איסוף יומנים של Cisco Secure Access

גרסת כלי הניתוח: 4.0

נתמך ב:

Google SecOps SIEM

במאמר הזה מוסבר איך להטמיע יומנים של Cisco Secure Access ב-Google Security Operations באמצעות Amazon S3.

‫Cisco Secure Access הוא פתרון Security Service Edge ‏ (SSE) בענן שמספק גישה לרשת במודל אבטחה של אפס אמון, שער אינטרנט מאובטח, חומת אש בענן, אבטחה ברמת DNS ומניעת אובדן נתונים. הוא מאחד כמה פונקציות אבטחה כדי להגן על משתמשים ומכשירים שניגשים לאפליקציות מכל מקום.

לפני שמתחילים

חשוב לוודא שמתקיימות הדרישות המוקדמות הבאות:

• מופע של Google SecOps
• גישה עם הרשאות ל-Cisco Secure Access עם תפקיד המשתמש Full Admin
• גישת אדמין ל-AWS‏ (S3, ‏ IAM)

הגדרת קטגוריה ב-Amazon S3 ל-Cisco Secure Access

1. נכנסים ל-AWS Management Console.
2. עוברים אל Amazon S3 > Buckets (מאגרי מידע).
3. לוחצים על Create bucket.

4. מזינים שם קטגוריה ייחודי (לדוגמה, cisco-secure-access-logs).

   הערה: Cisco Secure Access לא תומך בנקודות בשמות של קטגוריות S3. אסור להשתמש בנקודות בשם של הקטגוריה.

5. בוחרים את אזור AWS שבו רוצים ליצור את הקטגוריה.

6. משאירים את שאר ההגדרות כברירת מחדל ולוחצים על Create bucket (יצירת קטגוריה).

7. בוחרים את הקטגוריה החדשה שנוצרה.

8. עוברים אל Permissions > Bucket policy (הרשאות > מדיניות לגבי דלי).

9. לוחצים על עריכה ומדביקים את מדיניות ה-JSON הבאה, ומחליפים את bucketname בשם הקטגוריה בפועל:

   {
       "Version": "2008-10-17",
       "Statement": [
           {
               "Sid": "",
               "Effect": "Allow",
               "Principal": {
                   "AWS": "arn:aws:iam::568526795995:user/logs"
               },
               "Action": "s3:PutObject",
               "Resource": "arn:aws:s3:::bucketname/*"
           },
           {
               "Sid": "",
               "Effect": "Deny",
               "Principal": {
                   "AWS": "arn:aws:iam::568526795995:user/logs"
               },
               "Action": "s3:GetObject",
               "Resource": "arn:aws:s3:::bucketname/*"
           },
           {
               "Sid": "",
               "Effect": "Allow",
               "Principal": {
                   "AWS": "arn:aws:iam::568526795995:user/logs"
               },
               "Action": "s3:GetBucketLocation",
               "Resource": "arn:aws:s3:::bucketname"
           },
           {
               "Sid": "",
               "Effect": "Allow",
               "Principal": {
                   "AWS": "arn:aws:iam::568526795995:user/logs"
               },
               "Action": "s3:ListBucket",
               "Resource": "arn:aws:s3:::bucketname"
           }
       ]
   }
   

10. לוחצים על שמירת השינויים.

הגדרה של משתמש IAM ב-AWS S3 ל-Google SecOps

1. ב-AWS Management Console, עוברים אל IAM > Users.
2. יוצרים משתמש לפי מדריך המשתמש הזה: יצירת משתמש IAM.
3. בוחרים את המשתמש שנוצר.
4. לוחצים על הכרטיסייה פרטי כניסה לאבטחה.
5. בקטע מפתחות גישה, לוחצים על יצירת מפתח גישה.
6. בוחרים באפשרות שירות של צד שלישי בתור תרחיש שימוש.
7. לוחצים על הבא.
   • אופציונלי: מוסיפים תג תיאור.
8. לוחצים על Create access key (יצירת מפתח גישה).
9. לוחצים על הורדת קובץ CSV כדי לשמור את מפתח הגישה ואת מפתח הגישה הסודי לעיון עתידי.
10. לוחצים על סיום.
11. לוחצים על הכרטיסייה הרשאות.
12. בקטע Permissions policies, לוחצים על Add permissions.
13. לוחצים על הוספת הרשאות.
14. בוחרים באפשרות צירוף מדיניות ישירות.
15. מחפשים את המדיניות AmazonS3FullAccess.
16. בוחרים את המדיניות.
17. לוחצים על הבא.
18. לוחצים על הוספת הרשאות.

הגדרת Cisco Secure Access לייצוא יומנים לקטגוריית S3

1. נכנסים אל Cisco Secure Access Dashboard בכתובת https://dashboard.sse.cisco.com.
2. עוברים אל ניהול > ניהול יומנים.
3. באזור Amazon S3, בוחרים באפשרות Use your company-managed Amazon S3 bucket (שימוש בקטגוריית Amazon S3 בניהול החברה).
4. בשדה Amazon S3 Bucket (קטגוריית Amazon S3), מזינים את השם המדויק של קטגוריית S3 שיצרתם (לדוגמה, cisco-secure-access-logs).

5. לוחצים על Verify.

   הערה: Cisco Secure Access מאמת את ה-bucket, מתחבר אליו ושומר בו קובץ README_FROM_UMBRELLA.txt.

6. פותחים את קובץ README_FROM_UMBRELLA.txt ש-Cisco Secure Access שמר בקטגוריית S3.

7. מעתיקים את האסימון שמופיע בקובץ.

8. מדביקים את הטוקן בשדה Token Number (מספר הטוקן) בלוח הבקרה של Cisco Secure Access.

9. לוחצים על Save.

   הערה: יומני הגישה של Cisco Secure הם בפורמט CSV, דחוסים ב-gzip ומועלים כל 10 דקות. במהלך השעתיים הראשונות אחרי ההגדרה, אמורה להתבצע ההעלאה הראשונה של היומן. היומנים מאוחסנים בקטגוריית S3 בפורמט הנתיב: <bucket-name>-<region>/<prefix>.

הגדרת פיד ב-Google SecOps להטמעה של יומנים מ-Cisco Secure Access

1. עוברים אל SIEM Settings > Feeds (הגדרות SIEM > פידים).
2. לוחצים על הוספת פיד חדש.
3. בדף הבא, לוחצים על הגדרת פיד יחיד.
4. מזינים שם ייחודי בשדה שם הפיד (לדוגמה, Cisco Secure Access Logs).
5. בוחרים באפשרות Amazon S3 V2 בתור סוג המקור.
6. בוחרים באפשרות Cisco Secure Access בתור סוג היומן.
7. לוחצים על הבא ואז על שליחה.

8. מציינים ערכים בשדות הבאים:

   • S3 URI: s3://<BUCKET_NAME>/ מחליפים את <BUCKET_NAME> בשם של קטגוריית ה-S3 (לדוגמה, cisco-secure-access-logs).
   • אפשרות למחיקת מקור: בוחרים את אפשרות המחיקה לפי ההעדפה שלכם
   • הגיל המקסימלי של הקובץ: כולל קבצים ששונו במספר הימים האחרון (ברירת המחדל היא 180 ימים)
   • מזהה מפתח הגישה: מפתח הגישה של המשתמש עם גישה לקטגוריית S3
   • מפתח גישה סודי: מפתח סודי של משתמש עם גישה לקטגוריית S3
   • מרחב השמות של הנכס: מרחב השמות של הנכס
   • תוויות להוספה: התווית שתתווסף לאירועים מהפיד הזה
   הערה: אם בוחרים באפשרות Delete transferred files או Delete transferred files and empty directories, חשוב לוודא שהענקתם לחשבון השירות את ההרשאות המתאימות.

9. לוחצים על הבא ואז על שליחה.

טבלת מיפוי UDM

שדה ביומן	מיפוי UDM	היגיון
_field	additional.fields	ממוזג
column10_label	additional.fields	ממוזג
column11_label	additional.fields	ממוזג
column15	additional.fields	מיפוי: [null] → column15_label
column15_label	additional.fields	ממוזג
column16_label	additional.fields	ממוזג
column22_label	additional.fields	ממוזג
column23_label	additional.fields	ממוזג
column24_label	additional.fields	ממוזג
column27_label	additional.fields	ממוזג
column28_label	additional.fields	ממוזג
column29_label	additional.fields	ממוזג
column30	additional.fields	מיפוי: ^[0-9]+$ → column30_label
column30_label	additional.fields	ממוזג
column33_label	additional.fields	ממוזג
column42_label	additional.fields	ממוזג
column43	additional.fields	מיפוי: "true", "false" → column43_label
column43_label	additional.fields	ממוזג
column44_label	additional.fields	ממוזג
column45	additional.fields	מיפוי: , → column45_label
column45_label	additional.fields	ממוזג
column51_label	additional.fields	ממוזג
column52_label	additional.fields	ממוזג
column53_label	additional.fields	ממוזג
column55_label	additional.fields	ממוזג
column6_label	additional.fields	ממוזג
column9_label	additional.fields	ממוזג
key	additional.fields	‫Mapped: `"col13_label", "col14_label", "col17_label", "col18_label", "col19_label", "col25_l...
auth_event	extensions.auth.type	מיפוי: true → AUTHTYPE_UNSPECIFIED
intermediary_entity	intermediary	ממוזג
column1	metadata.event_timestamp	ניתוח הכתובות שברשימה: ISO8601
auth_event	metadata.event_type	מיפוי: true → USER_LOGIN
has_principal	metadata.event_type	מיפוי: true ← NETWORK_CONNECTION, ‏ true ← STATUS_UPDATE
has_user	metadata.event_type	מיפוי: true → USER_UNCATEGORIZED
column26	metadata.product_log_id	מיפוי ישיר
column26	network.http.method	מיפוי ישיר
column10	network.http.user_agent	מיפוי ישיר
column34	network.ip_protocol	מיפוי ישיר
column15	network.received_bytes	מיפוי: ^-?[0-9]+$ → uinteger
p_bytes	network.received_bytes	מיפוי ישיר
p_bytes	network.sent_bytes	מיפוי ישיר
column20	network.session_id	מיפוי ישיר
column12	principal.application	מיפוי ישיר
column2	principal.asset.hostname	מיפוי ישיר
column3	principal.asset.hostname	מיפוי ישיר
column7	principal.asset.hostname	מיפוי ישיר
p_hostname	principal.asset.hostname	מיפוי ישיר
column15	principal.asset.ip	ממוזג
column4	principal.asset.ip	מיפוי: DISCONNECTED → column15
p_ip	principal.asset.ip	ממוזג
p_ip_from_host	principal.asset.ip	ממוזג
user_ip	principal.asset.ip	ממוזג
column31	principal.asset.product_object_id	מיפוי ישיר
software_obj	principal.asset.software	ממוזג
column2	principal.hostname	מיפוי ישיר
column3	principal.hostname	מיפוי ישיר
column7	principal.hostname	מיפוי ישיר
p_hostname	principal.hostname	מיפוי ישיר
column15	principal.ip	ממוזג
column4	principal.ip	מיפוי: DISCONNECTED → column15
p_ip	principal.ip	ממוזג
p_ip_from_host	principal.ip	ממוזג
user_ip	principal.ip	ממוזג
column7	principal.platform_version	מיפוי ישיר
column41	principal.process.file.full_path	מיפוי ישיר
column40	principal.process.pid	מיפוי ישיר
column2	principal.user.email_addresses	מיפוי: ^.+@.+$ → column2
email	principal.user.email_addresses	מיפוי: ^.+@.+$ → email
column4	principal.user.group_identifiers	ממוזג
column3	principal.user.user_display_name	מיפוי ישיר
user_display_name	principal.user.user_display_name	מיפוי ישיר
column43	principal.user.userid	מיפוי ישיר
column7	principal.user.userid	מיפוי ישיר
column45	principal.user.windows_sid	מיפוי ישיר
sid	principal.user.windows_sid	מיפוי ישיר
security_result_entry	security_result	ממוזג
security_result_present	security_result	מיפוי: true → security_result_entry
column21	target.asset.hostname	מיפוי ישיר
column5	target.asset.hostname	מיפוי ישיר
column16	target.asset.ip	ממוזג
column4	target.asset.ip	מיפוי: DISCONNECTED → column16
column5	target.asset.ip	ממוזג
t_ip	target.asset.ip	ממוזג
column21	target.hostname	מיפוי ישיר
column5	target.hostname	מיפוי ישיר
column16	target.ip	ממוזג
column4	target.ip	מיפוי: DISCONNECTED → column16
column5	target.ip	ממוזג
t_ip	target.ip	ממוזג
column33	target.port	מיפוי ישיר
לא רלוונטי	extensions.auth.type	קבוע: AUTHTYPE_UNSPECIFIED
לא רלוונטי	metadata.event_type	קבוע: USER_LOGIN
לא רלוונטי	metadata.product_name	קבוע: Secure Access
לא רלוונטי	metadata.vendor_name	קבוע: Cisco
לא רלוונטי	network.application_protocol	קבוע: DNS
column22	event.idm.read_only_udm.principal.user.group_identifiers	מופה מיומן השינויים
column11	event.idm.read_only_udm.network.http.response_code	מופה מיומן השינויים
column16	event.idm.read_only_udm.security_result.category_details	מופה מיומן השינויים
column44	event.idm.read_only_udm.target.hostname	מופה מיומן השינויים
column44	event.idm.read_only_udm.target.asset.hostname	מופה מיומן השינויים
column25	event.idm.read_only_udm.principal.application	מופה מיומן השינויים
column8	event.idm.read_only_udm.target.url	מופה מיומן השינויים
column45	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
column22	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
column55	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
column33	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
column2	event.idm.read_only_udm.principal.hostname וגם event.idm.read_only_udm.principal.asset.hostname	מופה מיומן השינויים
column3	event.idm.read_only_udm.principal.hostname וגם event.idm.read_only_udm.principal.asset.hostname	מופה מיומן השינויים
column7	event.idm.read_only_udm.principal.hostname וגם event.idm.read_only_udm.principal.asset.hostname	מופה מיומן השינויים
column4	event.idm.read_only_udm.principal.ip וגם event.idm.read_only_udm.principal.asset.ip	מופה מיומן השינויים
column10	event.idm.read_only_udm.principal.ip וגם event.idm.read_only_udm.principal.asset.ip	מופה מיומן השינויים
column15	event.idm.read_only_udm.principal.ip וגם event.idm.read_only_udm.principal.asset.ip	מופה מיומן השינויים
column5	event.idm.read_only_udm.target.ip וגם event.idm.read_only_udm.target.asset.ip	מופה מיומן השינויים
column16	event.idm.read_only_udm.target.ip וגם event.idm.read_only_udm.target.asset.ip	מופה מיומן השינויים
column22	event.idm.read_only_udm.target.ip וגם event.idm.read_only_udm.target.asset.ip	מופה מיומן השינויים
column7	event.idm.read_only_udm.principal.user.userid	מופה מיומן השינויים
column43	event.idm.read_only_udm.principal.user.userid	מופה מיומן השינויים
column1	event.idm.read_only_udm.metadata.event_timestamp	מופה מיומן השינויים
column6	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
column8	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
column9	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
column10	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
column11	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
column13	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
column14	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
column16	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
column17	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
column18	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
column19	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
column23	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
column24	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
column25	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
column27	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
column28	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
column29	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
column32	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
column36	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
column42	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
column44	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
column46	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
column47	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
column48	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
column49	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
column50	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
column51	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
column52	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
column53	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
column54	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
column12	event.idm.read_only_udm.network.sent_bytes	מופה מיומן השינויים
column15	event.idm.read_only_udm.network.received_bytes	מופה מיומן השינויים
column2	event.idm.read_only_udm.principal.user.email_addresses	מופה מיומן השינויים
column20	event.idm.read_only_udm.network.session_id	מופה מיומן השינויים
column5	event.idm.read_only_udm.target.hostname וגם event.idm.read_only_udm.target.asset.hostname	מופה מיומן השינויים
column21	event.idm.read_only_udm.target.hostname וגם event.idm.read_only_udm.target.asset.hostname	מופה מיומן השינויים
column33	event.idm.read_only_udm.target.port	מופה מיומן השינויים
column34	event.idm.read_only_udm.network.ip_protocol	מופה מיומן השינויים
column26	event.idm.read_only_udm.metadata.product_log_id	מופה מיומן השינויים
column3	event.idm.read_only_udm.principal.user.user_display_name	מופה מיומן השינויים
column30	event.idm.read_only_udm.principal.asset.software	מופה מיומן השינויים
column31	event.idm.read_only_udm.principal.asset.product_object_id	מופה מיומן השינויים
column35	event.idm.read_only_udm.network.application_protocol	מופה מיומן השינויים
column4	event.idm.read_only_udm.principal.user.group_identifiers	מופה מיומן השינויים
column40	event.idm.read_only_udm.principal.process.pid	מופה מיומן השינויים
column41	event.idm.read_only_udm.principal.process.file.full_path	מופה מיומן השינויים
column57	event.idm.read_only_udm.intermediary	מופה מיומן השינויים
column7	event.idm.read_only_udm.principal.platform_version	מופה מיומן השינויים
column56	event.idm.read_only_udm.security_result.rule_name	מופה מיומן השינויים
column6	event.idm.read_only_udm.security_result.action	מופה מיומן השינויים
column45	event.idm.read_only_udm.principal.user.windows_sid	מופה מיומן השינויים
column12	event.idm.read_only_udm.principal.application	מופה מיומן השינויים

יומן שינויים

צפייה ביומן השינויים של מנתח התוכן הזה

הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.