איסוף יומנים של Cisco Secure Access

גרסת המנתח: 4.0

נתמך ב:

Google SecOps SIEM

במסמך הזה מוסבר איך להטמיע יומנים של Cisco Secure Access ב-Google Security Operations באמצעות Amazon S3.

‫Cisco Secure Access הוא פתרון Security Service Edge ‏(SSE) בענן שמספק גישה לרשת במודל אבטחה של אפס אמון, שער אינטרנט מאובטח, חומת אש בענן, אבטחה בשכבת ה-DNS ומניעת אובדן נתונים. הוא מאחד כמה פונקציות אבטחה כדי להגן על משתמשים ומכשירים שניגשים לאפליקציות מכל מקום.

לפני שמתחילים

חשוב לוודא שיש לכם את הדברים הבאים:

• מכונה של Google SecOps
• הרשאת גישה ל-Cisco Secure Access עם תפקיד המשתמש אדמין מלא
• גישה עם הרשאות ל-AWS‏ (S3, ‏ IAM)

הגדרת קטגוריית Amazon S3 ל-Cisco Secure Access

1. נכנסים ל-AWS Management Console.
2. עוברים אל Amazon S3 > Buckets.
3. לוחצים על Create bucket.

4. מזינים שם קטגוריה ייחודי (לדוגמה, cisco-secure-access-logs).

   הערה: Cisco Secure Access לא תומך בנקודות בשמות של קטגוריות S3. אל תשתמשו בנקודות בשם הקטגוריה.

5. בוחרים את אזור AWS שבו רוצים ליצור את הקטגוריה.

6. משאירים את שאר ההגדרות כברירת מחדל ולוחצים על Create bucket.

7. בוחרים את הקטגוריה החדשה שנוצרה.

8. עוברים אל Permissions > Bucket policy.

9. לוחצים על Edit ומדביקים את מדיניות ה-JSON הבאה, ומחליפים את bucketname בשם הקטגוריה:

   {
       "Version": "2008-10-17",
       "Statement": [
           {
               "Sid": "",
               "Effect": "Allow",
               "Principal": {
                   "AWS": "arn:aws:iam::568526795995:user/logs"
               },
               "Action": "s3:PutObject",
               "Resource": "arn:aws:s3:::bucketname/*"
           },
           {
               "Sid": "",
               "Effect": "Deny",
               "Principal": {
                   "AWS": "arn:aws:iam::568526795995:user/logs"
               },
               "Action": "s3:GetObject",
               "Resource": "arn:aws:s3:::bucketname/*"
           },
           {
               "Sid": "",
               "Effect": "Allow",
               "Principal": {
                   "AWS": "arn:aws:iam::568526795995:user/logs"
               },
               "Action": "s3:GetBucketLocation",
               "Resource": "arn:aws:s3:::bucketname"
           },
           {
               "Sid": "",
               "Effect": "Allow",
               "Principal": {
                   "AWS": "arn:aws:iam::568526795995:user/logs"
               },
               "Action": "s3:ListBucket",
               "Resource": "arn:aws:s3:::bucketname"
           }
       ]
   }
   

10. לוחצים על שמירת השינויים.

הגדרת משתמש AWS S3 IAM ל-Google SecOps

1. ב-AWS Management Console, נכנסים לדף IAM > Users.
2. יוצרים משתמש לפי המדריך למשתמש: יצירת משתמש IAM.
3. בוחרים את המשתמש שנוצר.
4. לוחצים על הכרטיסייה פרטי כניסה מאובטחים.
5. לוחצים על Create Access Key בקטע Access Keys.
6. בקטע Use case, בוחרים באפשרות Third-party service.
7. לוחצים על הבא.
   • אופציונלי: מוסיפים תג תיאור.
8. לוחצים על יצירת מפתח גישה.
9. לוחצים על Download .csv file כדי לשמור את Access Key ואת Secret Access Key לשימוש עתידי.
10. לוחצים על סיום.
11. לוחצים על הכרטיסייה הרשאות.
12. בקטע מדיניות הרשאות, לוחצים על הוספת הרשאות.
13. לוחצים על הוספת הרשאות.
14. בוחרים באפשרות Attach policies directly.
15. מחפשים את המדיניות AmazonS3FullAccess.
16. בוחרים את המדיניות.
17. לוחצים על הבא.
18. לוחצים על הוספת הרשאות.

הגדרת Cisco Secure Access לייצוא יומנים לקטגוריית S3

1. נכנסים למרכז הבקרה של Cisco Secure Access בכתובת https://dashboard.sse.cisco.com.
2. עוברים אל Admin > Log Management.
3. באזור Amazon S3, בוחרים באפשרות שימוש בקטגוריית Amazon S3 שמנוהלת על ידי החברה.
4. בשדה Amazon S3 Bucket, מזינים את השם המדויק של קטגוריית ה-S3 שיצרתם (לדוגמה, cisco-secure-access-logs).

5. לוחצים על Verify.

   הערה: מערכת Cisco Secure Access מאמתת את הקטגוריה, מתחברת אליה ושומרת קובץ README_FROM_UMBRELLA.txt בקטגוריה.

6. פותחים את הקובץ README_FROM_UMBRELLA.txt ש-Cisco Secure Access שמר בקטגוריית S3.

7. מעתיקים את הטוקן שמופיע בקובץ.

8. מדביקים את הטוקן בשדה Token Number (מספר הטוקן) במרכז הבקרה של Cisco Secure Access.

9. לוחצים על Save.

   הערה: היומנים של Cisco Secure Access הם בפורמט CSV, דחוסים ב-gzip ומועלים כל 10 דקות. העלאת היומן הראשונה אמורה להתבצע תוך שעתיים מרגע ההגדרה. היומנים מאוחסנים בקטגוריית S3 לפי פורמט הנתיב: <bucket-name>-<region>/<prefix>.

הגדרת פיד ב-Google SecOps כדי להטמיע יומנים של Cisco Secure Access

1. עוברים אל הגדרות > ניהול נתונים > פידים. אם אתם משתמשים בפלטפורמה של SIEM בלבד, עוברים אל הגדרות > פידים.
2. לוחצים על הוספת פיד חדש.
3. בדף הבא, לוחצים על הגדרת פיד יחיד.
4. מזינים שם ייחודי בשדה Feed name (לדוגמה, Cisco Secure Access Logs).
5. בוחרים באפשרות Amazon S3 V2 בתור סוג המקור.
6. בוחרים באפשרות Cisco Secure Access בתור סוג היומן.
7. לוחצים על הבא ואז על שליחה.

8. מציינים ערכים בשדות הבאים:

   • ‫S3 URI: s3://<BUCKET_NAME>/ מחליפים את <BUCKET_NAME> בשם של קטגוריית S3 (לדוגמה, cisco-secure-access-logs).
   • אפשרות מחיקת מקור: בוחרים את אפשרות המחיקה לפי ההעדפה שלכם.
   • גיל הקובץ המקסימלי: כולל קבצים ששונו במספר הימים האחרונים (ברירת המחדל היא 180 ימים)
   • מזהה מפתח הגישה: מפתח גישה של משתמש עם גישה לקטגוריית S3
   • מפתח גישה סודי: מפתח סודי של משתמש עם גישה לקטגוריית S3
   • מרחב השמות של הנכס: מרחב השמות של הנכס
   • תוויות הטמעה: התווית שתתווסף לאירועים מהפיד הזה
   הערה: אם בוחרים באפשרות Delete transferred files או Delete transferred files and empty directories, צריך לוודא שנתתם לחשבון השירות את ההרשאות המתאימות.

9. לוחצים על הבא ואז על שליחה.

טבלת מיפוי UDM

שדה ביומן	מיפוי UDM	Logic (פונקציה לוגית)
_field	additional.fields	ממוזג
column10_label	additional.fields	ממוזג
column11_label	additional.fields	ממוזג
column15	additional.fields	מופה: [null] ← column15_label
column15_label	additional.fields	ממוזג
column16_label	additional.fields	ממוזג
column22_label	additional.fields	ממוזג
column23_label	additional.fields	ממוזג
column24_label	additional.fields	ממוזג
column27_label	additional.fields	ממוזג
column28_label	additional.fields	ממוזג
column29_label	additional.fields	ממוזג
column30	additional.fields	מופה: ^[0-9]+$ ← column30_label
column30_label	additional.fields	ממוזג
column33_label	additional.fields	ממוזג
column42_label	additional.fields	ממוזג
column43	additional.fields	מופה: "true", "false" ← column43_label
column43_label	additional.fields	ממוזג
column44_label	additional.fields	ממוזג
column45	additional.fields	מופה: , ← column45_label
column45_label	additional.fields	ממוזג
column51_label	additional.fields	ממוזג
column52_label	additional.fields	ממוזג
column53_label	additional.fields	ממוזג
column55_label	additional.fields	ממוזג
column6_label	additional.fields	ממוזג
column9_label	additional.fields	ממוזג
key	additional.fields	מופו: `"col13_label", "col14_label", "col17_label", "col18_label", "col19_label", "col25_l...
auth_event	extensions.auth.type	מופה: true ← AUTHTYPE_UNSPECIFIED
intermediary_entity	intermediary	ממוזג
column1	metadata.event_timestamp	נותח בתור ISO8601
auth_event	metadata.event_type	מופה: true ← USER_LOGIN
has_principal	metadata.event_type	מופה: true ← NETWORK_CONNECTION, true ← STATUS_UPDATE
has_user	metadata.event_type	מופה: true ← USER_UNCATEGORIZED
column26	metadata.product_log_id	מיפוי ישיר
column26	network.http.method	מיפוי ישיר
column10	network.http.user_agent	מיפוי ישיר
column34	network.ip_protocol	מיפוי ישיר
column15	network.received_bytes	מופה: ^-?[0-9]+$ ← uinteger
p_bytes	network.received_bytes	מיפוי ישיר
p_bytes	network.sent_bytes	מיפוי ישיר
column20	network.session_id	מיפוי ישיר
column12	principal.application	מיפוי ישיר
column2	principal.asset.hostname	מיפוי ישיר
column3	principal.asset.hostname	מיפוי ישיר
column7	principal.asset.hostname	מיפוי ישיר
p_hostname	principal.asset.hostname	מיפוי ישיר
column15	principal.asset.ip	ממוזג
column4	principal.asset.ip	מופה: DISCONNECTED ← column15
p_ip	principal.asset.ip	ממוזג
p_ip_from_host	principal.asset.ip	ממוזג
user_ip	principal.asset.ip	ממוזג
column31	principal.asset.product_object_id	מיפוי ישיר
software_obj	principal.asset.software	ממוזג
column2	principal.hostname	מיפוי ישיר
column3	principal.hostname	מיפוי ישיר
column7	principal.hostname	מיפוי ישיר
p_hostname	principal.hostname	מיפוי ישיר
column15	principal.ip	ממוזג
column4	principal.ip	מופה: DISCONNECTED ← column15
p_ip	principal.ip	ממוזג
p_ip_from_host	principal.ip	ממוזג
user_ip	principal.ip	ממוזג
column7	principal.platform_version	מיפוי ישיר
column41	principal.process.file.full_path	מיפוי ישיר
column40	principal.process.pid	מיפוי ישיר
column2	principal.user.email_addresses	מופה: ^.+@.+$ ← column2
email	principal.user.email_addresses	מופה: ^.+@.+$ ← email
column4	principal.user.group_identifiers	ממוזג
column3	principal.user.user_display_name	מיפוי ישיר
user_display_name	principal.user.user_display_name	מיפוי ישיר
column43	principal.user.userid	מיפוי ישיר
column7	principal.user.userid	מיפוי ישיר
column45	principal.user.windows_sid	מיפוי ישיר
sid	principal.user.windows_sid	מיפוי ישיר
security_result_entry	security_result	ממוזג
security_result_present	security_result	מופה: true ← security_result_entry
column21	target.asset.hostname	מיפוי ישיר
column5	target.asset.hostname	מיפוי ישיר
column16	target.asset.ip	ממוזג
column4	target.asset.ip	מופה: DISCONNECTED ← column16
column5	target.asset.ip	ממוזג
t_ip	target.asset.ip	ממוזג
column21	target.hostname	מיפוי ישיר
column5	target.hostname	מיפוי ישיר
column16	target.ip	ממוזג
column4	target.ip	מופה: DISCONNECTED ← column16
column5	target.ip	ממוזג
t_ip	target.ip	ממוזג
column33	target.port	מיפוי ישיר
לא רלוונטי	extensions.auth.type	קבוע: AUTHTYPE_UNSPECIFIED
לא רלוונטי	metadata.event_type	קבוע: USER_LOGIN
לא רלוונטי	metadata.product_name	קבוע: Secure Access
לא רלוונטי	metadata.vendor_name	קבוע: Cisco
לא רלוונטי	network.application_protocol	קבוע: DNS
column22	event.idm.read_only_udm.principal.user.group_identifiers	מופה מיומן השינויים
column11	event.idm.read_only_udm.network.http.response_code	מופה מיומן השינויים
column16	event.idm.read_only_udm.security_result.category_details	מופה מיומן השינויים
column44	event.idm.read_only_udm.target.hostname	מופה מיומן השינויים
column44	event.idm.read_only_udm.target.asset.hostname	מופה מיומן השינויים
column25	event.idm.read_only_udm.principal.application	מופה מיומן השינויים
column8	event.idm.read_only_udm.target.url	מופה מיומן השינויים
column45	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
column22	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
column55	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
column33	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
column2	event.idm.read_only_udm.principal.hostname וגם event.idm.read_only_udm.principal.asset.hostname	מופה מיומן השינויים
column3	event.idm.read_only_udm.principal.hostname וגם event.idm.read_only_udm.principal.asset.hostname	מופה מיומן השינויים
column7	event.idm.read_only_udm.principal.hostname וגם event.idm.read_only_udm.principal.asset.hostname	מופה מיומן השינויים
column4	event.idm.read_only_udm.principal.ip וגם event.idm.read_only_udm.principal.asset.ip	מופה מיומן השינויים
column10	event.idm.read_only_udm.principal.ip וגם event.idm.read_only_udm.principal.asset.ip	מופה מיומן השינויים
column15	event.idm.read_only_udm.principal.ip וגם event.idm.read_only_udm.principal.asset.ip	מופה מיומן השינויים
column5	event.idm.read_only_udm.target.ip וגם event.idm.read_only_udm.target.asset.ip	מופה מיומן השינויים
column16	event.idm.read_only_udm.target.ip וגם event.idm.read_only_udm.target.asset.ip	מופה מיומן השינויים
column22	event.idm.read_only_udm.target.ip וגם event.idm.read_only_udm.target.asset.ip	מופה מיומן השינויים
column7	event.idm.read_only_udm.principal.user.userid	מופה מיומן השינויים
column43	event.idm.read_only_udm.principal.user.userid	מופה מיומן השינויים
column1	event.idm.read_only_udm.metadata.event_timestamp	מופה מיומן השינויים
column6	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
column8	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
column9	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
column10	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
column11	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
column13	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
column14	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
column16	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
column17	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
column18	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
column19	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
column23	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
column24	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
column25	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
column27	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
column28	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
column29	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
column32	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
column36	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
column42	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
column44	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
column46	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
column47	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
column48	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
column49	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
column50	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
column51	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
column52	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
column53	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
column54	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
column12	event.idm.read_only_udm.network.sent_bytes	מופה מיומן השינויים
column15	event.idm.read_only_udm.network.received_bytes	מופה מיומן השינויים
column2	event.idm.read_only_udm.principal.user.email_addresses	מופה מיומן השינויים
column20	event.idm.read_only_udm.network.session_id	מופה מיומן השינויים
column5	event.idm.read_only_udm.target.hostname וגם event.idm.read_only_udm.target.asset.hostname	מופה מיומן השינויים
column21	event.idm.read_only_udm.target.hostname וגם event.idm.read_only_udm.target.asset.hostname	מופה מיומן השינויים
column33	event.idm.read_only_udm.target.port	מופה מיומן השינויים
column34	event.idm.read_only_udm.network.ip_protocol	מופה מיומן השינויים
column26	event.idm.read_only_udm.metadata.product_log_id	מופה מיומן השינויים
column3	event.idm.read_only_udm.principal.user.user_display_name	מופה מיומן השינויים
column30	event.idm.read_only_udm.principal.asset.software	מופה מיומן השינויים
column31	event.idm.read_only_udm.principal.asset.product_object_id	מופה מיומן השינויים
column35	event.idm.read_only_udm.network.application_protocol	מופה מיומן השינויים
column4	event.idm.read_only_udm.principal.user.group_identifiers	מופה מיומן השינויים
column40	event.idm.read_only_udm.principal.process.pid	מופה מיומן השינויים
column41	event.idm.read_only_udm.principal.process.file.full_path	מופה מיומן השינויים
column57	event.idm.read_only_udm.intermediary	מופה מיומן השינויים
column7	event.idm.read_only_udm.principal.platform_version	מופה מיומן השינויים
column56	event.idm.read_only_udm.security_result.rule_name	מופה מיומן השינויים
column6	event.idm.read_only_udm.security_result.action	מופה מיומן השינויים
column45	event.idm.read_only_udm.principal.user.windows_sid	מופה מיומן השינויים
column12	event.idm.read_only_udm.principal.application	מופה מיומן השינויים

יומן שינויים

הצגת יומן השינויים של המנתח הזה

הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.