Google verwendet KI-Technologie, um Inhalte in Ihre bevorzugte Sprache zu übersetzen. KI-Übersetzungen können Fehler enthalten.

Cisco Secure Access-Logs erfassen

Parserversion:4.0

Unterstützt in:

Google SecOps SIEM

In diesem Dokument wird beschrieben, wie Sie Cisco Secure Access-Logs mit Amazon S3 in Google Security Operations aufnehmen.

Cisco Secure Access ist eine cloudbasierte SSE-Lösung (Security Service Edge), die Zero-Trust-Netzwerkzugriff, ein sicheres Web-Gateway, eine cloudbasierte Firewall, DNS-Sicherheit und Schutz vor Datenverlust bietet. Es vereint mehrere Sicherheitsfunktionen, um Nutzer und Geräte zu schützen, die von jedem Standort aus auf Anwendungen zugreifen.

Hinweis

Prüfen Sie, ob folgende Voraussetzungen erfüllt sind:

Eine Google SecOps-Instanz
Privilegierter Zugriff auf Cisco Secure Access mit der Nutzerrolle Full Admin
Privilegierter Zugriff auf AWS (S3, IAM)

Amazon S3-Bucket für Cisco Secure Access konfigurieren

Melden Sie sich bei der AWS Management Console an.
Rufen Sie Amazon S3 > „Buckets“ auf.
Klicken Sie auf Bucket erstellen.
Geben Sie einen eindeutigen Bucket-Namen ein, z. B. cisco-secure-access-logs.

Hinweis: Punkte in S3-Bucket-Namen werden von Cisco Secure Access nicht unterstützt. Verwenden Sie im Bucket-Namen keine Punkte.
Wählen Sie die AWS-Region aus, in der der Bucket erstellt werden soll.
Lassen Sie die verbleibenden Einstellungen unverändert und klicken Sie auf Bucket erstellen.
Wählen Sie den neu erstellten Bucket aus.
Rufen Sie Berechtigungen > Bucket-Richtlinie auf.

Klicken Sie auf Bearbeiten und fügen Sie die folgende JSON-Richtlinie ein. Ersetzen Sie dabei bucketname durch den tatsächlichen Bucket-Namen:

{
    "Version": "2008-10-17",
    "Statement": [
        {
            "Sid": "",
            "Effect": "Allow",
            "Principal": {
                "AWS": "arn:aws:iam::568526795995:user/logs"
            },
            "Action": "s3:PutObject",
            "Resource": "arn:aws:s3:::bucketname/*"
        },
        {
            "Sid": "",
            "Effect": "Deny",
            "Principal": {
                "AWS": "arn:aws:iam::568526795995:user/logs"
            },
            "Action": "s3:GetObject",
            "Resource": "arn:aws:s3:::bucketname/*"
        },
        {
            "Sid": "",
            "Effect": "Allow",
            "Principal": {
                "AWS": "arn:aws:iam::568526795995:user/logs"
            },
            "Action": "s3:GetBucketLocation",
            "Resource": "arn:aws:s3:::bucketname"
        },
        {
            "Sid": "",
            "Effect": "Allow",
            "Principal": {
                "AWS": "arn:aws:iam::568526795995:user/logs"
            },
            "Action": "s3:ListBucket",
            "Resource": "arn:aws:s3:::bucketname"
        }
    ]
}

Klicken Sie auf Änderungen speichern.

AWS S3-IAM-Nutzer für Google SecOps konfigurieren

Rufen Sie in der AWS Management Console IAM > Nutzer auf.
Erstellen Sie einen Nutzer gemäß dieser Anleitung: IAM-Nutzer erstellen.
Wählen Sie den erstellten Nutzer aus.
Wählen Sie den Tab Sicherheitsanmeldedaten aus.
Klicken Sie im Bereich Zugriffsschlüssel auf Zugriffsschlüssel erstellen.
Wählen Sie Drittanbieterdienst als Anwendungsfall aus.
Klicken Sie auf Weiter.
- Optional: Fügen Sie ein Beschreibungstag hinzu.
Klicken Sie auf Zugriffsschlüssel erstellen.
Klicken Sie auf CSV-Datei herunterladen, um den Zugriffsschlüssel und den geheimen Zugriffsschlüssel für die zukünftige Verwendung zu speichern.
Klicken Sie auf Fertig.
Wählen Sie den Tab Berechtigungen aus.
Klicken Sie im Bereich Berechtigungsrichtlinien auf Berechtigungen hinzufügen.
Wählen Sie Berechtigungen hinzufügen aus.
Wählen Sie Richtlinien direkt anhängen aus.
Suchen Sie nach der Richtlinie AmazonS3FullAccess.
Wählen Sie die Richtlinie aus.
Klicken Sie auf Weiter.
Klicken Sie auf Berechtigungen hinzufügen.

Cisco Secure Access so konfigurieren, dass Protokolle in Ihren S3-Bucket exportiert werden

Melden Sie sich im Cisco Secure Access Dashboard unter https://dashboard.sse.cisco.com an.
Klicken Sie auf Verwaltung > Log-Verwaltung.
Wählen Sie im Bereich Amazon S3 die Option Von Ihrem Unternehmen verwalteten Amazon S3-Bucket verwenden aus.
Geben Sie im Feld Amazon S3-Bucket den genauen Namen des von Ihnen erstellten S3-Buckets ein (z. B. cisco-secure-access-logs).
Klicken Sie auf Bestätigen.

Hinweis :Cisco Secure Access überprüft den Bucket, stellt eine Verbindung zu ihm her und speichert eine README_FROM_UMBRELLA.txt-Datei im Bucket.
Öffnen Sie die README_FROM_UMBRELLA.txt-Datei, die von Cisco Secure Access in Ihrem S3-Bucket gespeichert wurde.
Kopieren Sie das in der Datei aufgeführte Token.
Fügen Sie das Token im Cisco Secure Access-Dashboard in das Feld Token Number (Tokennummer) ein.
Klicken Sie auf Speichern.

Hinweis :Cisco Secure Access-Logs sind CSV-formatiert, gzip-komprimiert und werden alle 10 Minuten hochgeladen. Innerhalb der ersten zwei Stunden nach der Konfiguration sollten Sie Ihren ersten Log-Upload erhalten. Logs werden im S3-Bucket mit dem Pfadformat <bucket-name>-<region>/<prefix>
gespeichert.

Feed in Google SecOps konfigurieren, um Cisco Secure Access-Logs aufzunehmen

Rufen Sie die SIEM-Einstellungen > Feeds auf.
Klicken Sie auf Neuen Feed hinzufügen.
Klicken Sie auf der nächsten Seite auf Einen einzelnen Feed konfigurieren.
Geben Sie einen eindeutigen Namen für den Feednamen ein, z. B. Cisco Secure Access Logs.
Wählen Sie Amazon S3 V2 als Quelltyp aus.
Wählen Sie Cisco Secure Access als Log type (Protokolltyp) aus.
Klicken Sie auf Weiter und dann auf Senden.
Geben Sie Werte für die folgenden Felder an:
- S3-URI: s3://<BUCKET_NAME>/ Ersetzen Sie <BUCKET_NAME> durch den Namen Ihres S3-Buckets, z. B. cisco-secure-access-logs.
- Option zum Löschen der Quelle: Wählen Sie die gewünschte Option zum Löschen aus.
- Höchstalter der Datei: Dateien einbeziehen, die in den letzten Tagen geändert wurden (Standardwert: 180 Tage)
- Zugriffsschlüssel-ID: Nutzerzugriffsschlüssel mit Zugriff auf den S3-Bucket
- Geheimer Zugriffsschlüssel: Geheimer Schlüssel des Nutzers mit Zugriff auf den S3-Bucket
- Asset-Namespace: Der Asset-Namespace
- Labels für Datenaufnahme: Das Label, das auf die Ereignisse aus diesem Feed angewendet werden soll
Hinweis: Wenn Sie die Option Delete transferred files oder Delete transferred files and empty directories auswählen, müssen Sie dem Dienstkonto die entsprechenden Berechtigungen erteilen.
Klicken Sie auf Weiter und dann auf Senden.

UDM-Zuordnungstabelle

Logfeld	UDM-Zuordnung	Logik
`_field`	`additional.fields`	Zusammengeführt
`column10_label`	`additional.fields`	Zusammengeführt
`column11_label`	`additional.fields`	Zusammengeführt
`column15`	`additional.fields`	Zugeordnet: `[null]` → `column15_label`
`column15_label`	`additional.fields`	Zusammengeführt
`column16_label`	`additional.fields`	Zusammengeführt
`column22_label`	`additional.fields`	Zusammengeführt
`column23_label`	`additional.fields`	Zusammengeführt
`column24_label`	`additional.fields`	Zusammengeführt
`column27_label`	`additional.fields`	Zusammengeführt
`column28_label`	`additional.fields`	Zusammengeführt
`column29_label`	`additional.fields`	Zusammengeführt
`column30`	`additional.fields`	Zugeordnet: `^[0-9]+$` → `column30_label`
`column30_label`	`additional.fields`	Zusammengeführt
`column33_label`	`additional.fields`	Zusammengeführt
`column42_label`	`additional.fields`	Zusammengeführt
`column43`	`additional.fields`	Zugeordnet: `"true", "false"` → `column43_label`
`column43_label`	`additional.fields`	Zusammengeführt
`column44_label`	`additional.fields`	Zusammengeführt
`column45`	`additional.fields`	Zugeordnet: `,` → `column45_label`
`column45_label`	`additional.fields`	Zusammengeführt
`column51_label`	`additional.fields`	Zusammengeführt
`column52_label`	`additional.fields`	Zusammengeführt
`column53_label`	`additional.fields`	Zusammengeführt
`column55_label`	`additional.fields`	Zusammengeführt
`column6_label`	`additional.fields`	Zusammengeführt
`column9_label`	`additional.fields`	Zusammengeführt
`key`	`additional.fields`	Zugeordnet: `"col13_label", "col14_label", "col17_label", "col18_label", "col19_label", "col25_l...
`auth_event`	`extensions.auth.type`	Zugeordnet: `true` → `AUTHTYPE_UNSPECIFIED`
`intermediary_entity`	`intermediary`	Zusammengeführt
`column1`	`metadata.event_timestamp`	Als `ISO8601` geparst
`auth_event`	`metadata.event_type`	Zugeordnet: `true` → `USER_LOGIN`
`has_principal`	`metadata.event_type`	Zugeordnet: `true` → `NETWORK_CONNECTION`, `true` → `STATUS_UPDATE`
`has_user`	`metadata.event_type`	Zugeordnet: `true` → `USER_UNCATEGORIZED`
`column26`	`metadata.product_log_id`	Direkt zugeordnet
`column26`	`network.http.method`	Direkt zugeordnet
`column10`	`network.http.user_agent`	Direkt zugeordnet
`column34`	`network.ip_protocol`	Direkt zugeordnet
`column15`	`network.received_bytes`	Zugeordnet: `^-?[0-9]+$` → `uinteger`
`p_bytes`	`network.received_bytes`	Direkt zugeordnet
`p_bytes`	`network.sent_bytes`	Direkt zugeordnet
`column20`	`network.session_id`	Direkt zugeordnet
`column12`	`principal.application`	Direkt zugeordnet
`column2`	`principal.asset.hostname`	Direkt zugeordnet
`column3`	`principal.asset.hostname`	Direkt zugeordnet
`column7`	`principal.asset.hostname`	Direkt zugeordnet
`p_hostname`	`principal.asset.hostname`	Direkt zugeordnet
`column15`	`principal.asset.ip`	Zusammengeführt
`column4`	`principal.asset.ip`	Zugeordnet: `DISCONNECTED` → `column15`
`p_ip`	`principal.asset.ip`	Zusammengeführt
`p_ip_from_host`	`principal.asset.ip`	Zusammengeführt
`user_ip`	`principal.asset.ip`	Zusammengeführt
`column31`	`principal.asset.product_object_id`	Direkt zugeordnet
`software_obj`	`principal.asset.software`	Zusammengeführt
`column2`	`principal.hostname`	Direkt zugeordnet
`column3`	`principal.hostname`	Direkt zugeordnet
`column7`	`principal.hostname`	Direkt zugeordnet
`p_hostname`	`principal.hostname`	Direkt zugeordnet
`column15`	`principal.ip`	Zusammengeführt
`column4`	`principal.ip`	Zugeordnet: `DISCONNECTED` → `column15`
`p_ip`	`principal.ip`	Zusammengeführt
`p_ip_from_host`	`principal.ip`	Zusammengeführt
`user_ip`	`principal.ip`	Zusammengeführt
`column7`	`principal.platform_version`	Direkt zugeordnet
`column41`	`principal.process.file.full_path`	Direkt zugeordnet
`column40`	`principal.process.pid`	Direkt zugeordnet
`column2`	`principal.user.email_addresses`	Zugeordnet: `^.+@.+$` → `column2`
`email`	`principal.user.email_addresses`	Zugeordnet: `^.+@.+$` → `email`
`column4`	`principal.user.group_identifiers`	Zusammengeführt
`column3`	`principal.user.user_display_name`	Direkt zugeordnet
`user_display_name`	`principal.user.user_display_name`	Direkt zugeordnet
`column43`	`principal.user.userid`	Direkt zugeordnet
`column7`	`principal.user.userid`	Direkt zugeordnet
`column45`	`principal.user.windows_sid`	Direkt zugeordnet
`sid`	`principal.user.windows_sid`	Direkt zugeordnet
`security_result_entry`	`security_result`	Zusammengeführt
`security_result_present`	`security_result`	Zugeordnet: `true` → `security_result_entry`
`column21`	`target.asset.hostname`	Direkt zugeordnet
`column5`	`target.asset.hostname`	Direkt zugeordnet
`column16`	`target.asset.ip`	Zusammengeführt
`column4`	`target.asset.ip`	Zugeordnet: `DISCONNECTED` → `column16`
`column5`	`target.asset.ip`	Zusammengeführt
`t_ip`	`target.asset.ip`	Zusammengeführt
`column21`	`target.hostname`	Direkt zugeordnet
`column5`	`target.hostname`	Direkt zugeordnet
`column16`	`target.ip`	Zusammengeführt
`column4`	`target.ip`	Zugeordnet: `DISCONNECTED` → `column16`
`column5`	`target.ip`	Zusammengeführt
`t_ip`	`target.ip`	Zusammengeführt
`column33`	`target.port`	Direkt zugeordnet
–	`extensions.auth.type`	Konstante: `AUTHTYPE_UNSPECIFIED`
–	`metadata.event_type`	Konstante: `USER_LOGIN`
–	`metadata.product_name`	Konstante: `Secure Access`
–	`metadata.vendor_name`	Konstante: `Cisco`
–	`network.application_protocol`	Konstante: `DNS`
`column22`	`event.idm.read_only_udm.principal.user.group_identifiers`	Aus dem Änderungsprotokoll zugeordnet
`column11`	`event.idm.read_only_udm.network.http.response_code`	Aus dem Änderungsprotokoll zugeordnet
`column16`	`event.idm.read_only_udm.security_result.category_details`	Aus dem Änderungsprotokoll zugeordnet
`column44`	`event.idm.read_only_udm.target.hostname`	Aus dem Änderungsprotokoll zugeordnet
`column44`	`event.idm.read_only_udm.target.asset.hostname`	Aus dem Änderungsprotokoll zugeordnet
`column25`	`event.idm.read_only_udm.principal.application`	Aus dem Änderungsprotokoll zugeordnet
`column8`	`event.idm.read_only_udm.target.url`	Aus dem Änderungsprotokoll zugeordnet
`column45`	`event.idm.read_only_udm.additional.fields`	Aus dem Änderungsprotokoll zugeordnet
`column22`	`event.idm.read_only_udm.additional.fields`	Aus dem Änderungsprotokoll zugeordnet
`column55`	`event.idm.read_only_udm.additional.fields`	Aus dem Änderungsprotokoll zugeordnet
`column33`	`event.idm.read_only_udm.additional.fields`	Aus dem Änderungsprotokoll zugeordnet
`column2`	`event.idm.read_only_udm.principal.hostname` und `event.idm.read_only_udm.principal.asset.hostname`	Aus dem Änderungsprotokoll zugeordnet
`column3`	`event.idm.read_only_udm.principal.hostname` und `event.idm.read_only_udm.principal.asset.hostname`	Aus dem Änderungsprotokoll zugeordnet
`column7`	`event.idm.read_only_udm.principal.hostname` und `event.idm.read_only_udm.principal.asset.hostname`	Aus dem Änderungsprotokoll zugeordnet
`column4`	`event.idm.read_only_udm.principal.ip` und `event.idm.read_only_udm.principal.asset.ip`	Aus dem Änderungsprotokoll zugeordnet
`column10`	`event.idm.read_only_udm.principal.ip` und `event.idm.read_only_udm.principal.asset.ip`	Aus dem Änderungsprotokoll zugeordnet
`column15`	`event.idm.read_only_udm.principal.ip` und `event.idm.read_only_udm.principal.asset.ip`	Aus dem Änderungsprotokoll zugeordnet
`column5`	`event.idm.read_only_udm.target.ip` und `event.idm.read_only_udm.target.asset.ip`	Aus dem Änderungsprotokoll zugeordnet
`column16`	`event.idm.read_only_udm.target.ip` und `event.idm.read_only_udm.target.asset.ip`	Aus dem Änderungsprotokoll zugeordnet
`column22`	`event.idm.read_only_udm.target.ip` und `event.idm.read_only_udm.target.asset.ip`	Aus dem Änderungsprotokoll zugeordnet
`column7`	`event.idm.read_only_udm.principal.user.userid`	Aus dem Änderungsprotokoll zugeordnet
`column43`	`event.idm.read_only_udm.principal.user.userid`	Aus dem Änderungsprotokoll zugeordnet
`column1`	`event.idm.read_only_udm.metadata.event_timestamp`	Aus dem Änderungsprotokoll zugeordnet
`column6`	`event.idm.read_only_udm.additional.fields`	Aus dem Änderungsprotokoll zugeordnet
`column8`	`event.idm.read_only_udm.additional.fields`	Aus dem Änderungsprotokoll zugeordnet
`column9`	`event.idm.read_only_udm.additional.fields`	Aus dem Änderungsprotokoll zugeordnet
`column10`	`event.idm.read_only_udm.additional.fields`	Aus dem Änderungsprotokoll zugeordnet
`column11`	`event.idm.read_only_udm.additional.fields`	Aus dem Änderungsprotokoll zugeordnet
`column13`	`event.idm.read_only_udm.additional.fields`	Aus dem Änderungsprotokoll zugeordnet
`column14`	`event.idm.read_only_udm.additional.fields`	Aus dem Änderungsprotokoll zugeordnet
`column16`	`event.idm.read_only_udm.additional.fields`	Aus dem Änderungsprotokoll zugeordnet
`column17`	`event.idm.read_only_udm.additional.fields`	Aus dem Änderungsprotokoll zugeordnet
`column18`	`event.idm.read_only_udm.additional.fields`	Aus dem Änderungsprotokoll zugeordnet
`column19`	`event.idm.read_only_udm.additional.fields`	Aus dem Änderungsprotokoll zugeordnet
`column23`	`event.idm.read_only_udm.additional.fields`	Aus dem Änderungsprotokoll zugeordnet
`column24`	`event.idm.read_only_udm.additional.fields`	Aus dem Änderungsprotokoll zugeordnet
`column25`	`event.idm.read_only_udm.additional.fields`	Aus dem Änderungsprotokoll zugeordnet
`column27`	`event.idm.read_only_udm.additional.fields`	Aus dem Änderungsprotokoll zugeordnet
`column28`	`event.idm.read_only_udm.additional.fields`	Aus dem Änderungsprotokoll zugeordnet
`column29`	`event.idm.read_only_udm.additional.fields`	Aus dem Änderungsprotokoll zugeordnet
`column32`	`event.idm.read_only_udm.additional.fields`	Aus dem Änderungsprotokoll zugeordnet
`column36`	`event.idm.read_only_udm.additional.fields`	Aus dem Änderungsprotokoll zugeordnet
`column42`	`event.idm.read_only_udm.additional.fields`	Aus dem Änderungsprotokoll zugeordnet
`column44`	`event.idm.read_only_udm.additional.fields`	Aus dem Änderungsprotokoll zugeordnet
`column46`	`event.idm.read_only_udm.additional.fields`	Aus dem Änderungsprotokoll zugeordnet
`column47`	`event.idm.read_only_udm.additional.fields`	Aus dem Änderungsprotokoll zugeordnet
`column48`	`event.idm.read_only_udm.additional.fields`	Aus dem Änderungsprotokoll zugeordnet
`column49`	`event.idm.read_only_udm.additional.fields`	Aus dem Änderungsprotokoll zugeordnet
`column50`	`event.idm.read_only_udm.additional.fields`	Aus dem Änderungsprotokoll zugeordnet
`column51`	`event.idm.read_only_udm.additional.fields`	Aus dem Änderungsprotokoll zugeordnet
`column52`	`event.idm.read_only_udm.additional.fields`	Aus dem Änderungsprotokoll zugeordnet
`column53`	`event.idm.read_only_udm.additional.fields`	Aus dem Änderungsprotokoll zugeordnet
`column54`	`event.idm.read_only_udm.additional.fields`	Aus dem Änderungsprotokoll zugeordnet
`column12`	`event.idm.read_only_udm.network.sent_bytes`	Aus dem Änderungsprotokoll zugeordnet
`column15`	`event.idm.read_only_udm.network.received_bytes`	Aus dem Änderungsprotokoll zugeordnet
`column2`	`event.idm.read_only_udm.principal.user.email_addresses`	Aus dem Änderungsprotokoll zugeordnet
`column20`	`event.idm.read_only_udm.network.session_id`	Aus dem Änderungsprotokoll zugeordnet
`column5`	`event.idm.read_only_udm.target.hostname` und `event.idm.read_only_udm.target.asset.hostname`	Aus dem Änderungsprotokoll zugeordnet
`column21`	`event.idm.read_only_udm.target.hostname` und `event.idm.read_only_udm.target.asset.hostname`	Aus dem Änderungsprotokoll zugeordnet
`column33`	`event.idm.read_only_udm.target.port`	Aus dem Änderungsprotokoll zugeordnet
`column34`	`event.idm.read_only_udm.network.ip_protocol`	Aus dem Änderungsprotokoll zugeordnet
`column26`	`event.idm.read_only_udm.metadata.product_log_id`	Aus dem Änderungsprotokoll zugeordnet
`column3`	`event.idm.read_only_udm.principal.user.user_display_name`	Aus dem Änderungsprotokoll zugeordnet
`column30`	`event.idm.read_only_udm.principal.asset.software`	Aus dem Änderungsprotokoll zugeordnet
`column31`	`event.idm.read_only_udm.principal.asset.product_object_id`	Aus dem Änderungsprotokoll zugeordnet
`column35`	`event.idm.read_only_udm.network.application_protocol`	Aus dem Änderungsprotokoll zugeordnet
`column4`	`event.idm.read_only_udm.principal.user.group_identifiers`	Aus dem Änderungsprotokoll zugeordnet
`column40`	`event.idm.read_only_udm.principal.process.pid`	Aus dem Änderungsprotokoll zugeordnet
`column41`	`event.idm.read_only_udm.principal.process.file.full_path`	Aus dem Änderungsprotokoll zugeordnet
`column57`	`event.idm.read_only_udm.intermediary`	Aus dem Änderungsprotokoll zugeordnet
`column7`	`event.idm.read_only_udm.principal.platform_version`	Aus dem Änderungsprotokoll zugeordnet
`column56`	`event.idm.read_only_udm.security_result.rule_name`	Aus dem Änderungsprotokoll zugeordnet
`column6`	`event.idm.read_only_udm.security_result.action`	Aus dem Änderungsprotokoll zugeordnet
`column45`	`event.idm.read_only_udm.principal.user.windows_sid`	Aus dem Änderungsprotokoll zugeordnet
`column12`	`event.idm.read_only_udm.principal.application`	Aus dem Änderungsprotokoll zugeordnet

Änderungsprotokoll

Änderungsprotokoll für diesen Parser ansehen

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten