Memberikan izin IAM pada bucket GCS

Beri akun layanan izin tulis di bucket GCS:

1. Buka Cloud Storage > Buckets.
2. Klik nama bucket Anda.
3. Buka tab Izin.
4. Klik Grant access.
5. Berikan detail konfigurasi berikut:
   • Tambahkan prinsipal: Masukkan email akun layanan (misalnya, cisco-sdwan-collector-sa@PROJECT_ID.iam.gserviceaccount.com).
   • Tetapkan peran: Pilih Storage Object Admin.
6. Klik Simpan.

Membuat topik Pub/Sub

Buat topik Pub/Sub yang akan dipublikasikan oleh Cloud Scheduler dan akan dilanggan oleh fungsi Cloud Run.

1. Di Konsol GCP, buka Pub/Sub > Topics.
2. Klik Create topic.
3. Berikan detail konfigurasi berikut:
   • ID Topik: Masukkan cisco-sdwan-trigger.
   • Biarkan setelan lainnya sesuai default.
4. Klik Create.

Membuat fungsi Cloud Run untuk mengumpulkan log

Fungsi Cloud Run akan dipicu oleh pesan Pub/Sub dari Cloud Scheduler untuk mengambil log dari Cisco Catalyst SD-WAN Manager API dan menuliskannya ke GCS.

1. Di Konsol GCP, buka Cloud Run.
2. Klik Create service.
3. Pilih Function (gunakan editor inline untuk membuat fungsi).

4. Di bagian Konfigurasi, berikan detail konfigurasi berikut:

   Setelan	Nilai
   Nama layanan	cisco-sdwan-log-collector
   Region	Pilih region yang cocok dengan bucket GCS Anda (misalnya, us-central1)
   Runtime	Pilih Python 3.12 atau yang lebih baru

5. Di bagian Pemicu (opsional):

   1. Klik + Tambahkan pemicu.
   2. Pilih Cloud Pub/Sub.
   3. Di Select a Cloud Pub/Sub topic, pilih topik (cisco-sdwan-trigger).
   4. Klik Simpan.

6. Di bagian Authentication:

   1. Pilih Wajibkan autentikasi.
   2. Periksa Identity and Access Management (IAM).
   Catatan: Pub/Sub akan otomatis menangani autentikasi saat memanggil fungsi.

7. Scroll ke bawah dan luaskan Containers, Networking, Security.

8. Buka tab Security:

   • Akun layanan: Pilih akun layanan (cisco-sdwan-collector-sa).

9. Buka tab Containers:

   1. Klik Variables & Secrets.
   2. Klik + Tambahkan variabel untuk setiap variabel lingkungan:

   Nama Variabel	Nilai Contoh
   GCS_BUCKET	cisco-sdwan-logs-bucket
   GCS_PREFIX	cisco-sdwan
   STATE_KEY	cisco-sdwan/state.json
   SDWAN_HOST	https://sdwan-manager.example.com:8443
   SDWAN_USERNAME	chronicle-api
   SDWAN_PASSWORD	your-sdwan-password
   LOOKBACK_HOURS	1

10. Scroll ke bawah di tab Variables & Secrets ke Requests:

    • Waktu tunggu permintaan: Masukkan 600 detik (10 menit).

11. Buka tab Setelan di Penampung:

    • Di bagian Referensi:
      • Memori: Pilih 512 MiB atau lebih tinggi.
      • CPU: Pilih 1.

12. Di bagian Penskalaan revisi:

    • Minimum number of instances: Masukkan 0.
    • Maximum number of instances: Masukkan 100 (atau sesuaikan berdasarkan perkiraan beban).

13. Klik Create.

14. Tunggu hingga layanan dibuat (1-2 menit).

15. Setelah layanan dibuat, editor kode inline akan terbuka secara otomatis.

Menambahkan kode fungsi

1. Masukkan main di kolom Entry point.

2. Di editor kode inline, buat dua file:

   • main.py:

     import functions_framework
     from google.cloud import storage
     import json
     import os
     import urllib3
     import urllib.parse
     from datetime import datetime, timezone, timedelta
     import time
     
     # Disable SSL warnings for self-signed certificates (testing only)
     urllib3.disable_warnings(urllib3.exceptions.InsecureRequestWarning)
     
     # Initialize HTTP client with timeouts
     http = urllib3.PoolManager(
         timeout=urllib3.Timeout(connect=10.0, read=60.0),
         cert_reqs='CERT_NONE',
         retries=urllib3.Retry(total=3, backoff_factor=1)
     )
     
     # Initialize Storage client
     storage_client = storage.Client()
     
     # Environment variables
     SDWAN_HOST = os.environ.get('SDWAN_HOST', '').rstrip('/')
     SDWAN_USERNAME = os.environ.get('SDWAN_USERNAME', '')
     SDWAN_PASSWORD = os.environ.get('SDWAN_PASSWORD', '')
     GCS_BUCKET = os.environ.get('GCS_BUCKET', '')
     GCS_PREFIX = os.environ.get('GCS_PREFIX', 'cisco-sdwan')
     STATE_KEY = os.environ.get('STATE_KEY', 'cisco-sdwan/state.json')
     LOOKBACK_HOURS = int(os.environ.get('LOOKBACK_HOURS', '1'))
     
     class CatalystSDWANAPI:
         """Client for Cisco Catalyst SD-WAN Manager API (formerly vManage)."""
     
         def __init__(self, host, username, password):
             self.host = host
             self.username = username
             self.password = password
             self.jsessionid = None
             self.xsrf_token = None
     
         def authenticate(self):
             """Authenticate using session-based login (j_security_check)."""
             try:
                 login_url = f"{self.host}/j_security_check"
                 login_data = urllib.parse.urlencode({
                     'j_username': self.username,
                     'j_password': self.password
                 }).encode('utf-8')
     
                 response = http.request(
                     'POST',
                     login_url,
                     body=login_data,
                     headers={'Content-Type': 'application/x-www-form-urlencoded'},
                 )
     
                 if b'<html>' in response.data or response.status != 200:
                     print(f"Authentication failed: HTTP {response.status}")
                     return False
     
                 # Extract JSESSIONID from Set-Cookie header
                 cookie_header = response.headers.get('Set-Cookie', '')
                 for part in cookie_header.split(','):
                     if 'JSESSIONID=' in part:
                         self.jsessionid = part.split('JSESSIONID=')[1].split(';')[0]
                         break
     
                 if not self.jsessionid:
                     print("Failed to extract JSESSIONID from response")
                     return False
     
                 # Get XSRF token
                 token_url = f"{self.host}/dataservice/client/token"
                 headers = {
                     'Content-Type': 'application/json',
                     'Cookie': f"JSESSIONID={self.jsessionid}"
                 }
                 response = http.request('GET', token_url, headers=headers)
     
                 if response.status == 200:
                     self.xsrf_token = response.data.decode('utf-8').strip()
                     print("Successfully authenticated with Catalyst SD-WAN Manager")
                     return True
                 else:
                     print(f"Failed to get XSRF token: HTTP {response.status}")
                     return False
     
             except Exception as e:
                 print(f"Authentication error: {e}")
                 return False
     
         def _get_headers(self):
             """Build headers for authenticated API requests."""
             return {
                 'Content-Type': 'application/json',
                 'Accept': 'application/json',
                 'Cookie': f"JSESSIONID={self.jsessionid}",
                 'X-XSRF-TOKEN': self.xsrf_token
             }
     
         def _build_query(self, last_epoch_ms=None):
             """Build a query payload with entry_time filter."""
             query = {
                 "query": {
                     "condition": "AND",
                     "rules": []
                 },
                 "size": 10000
             }
             if last_epoch_ms:
                 query["query"]["rules"].append({
                     "value": [str(last_epoch_ms)],
                     "field": "entry_time",
                     "type": "date",
                     "operator": "greater"
                 })
             else:
                 query["query"]["rules"].append({
                     "value": [str(LOOKBACK_HOURS)],
                     "field": "entry_time",
                     "type": "date",
                     "operator": "last_n_hours"
                 })
             return query
     
         def fetch_data(self, endpoint, last_epoch_ms=None):
             """Fetch data from a /dataservice endpoint using POST with query body."""
             url = f"{self.host}/dataservice/{endpoint}"
             headers = self._get_headers()
             query = self._build_query(last_epoch_ms)
     
             try:
                 response = http.request(
                     'POST',
                     url,
                     body=json.dumps(query),
                     headers=headers,
                 )
     
                 if response.status == 200:
                     return json.loads(response.data.decode('utf-8'))
                 else:
                     print(f"Failed to get {endpoint}: HTTP {response.status}")
                     return None
     
             except Exception as e:
                 print(f"Error fetching {endpoint}: {e}")
                 return None
     
     def load_state(bucket):
         """Load the last run timestamp (epoch ms) from GCS state file."""
         try:
             blob = bucket.blob(STATE_KEY)
             if blob.exists():
                 state_data = json.loads(blob.download_as_text())
                 return state_data.get('last_run_time')
         except Exception as e:
             print(f"Warning: Could not load state: {e}")
         return None
     
     def save_state(bucket, epoch_ms):
         """Save the current run timestamp (epoch ms) to GCS state file."""
         try:
             state_data = {
                 'last_run_time': epoch_ms,
                 'updated_at': datetime.now(timezone.utc).isoformat()
             }
             blob = bucket.blob(STATE_KEY)
             blob.upload_from_string(
                 json.dumps(state_data),
                 content_type='application/json'
             )
             print(f"Saved state: last_run_time={epoch_ms}")
         except Exception as e:
             print(f"Warning: Could not save state: {e}")
     
     def upload_to_gcs(bucket, records, log_type):
         """Upload log records to GCS as NDJSON."""
         if not records:
             print(f"No {log_type} records to upload")
             return 0
     
         dt = datetime.now(timezone.utc)
         object_key = (
             f"{GCS_PREFIX}/{log_type}/"
             f"{dt.strftime('%Y/%m/%d')}/"
             f"{log_type}_{dt.strftime('%Y%m%d_%H%M%S')}.ndjson"
         )
     
         ndjson = '\n'.join(
             json.dumps(record, ensure_ascii=False) for record in records
         ) + '\n'
     
         blob = bucket.blob(object_key)
         blob.upload_from_string(ndjson, content_type='application/x-ndjson')
         print(f"Uploaded {len(records)} {log_type} records to gs://{GCS_BUCKET}/{object_key}")
         return len(records)
     
     @functions_framework.cloud_event
     def main(cloud_event):
         """
         Cloud Run function triggered by Pub/Sub.
         Fetches audit logs, alarms, and events from Cisco Catalyst SD-WAN Manager
         API and writes them to GCS as NDJSON files.
     
         Args:
             cloud_event: CloudEvent object containing Pub/Sub message
         """
         print(f"Starting Cisco Catalyst SD-WAN Manager log collection at {datetime.now(timezone.utc).isoformat()}")
     
         if not all([SDWAN_HOST, SDWAN_USERNAME, SDWAN_PASSWORD, GCS_BUCKET]):
             print("Error: Missing required environment variables")
             return
     
         try:
             bucket = storage_client.bucket(GCS_BUCKET)
     
             # Load last run timestamp
             last_run_time = load_state(bucket)
             if last_run_time:
                 print(f"Resuming from last_run_time={last_run_time}")
             else:
                 print(f"No previous state found, collecting last {LOOKBACK_HOURS} hour(s) of logs")
     
             # Authenticate
             api = CatalystSDWANAPI(SDWAN_HOST, SDWAN_USERNAME, SDWAN_PASSWORD)
             if not api.authenticate():
                 print("Failed to authenticate with Catalyst SD-WAN Manager")
                 return
     
             # Current timestamp for state tracking (epoch milliseconds)
             current_time = int(datetime.now(timezone.utc).timestamp() * 1000)
     
             # Collect audit logs, alarms, and events
             endpoints = [
                 ('audit_logs', 'auditlog'),
                 ('alarms', 'alarms'),
                 ('events', 'events'),
             ]
     
             total_records = 0
             for log_type, endpoint in endpoints:
                 try:
                     print(f"Collecting {log_type} from /dataservice/{endpoint}...")
                     response_data = api.fetch_data(endpoint, last_run_time)
                     if response_data and 'data' in response_data:
                         count = upload_to_gcs(bucket, response_data['data'], log_type)
                         total_records += count
                     else:
                         print(f"No {log_type} data returned")
                 except Exception as e:
                     print(f"Error processing {log_type}: {e}")
                     continue
     
             # Update state
             save_state(bucket, current_time)
     
             print(f"Collection completed. Total records processed: {total_records}")
     
         except Exception as e:
             print(f"Function execution error: {e}")
             raise
     

   • requirements.txt:

     functions-framework==3.*
     google-cloud-storage==2.*
     urllib3>=2.0.0
     

   Catatan: Skrip ini disediakan sebagai contoh dan tidak didukung secara resmi. Kami menerima masukan tentang cara kami dapat meningkatkan kualitasnya. Untuk mengirim masukan, klik Kirim Masukan > Masukan Produk Keamanan Google SecOps di halaman ini.

3. Klik Deploy untuk menyimpan dan men-deploy fungsi.

4. Tunggu hingga deployment selesai (2-3 menit).

   Catatan: Konfigurasi pemicu Pub/Sub akan otomatis membuat langganan dan izin yang diperlukan.

Buat tugas Cloud Scheduler

Cloud Scheduler akan memublikasikan pesan ke topik Pub/Sub secara berkala, sehingga memicu fungsi Cloud Run.

1. Di Konsol GCP, buka Cloud Scheduler.
2. Klik Create Job.

3. Berikan detail konfigurasi berikut:

   Setelan	Nilai
   Nama	cisco-sdwan-log-collector-hourly
   Region	Pilih region yang sama dengan fungsi Cloud Run
   Frekuensi	0 * * * * (setiap jam, tepat pada waktunya)
   Zona Waktu	Pilih zona waktu (UTC direkomendasikan)
   Jenis target	Pub/Sub
   Topik	Pilih topik (cisco-sdwan-trigger)
   Isi pesan	{} (objek JSON kosong)

4. Klik Create.

Opsi frekuensi jadwal

Pilih frekuensi berdasarkan volume log dan persyaratan latensi:

Frekuensi	Ekspresi Cron	Kasus Penggunaan
Setiap 5 menit	*/5 * * * *	Volume tinggi, latensi rendah
Setiap 15 menit	*/15 * * * *	Volume sedang
Setiap jam	0 * * * *	Standar (direkomendasikan)
Setiap 6 jam	0 */6 * * *	Volume rendah, pemrosesan batch
Harian	0 0 * * *	Pengumpulan data historis

Menguji integrasi

1. Di konsol Cloud Scheduler, temukan tugas Anda.
2. Klik Force run untuk memicu tugas secara manual.
3. Tunggu beberapa detik.
4. Buka Cloud Run > Services.
5. Klik nama fungsi (cisco-sdwan-log-collector).
6. Klik tab Logs.

7. Pastikan fungsi berhasil dieksekusi. Cari:

   Starting Cisco Catalyst SD-WAN Manager log collection at ...
   Successfully authenticated with Catalyst SD-WAN Manager
   Collecting audit_logs from /dataservice/auditlog...
   Uploaded N audit_logs records to gs://...
   Collection completed. Total records processed: N
   

8. Buka Cloud Storage > Buckets.

9. Klik nama bucket Anda.

10. Buka folder awalan (cisco-sdwan/).

11. Pastikan file .ndjson baru dibuat dengan stempel waktu saat ini.

Jika Anda melihat error dalam log:

• HTTP 401: Periksa kredensial API di variabel lingkungan
• HTTP 403: Verifikasi bahwa akun pengguna memiliki izin Baca yang diperlukan untuk Log Audit, Alarm, dan Peristiwa
• Autentikasi gagal: Verifikasi bahwa URL dasar Catalyst SD-WAN Manager mencakup port yang benar (default 8443)
• Variabel lingkungan tidak ada: Pastikan semua variabel yang diperlukan telah ditetapkan

Mengonfigurasi feed di Google SecOps untuk menyerap log Cisco Catalyst SD-WAN Manager

1. Buka Setelan SIEM > Feed.
2. Klik Tambahkan Feed Baru.
3. Klik Konfigurasi satu feed.
4. Di kolom Nama feed, masukkan nama untuk feed (misalnya, Cisco Catalyst SD-WAN Manager logs).
5. Pilih Google Cloud Storage V2 sebagai Source type.
6. Pilih Cisco SD-WAN sebagai Jenis log.

7. Klik Get Service Account. Email akun layanan yang unik akan ditampilkan, misalnya:

   [e-mail]
   

8. Salin alamat email ini untuk digunakan di langkah berikutnya.

   Catatan: Setiap instance Google SecOps memiliki akun layanan yang unik. Jangan gunakan akun layanan dari dokumentasi atau contoh lain.

9. Klik Berikutnya.

10. Tentukan nilai untuk parameter input berikut:

    • URL bucket penyimpanan: Masukkan URI bucket GCS dengan jalur awalan:

      gs://cisco-sdwan-logs-bucket/cisco-sdwan/
      

      • Ganti:
        • cisco-sdwan-logs-bucket: Nama bucket GCS Anda.
        • cisco-sdwan/: Awalan/jalur folder opsional tempat log disimpan (biarkan kosong untuk root).
    Catatan: Selalu sertakan garis miring (/) di akhir URI.

    • Opsi penghapusan sumber: Pilih opsi penghapusan sesuai preferensi Anda:

      • Jangan pernah: Tidak pernah menghapus file apa pun setelah transfer (direkomendasikan untuk pengujian).
      • Hapus file yang ditransfer: Menghapus file setelah transfer berhasil.
      • Hapus file yang ditransfer dan direktori kosong: Menghapus file dan direktori kosong setelah transfer berhasil.
      Catatan: Jika Anda memilih opsi penghapusan, akun layanan harus memiliki peran Storage Object Admin, bukan Storage Object Viewer. Perbarui izin IAM yang sesuai.

    • Usia File Maksimum: Sertakan file yang diubah dalam beberapa hari terakhir (defaultnya adalah 180 hari).

    • Namespace aset: Namespace aset.

    • Label penyerapan: Label yang akan diterapkan ke peristiwa dari feed ini.

11. Klik Berikutnya.

12. Tinjau konfigurasi feed baru Anda di layar Selesaikan, lalu klik Kirim.

Memberikan izin IAM ke akun layanan Google SecOps

Akun layanan Google SecOps memerlukan peran Storage Object Viewer di bucket GCS Anda.

1. Buka Cloud Storage > Buckets.
2. Klik nama bucket Anda.
3. Buka tab Izin.
4. Klik Grant access.
5. Berikan detail konfigurasi berikut:
   • Add principals: Tempel email akun layanan Google SecOps.
   • Tetapkan peran: Pilih Storage Object Viewer.

6. Klik Simpan.

   Catatan: Jika Anda berencana menggunakan opsi penghapusan "Hapus file yang ditransfer" atau "Hapus file yang ditransfer dan direktori kosong", berikan peran Storage Object Admin, bukan Storage Object Viewer.

Tabel pemetaan UDM

Kolom Log	Pemetaan UDM	Logika
Tunnel_id_label	additional.fields	Digabung
additional_tag	additional.fields	Digabung
count_label	additional.fields	Digabung
dst_vrf_label	additional.fields	Digabung
logfeature_label	additional.fields	Digabung
logmodule_label	additional.fields	Digabung
meta_sequenceId_label	additional.fields	Digabung
msg_label	additional.fields	Digabung
qfp_label	additional.fields	Digabung
result_label	additional.fields	Digabung
rsa_sha256_label	additional.fields	Digabung
rsa_type_label	additional.fields	Digabung
sequence_label	additional.fields	Digabung
src_vrf_label	additional.fields	Digabung
tenant_vpn_id_label	additional.fields	Digabung
thread_label	additional.fields	Digabung
tos_label	additional.fields	Digabung
unknown_tenant_label	additional.fields	Digabung
vlan_id_label	additional.fields	Digabung
vpn_id_label	additional.fields	Digabung
description_1	extensions.auth.type	Dipetakan: (?i)closed → AUTHTYPE_UNSPECIFIED
msg1	extensions.auth.type	Dipetakan: authenticated → AUTHTYPE_UNSPECIFIED
msgs	extensions.auth.type	Dipetakan: (?i)success → AUTHTYPE_UNSPECIFIED
prod_type	extensions.auth.type	Dipetakan: (?i)LOGOUT → AUTHTYPE_UNSPECIFIED
host_name	intermediary.asset.hostname	Dipetakan secara langsung
host_name	intermediary.hostname	Dipetakan secara langsung
inter_host	intermediary.hostname	Dipetakan secara langsung
logmsg	metadata.description	Dipetakan secara langsung
message_value	metadata.description	Dipetakan secara langsung
msgs	metadata.description	Dipetakan secara langsung
date_time	metadata.event_timestamp	Diuraikan sebagai ISO8601
time	metadata.event_timestamp	Diuraikan sebagai ISO8601
time_t	metadata.event_timestamp	Diuraikan sebagai ISO8601
timestamp	metadata.event_timestamp	Diuraikan sebagai ISO8601
description_1	metadata.event_type	Dipetakan: (?i)closed → USER_LOGOUT
has_principal	metadata.event_type	Dipetakan: true → NETWORK_CONNECTION, true → STATUS_UPDATE
has_principal_user	metadata.event_type	Dipetakan: true → USER_UNCATEGORIZED
msg1	metadata.event_type	Dipetakan: authenticated → USER_LOGIN
msgs	metadata.event_type	Dipetakan: (?i)success → USER_LOGIN
prod_type	metadata.event_type	Dipetakan: (?i)LOGOUT → USER_LOGOUT
prod_type	metadata.product_event_type	Dipetakan secara langsung
log_id	metadata.product_log_id	Dipetakan secara langsung
logid	metadata.product_log_id	Dipetakan secara langsung
application_protocol	network.application_protocol	Dipetakan: (?i)SSH → SSH
message	network.application_protocol	Dipetakan: (?i)SSH → SSH, (?i)netconf → NETCONF, (?i)dhcp → DHCP
type1	network.dhcp.type	Dipetakan: DHCPDISCOVER → DISCOVER
message	network.ip_protocol	Dipetakan: (?i)tcp → TCP
network_protocol	network.ip_protocol	Dipetakan secara langsung
bytes	network.sent_bytes	Dipetakan secara langsung
session_id	network.session_id	Dipetakan secara langsung
network_host	network.tls.cipher	Dipetakan secara langsung
hostname	principal.asset.hostname	Dipetakan secara langsung
host	principal.asset.ip	Digabung
initiator_ip	principal.asset.ip	Digabung
ip	principal.asset.ip	Digabung
ipaddress	principal.asset.ip	Digabung
logusersrcip	principal.asset.ip	Digabung
peer_ip	principal.asset.ip	Digabung
principal_ip	principal.asset.ip	Digabung
principal_ip1	principal.asset.ip	Digabung
proxy_host	principal.asset.ip	Digabung
src_ip	principal.asset.ip	Digabung
system_ip	principal.asset.ip	Digabung
addr	principal.hostname	Dipetakan secara langsung
hostname	principal.hostname	Dipetakan secara langsung
host	principal.ip	Digabung
initiator_ip	principal.ip	Digabung
ip	principal.ip	Digabung
ipaddress	principal.ip	Digabung
logusersrcip	principal.ip	Digabung
peer_ip	principal.ip	Digabung
principal_ip	principal.ip	Digabung
principal_ip1	principal.ip	Digabung
proxy_host	principal.ip	Digabung
src_ip	principal.ip	Digabung
system_ip	principal.ip	Digabung
initiator_port	principal.port	Dipetakan secara langsung
port	principal.port	Dipetakan secara langsung
ports	principal.port	Dipetakan secara langsung
principal_port	principal.port	Dipetakan secara langsung
principal_port1	principal.port	Dipetakan secara langsung
src_port	principal.port	Dipetakan secara langsung
process_path	principal.process.file.full_path	Dipetakan secara langsung
parent_pid	principal.process.parent_process.pid	Dipetakan secara langsung
pid	principal.process.pid	Dipetakan secara langsung
process_label	principal.resource.attribute.labels	Digabung
process_name_label	principal.resource.attribute.labels	Digabung
loguser	principal.user.userid	Dipetakan secara langsung
user1	principal.user.userid	Dipetakan secara langsung
user_id	principal.user.userid	Dipetakan secara langsung
username	principal.user.userid	Dipetakan secara langsung
action	security_result.action	Digabung
message	security_result.action	Dipetakan: (?i)(succeeded/accounting start/open/occurred/update/successfully/success) → `acti...
classification	security_result.category_details	Digabung
msg1	security_result.description	Dipetakan secara langsung
Malware_label	security_result.detection_fields	Digabung
direction_label	security_result.detection_fields	Digabung
egress_interface_label	security_result.detection_fields	Digabung
ingress_interface_label	security_result.detection_fields	Digabung
log_prefix_label	security_result.detection_fields	Digabung
log_reason_label	security_result.detection_fields	Digabung
packet_label	security_result.detection_fields	Digabung
policy_label	security_result.detection_fields	Digabung
port_label	security_result.detection_fields	Digabung
protocol_label	security_result.detection_fields	Digabung
proxy_port_label	security_result.detection_fields	Digabung
sent_bytes_1_label	security_result.detection_fields	Digabung
sent_bytes_2_label	security_result.detection_fields	Digabung
tty_label	security_result.detection_fields	Digabung
type_label	security_result.detection_fields	Digabung
udp_packets_label	security_result.detection_fields	Digabung
priority	security_result.severity	Dipetakan: 1 → LOW
description_1	security_result.summary	Dipetakan secara langsung
dst_ip	target.asset.ip	Digabung
ipadres	target.asset.ip	Digabung
logdeviceid	target.asset.ip	Digabung
responder_ip	target.asset.ip	Digabung
target_ip	target.asset.ip	Digabung
target_ip1	target.asset.ip	Digabung
filename	target.file.names	Digabung
dst_ip	target.ip	Digabung
ipadres	target.ip	Digabung
logdeviceid	target.ip	Digabung
responder_ip	target.ip	Digabung
target_ip	target.ip	Digabung
target_ip1	target.ip	Digabung
dst_port	target.port	Dipetakan secara langsung
prts	target.port	Dipetakan secara langsung
responder_port	target.port	Dipetakan secara langsung
target_port	target.port	Dipetakan secara langsung
target_port1	target.port	Dipetakan secara langsung
filetype	target.process.file.mime_type	Dipetakan secara langsung
parent_identifier_label	target.resource.attribute.labels	Digabung
specific_identifer_label	target.resource.attribute.labels	Digabung
target_name	target.resource.name	Dipetakan secara langsung
instance_id	target.resource.product_object_id	Dipetakan secara langsung
target_username	target.user.userid	Dipetakan secara langsung
user	target.user.userid	Dipetakan secara langsung
T/A	extensions.auth.type	Konstanta: AUTHTYPE_UNSPECIFIED
T/A	metadata.event_type	Konstanta: USER_LOGIN
T/A	network.application_protocol	Konstanta: SSH
T/A	network.dhcp.type	Konstanta: DISCOVER
T/A	network.ip_protocol	Konstanta: TCP
T/A	security_result.severity	Konstanta: LOW
rsa_type	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
sha_256	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
NETCONF	event.idm.read_only_udm.network.application_protocol	Dipetakan dari log perubahan
TCP	event.idm.read_only_udm.network.ip_protocol	Dipetakan dari log perubahan
DHCP	event.idm.read_only_udm.network.application_protocol	Dipetakan dari log perubahan
username1	target.user.userid	Dipetakan dari log perubahan
security_result.action	ALLOW	Dipetakan dari log perubahan
ip_1	principal.ip	Dipetakan dari log perubahan
ip_2	target.ip	Dipetakan dari log perubahan
port_1	principal.port	Dipetakan dari log perubahan
port_2	target.port	Dipetakan dari log perubahan
message_1	metadata.description	Dipetakan dari log perubahan
malware	security_result.detection_fields	Dipetakan dari log perubahan

Log Perubahan

Melihat Log Perubahan untuk parser ini

Perlu bantuan lain? Dapatkan jawaban dari anggota Komunitas dan profesional Google SecOps.