Collecter les journaux Cisco Secure Access

Version de l'analyseur : 4.0

Compatible avec :

Ce document explique comment ingérer des journaux Cisco Secure Access dans Google Security Operations à l'aide d'Amazon S3.

Cisco Secure Access est une solution SSE (Security Service Edge) fournie dans le cloud. Elle offre un accès réseau "zéro confiance", une passerelle Web sécurisée, un pare-feu fourni dans le cloud, une sécurité au niveau de la couche DNS et une protection contre la perte de données. Il unifie plusieurs fonctions de sécurité pour protéger les utilisateurs et les appareils qui accèdent aux applications depuis n'importe quel emplacement.

Avant de commencer

Assurez-vous de remplir les conditions suivantes :

  • Une instance Google SecOps
  • Accès privilégié à Cisco Secure Access avec le rôle utilisateur Administrateur complet
  • Accès privilégié à AWS (S3, IAM)

Configurer un bucket Amazon S3 pour Cisco Secure Access

  1. Connectez-vous à l'AWS Management Console.
  2. Accédez à Amazon S3 > Buckets.
  3. Cliquez sur Créer un bucket.

  4. Saisissez un nom de bucket unique (par exemple, cisco-secure-access-logs).

  5. Sélectionnez la région AWS dans laquelle le bucket doit être créé.

  6. Conservez les autres paramètres par défaut, puis cliquez sur Créer un bucket.

  7. Sélectionnez le bucket que vous venez de créer.

  8. Accédez à Autorisations > Stratégie de bucket.

  9. Cliquez sur Modifier, puis collez la règle JSON suivante en remplaçant bucketname par le nom de votre bucket :

    {
    "Version": "2008-10-17",
    "Statement": [
        {
            "Sid": "",
            "Effect": "Allow",
            "Principal": {
                "AWS": "arn:aws:iam::568526795995:user/logs"
            },
            "Action": "s3:PutObject",
            "Resource": "arn:aws:s3:::bucketname/*"
        },
        {
            "Sid": "",
            "Effect": "Deny",
            "Principal": {
                "AWS": "arn:aws:iam::568526795995:user/logs"
            },
            "Action": "s3:GetObject",
            "Resource": "arn:aws:s3:::bucketname/*"
        },
        {
            "Sid": "",
            "Effect": "Allow",
            "Principal": {
                "AWS": "arn:aws:iam::568526795995:user/logs"
            },
            "Action": "s3:GetBucketLocation",
            "Resource": "arn:aws:s3:::bucketname"
        },
        {
            "Sid": "",
            "Effect": "Allow",
            "Principal": {
                "AWS": "arn:aws:iam::568526795995:user/logs"
            },
            "Action": "s3:ListBucket",
            "Resource": "arn:aws:s3:::bucketname"
        }
    ]
}

  10. Cliquez sur Enregistrer les modifications.

Configurer un utilisateur IAM AWS S3 pour Google SecOps

  1. Dans la console de gestion AWS, accédez à IAM > Utilisateurs.
  2. Créez un utilisateur en suivant ce guide de l'utilisateur : Créer un utilisateur IAM.
  3. Sélectionnez l'utilisateur créé.
  4. Sélectionnez l'onglet Identifiants de sécurité.
  5. Cliquez sur Créer une clé d'accès dans la section Clés d'accès.
  6. Sélectionnez Service tiers comme Cas d'utilisation.
  7. Cliquez sur Suivant.
    • Facultatif : Ajoutez un tag de description.
  8. Cliquez sur Créer une clé d'accès.
  9. Cliquez sur Télécharger le fichier .csv pour enregistrer la clé d'accès et la clé d'accès secrète pour référence ultérieure.
  10. Cliquez sur OK.
  11. Sélectionnez l'onglet Autorisations.
  12. Cliquez sur Ajouter des autorisations dans la section Règles d'autorisation.
  13. Sélectionnez Ajouter des autorisations.
  14. Sélectionnez Associer directement les règles.
  15. Recherchez la règle AmazonS3FullAccess.
  16. Sélectionnez la règle.
  17. Cliquez sur Suivant.
  18. Cliquez sur Ajouter des autorisations.

Configurer Cisco Secure Access pour exporter les journaux vers votre bucket S3

  1. Connectez-vous au tableau de bord Cisco Secure Access à l'adresse https://dashboard.sse.cisco.com.
  2. Accédez à Admin > Gestion des journaux.
  3. Dans la section Amazon S3, sélectionnez Utiliser le bucket Amazon S3 géré par votre entreprise.
  4. Dans le champ Bucket Amazon S3, saisissez le nom exact du bucket S3 que vous avez créé (par exemple, cisco-secure-access-logs).

  5. Cliquez sur Verify (Valider).

  6. Ouvrez le fichier README_FROM_UMBRELLA.txt que Cisco Secure Access a enregistré dans votre bucket S3.

  7. Copiez le jeton listé dans le fichier.

  8. Collez le jeton dans le champ Token Number (Numéro de jeton) du tableau de bord Cisco Secure Access.

  9. Cliquez sur Enregistrer.

Configurer un flux dans Google SecOps pour ingérer les journaux Cisco Secure Access

  1. Accédez à Paramètres SIEM> Flux.
  2. Cliquez sur Ajouter un flux.
  3. Sur la page suivante, cliquez sur Configurer un seul flux.
  4. Saisissez un nom unique pour le nom du flux (par exemple, Cisco Secure Access Logs).
  5. Sélectionnez Amazon S3 V2 comme Type de source.
  6. Sélectionnez Cisco Secure Access comme Type de journal.
  7. Cliquez sur Suivant, puis sur Envoyer.

  8. Indiquez les valeurs des champs suivants :

    • URI S3 : s3://<BUCKET_NAME>/ Remplacez <BUCKET_NAME> par le nom de votre bucket S3 (par exemple, cisco-secure-access-logs).
    • Option de suppression de la source : sélectionnez l'option de suppression de votre choix.
    • Âge maximal du fichier : incluez les fichiers modifiés au cours des derniers jours (180 jours par défaut).
    • ID de clé d'accès : clé d'accès utilisateur ayant accès au bucket S3
    • Clé d'accès secrète : clé secrète de l'utilisateur ayant accès au bucket S3
    • Espace de noms de l'élément : espace de noms de l'élément
    • Libellés d'ingestion : libellé à appliquer aux événements de ce flux

  9. Cliquez sur Suivant, puis sur Envoyer.

Table de mappage UDM

Champ de journal Mappage UDM Logique
_field additional.fields Fusionné
column10_label additional.fields Fusionné
column11_label additional.fields Fusionné
column15 additional.fields Mappé : [null] → column15_label
column15_label additional.fields Fusionné
column16_label additional.fields Fusionné
column22_label additional.fields Fusionné
column23_label additional.fields Fusionné
column24_label additional.fields Fusionné
column27_label additional.fields Fusionné
column28_label additional.fields Fusionné
column29_label additional.fields Fusionné
column30 additional.fields Mappé : ^[0-9]+$ → column30_label
column30_label additional.fields Fusionné
column33_label additional.fields Fusionné
column42_label additional.fields Fusionné
column43 additional.fields Mappé : "true", "false" → column43_label
column43_label additional.fields Fusionné
column44_label additional.fields Fusionné
column45 additional.fields Mappé : , → column45_label
column45_label additional.fields Fusionné
column51_label additional.fields Fusionné
column52_label additional.fields Fusionné
column53_label additional.fields Fusionné
column55_label additional.fields Fusionné
column6_label additional.fields Fusionné
column9_label additional.fields Fusionné
key additional.fields Mappé : "col13_label", "col14_label", "col17_label", "col18_label", "col19_label", "col25_l...
auth_event extensions.auth.type Mappé : true → AUTHTYPE_UNSPECIFIED
intermediary_entity intermediary Fusionné
column1 metadata.event_timestamp Analysé en tant que ISO8601
auth_event metadata.event_type Mappé : true → USER_LOGIN
has_principal metadata.event_type Mappé : true → NETWORK_CONNECTION, true → STATUS_UPDATE
has_user metadata.event_type Mappé : true → USER_UNCATEGORIZED
column26 metadata.product_log_id Mappé directement
column26 network.http.method Mappé directement
column10 network.http.user_agent Mappé directement
column34 network.ip_protocol Mappé directement
column15 network.received_bytes Mappé : ^-?[0-9]+$ → uinteger
p_bytes network.received_bytes Mappé directement
p_bytes network.sent_bytes Mappé directement
column20 network.session_id Mappé directement
column12 principal.application Mappé directement
column2 principal.asset.hostname Mappé directement
column3 principal.asset.hostname Mappé directement
column7 principal.asset.hostname Mappé directement
p_hostname principal.asset.hostname Mappé directement
column15 principal.asset.ip Fusionné
column4 principal.asset.ip Mappé : DISCONNECTED → column15
p_ip principal.asset.ip Fusionné
p_ip_from_host principal.asset.ip Fusionné
user_ip principal.asset.ip Fusionné
column31 principal.asset.product_object_id Mappé directement
software_obj principal.asset.software Fusionné
column2 principal.hostname Mappé directement
column3 principal.hostname Mappé directement
column7 principal.hostname Mappé directement
p_hostname principal.hostname Mappé directement
column15 principal.ip Fusionné
column4 principal.ip Mappé : DISCONNECTED → column15
p_ip principal.ip Fusionné
p_ip_from_host principal.ip Fusionné
user_ip principal.ip Fusionné
column7 principal.platform_version Mappé directement
column41 principal.process.file.full_path Mappé directement
column40 principal.process.pid Mappé directement
column2 principal.user.email_addresses Mappé : ^.+@.+$ → column2
email principal.user.email_addresses Mappé : ^.+@.+$ → email
column4 principal.user.group_identifiers Fusionné
column3 principal.user.user_display_name Mappé directement
user_display_name principal.user.user_display_name Mappé directement
column43 principal.user.userid Mappé directement
column7 principal.user.userid Mappé directement
column45 principal.user.windows_sid Mappé directement
sid principal.user.windows_sid Mappé directement
security_result_entry security_result Fusionné
security_result_present security_result Mappé : true → security_result_entry
column21 target.asset.hostname Mappé directement
column5 target.asset.hostname Mappé directement
column16 target.asset.ip Fusionné
column4 target.asset.ip Mappé : DISCONNECTED → column16
column5 target.asset.ip Fusionné
t_ip target.asset.ip Fusionné
column21 target.hostname Mappé directement
column5 target.hostname Mappé directement
column16 target.ip Fusionné
column4 target.ip Mappé : DISCONNECTED → column16
column5 target.ip Fusionné
t_ip target.ip Fusionné
column33 target.port Mappé directement
N/A extensions.auth.type Constante : AUTHTYPE_UNSPECIFIED
N/A metadata.event_type Constante : USER_LOGIN
N/A metadata.product_name Constante : Secure Access
N/A metadata.vendor_name Constante : Cisco
N/A network.application_protocol Constante : DNS
column22 event.idm.read_only_udm.principal.user.group_identifiers Mappé à partir du journal des modifications
column11 event.idm.read_only_udm.network.http.response_code Mappé à partir du journal des modifications
column16 event.idm.read_only_udm.security_result.category_details Mappé à partir du journal des modifications
column44 event.idm.read_only_udm.target.hostname Mappé à partir du journal des modifications
column44 event.idm.read_only_udm.target.asset.hostname Mappé à partir du journal des modifications
column25 event.idm.read_only_udm.principal.application Mappé à partir du journal des modifications
column8 event.idm.read_only_udm.target.url Mappé à partir du journal des modifications
column45 event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
column22 event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
column55 event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
column33 event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
column2 event.idm.read_only_udm.principal.hostname et event.idm.read_only_udm.principal.asset.hostname Mappé à partir du journal des modifications
column3 event.idm.read_only_udm.principal.hostname et event.idm.read_only_udm.principal.asset.hostname Mappé à partir du journal des modifications
column7 event.idm.read_only_udm.principal.hostname et event.idm.read_only_udm.principal.asset.hostname Mappé à partir du journal des modifications
column4 event.idm.read_only_udm.principal.ip et event.idm.read_only_udm.principal.asset.ip Mappé à partir du journal des modifications
column10 event.idm.read_only_udm.principal.ip et event.idm.read_only_udm.principal.asset.ip Mappé à partir du journal des modifications
column15 event.idm.read_only_udm.principal.ip et event.idm.read_only_udm.principal.asset.ip Mappé à partir du journal des modifications
column5 event.idm.read_only_udm.target.ip et event.idm.read_only_udm.target.asset.ip Mappé à partir du journal des modifications
column16 event.idm.read_only_udm.target.ip et event.idm.read_only_udm.target.asset.ip Mappé à partir du journal des modifications
column22 event.idm.read_only_udm.target.ip et event.idm.read_only_udm.target.asset.ip Mappé à partir du journal des modifications
column7 event.idm.read_only_udm.principal.user.userid Mappé à partir du journal des modifications
column43 event.idm.read_only_udm.principal.user.userid Mappé à partir du journal des modifications
column1 event.idm.read_only_udm.metadata.event_timestamp Mappé à partir du journal des modifications
column6 event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
column8 event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
column9 event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
column10 event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
column11 event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
column13 event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
column14 event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
column16 event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
column17 event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
column18 event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
column19 event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
column23 event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
column24 event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
column25 event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
column27 event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
column28 event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
column29 event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
column32 event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
column36 event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
column42 event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
column44 event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
column46 event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
column47 event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
column48 event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
column49 event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
column50 event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
column51 event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
column52 event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
column53 event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
column54 event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
column12 event.idm.read_only_udm.network.sent_bytes Mappé à partir du journal des modifications
column15 event.idm.read_only_udm.network.received_bytes Mappé à partir du journal des modifications
column2 event.idm.read_only_udm.principal.user.email_addresses Mappé à partir du journal des modifications
column20 event.idm.read_only_udm.network.session_id Mappé à partir du journal des modifications
column5 event.idm.read_only_udm.target.hostname et event.idm.read_only_udm.target.asset.hostname Mappé à partir du journal des modifications
column21 event.idm.read_only_udm.target.hostname et event.idm.read_only_udm.target.asset.hostname Mappé à partir du journal des modifications
column33 event.idm.read_only_udm.target.port Mappé à partir du journal des modifications
column34 event.idm.read_only_udm.network.ip_protocol Mappé à partir du journal des modifications
column26 event.idm.read_only_udm.metadata.product_log_id Mappé à partir du journal des modifications
column3 event.idm.read_only_udm.principal.user.user_display_name Mappé à partir du journal des modifications
column30 event.idm.read_only_udm.principal.asset.software Mappé à partir du journal des modifications
column31 event.idm.read_only_udm.principal.asset.product_object_id Mappé à partir du journal des modifications
column35 event.idm.read_only_udm.network.application_protocol Mappé à partir du journal des modifications
column4 event.idm.read_only_udm.principal.user.group_identifiers Mappé à partir du journal des modifications
column40 event.idm.read_only_udm.principal.process.pid Mappé à partir du journal des modifications
column41 event.idm.read_only_udm.principal.process.file.full_path Mappé à partir du journal des modifications
column57 event.idm.read_only_udm.intermediary Mappé à partir du journal des modifications
column7 event.idm.read_only_udm.principal.platform_version Mappé à partir du journal des modifications
column56 event.idm.read_only_udm.security_result.rule_name Mappé à partir du journal des modifications
column6 event.idm.read_only_udm.security_result.action Mappé à partir du journal des modifications
column45 event.idm.read_only_udm.principal.user.windows_sid Mappé à partir du journal des modifications
column12 event.idm.read_only_udm.principal.application Mappé à partir du journal des modifications

Journal des modifications

Afficher le journal des modifications pour ce parseur

Vous avez encore besoin d'aide ? Obtenez des réponses de membres de la communauté et de professionnels Google SecOps.