Google menggunakan teknologi AI untuk menerjemahkan konten ke dalam bahasa pilihan Anda. Terjemahan AI mungkin mengandung kesalahan.

Mengumpulkan log Cisco Secure Access

Versi Parser: 4.0

Didukung di:

Google SecOps SIEM

Dokumen ini menjelaskan cara menyerap log Cisco Secure Access ke Google Security Operations menggunakan Amazon S3.

Cisco Secure Access adalah solusi Security Service Edge (SSE) berbasis cloud yang menyediakan akses jaringan zero-trust, gateway web yang aman, firewall berbasis cloud, keamanan lapisan DNS, dan pencegahan kebocoran data. SSE menyatukan beberapa fungsi keamanan untuk melindungi pengguna dan perangkat yang mengakses aplikasi dari lokasi mana pun.

Sebelum memulai

Pastikan Anda memiliki prasyarat berikut:

Instance Google SecOps
Akses istimewa ke Cisco Secure Access dengan peran pengguna Full Admin
Akses istimewa ke AWS (S3, IAM)

Mengonfigurasi bucket Amazon S3 untuk Cisco Secure Access

Login ke AWS Management Console.
Buka Amazon S3 > Buckets.
Klik Create bucket.
Masukkan Nama bucket yang unik (misalnya, cisco-secure-access-logs).

Catatan: Titik dalam nama bucket S3 tidak didukung oleh Cisco Secure Access. Jangan gunakan titik dalam nama bucket.
Pilih AWS Region tempat bucket akan dibuat.
Biarkan setelan lainnya tetap default, lalu klik Create bucket.
Pilih bucket yang baru dibuat.
Buka Permissions > Bucket policy.

Klik Edit dan tempelkan kebijakan JSON berikut, dengan mengganti bucketname dengan nama bucket Anda yang sebenarnya:

{
    "Version": "2008-10-17",
    "Statement": [
        {
            "Sid": "",
            "Effect": "Allow",
            "Principal": {
                "AWS": "arn:aws:iam::568526795995:user/logs"
            },
            "Action": "s3:PutObject",
            "Resource": "arn:aws:s3:::bucketname/*"
        },
        {
            "Sid": "",
            "Effect": "Deny",
            "Principal": {
                "AWS": "arn:aws:iam::568526795995:user/logs"
            },
            "Action": "s3:GetObject",
            "Resource": "arn:aws:s3:::bucketname/*"
        },
        {
            "Sid": "",
            "Effect": "Allow",
            "Principal": {
                "AWS": "arn:aws:iam::568526795995:user/logs"
            },
            "Action": "s3:GetBucketLocation",
            "Resource": "arn:aws:s3:::bucketname"
        },
        {
            "Sid": "",
            "Effect": "Allow",
            "Principal": {
                "AWS": "arn:aws:iam::568526795995:user/logs"
            },
            "Action": "s3:ListBucket",
            "Resource": "arn:aws:s3:::bucketname"
        }
    ]
}

Klik Simpan perubahan.

Mengonfigurasi pengguna IAM AWS S3 untuk Google SecOps

Di AWS Management Console, buka IAM > Users.
Buat Pengguna dengan mengikuti panduan pengguna ini: Membuat pengguna IAM.
Pilih User yang dibuat.
Pilih tab kredensial keamanan.
Klik Create Access Key di bagian Access Keys.
Pilih Layanan pihak ketiga sebagai Kasus penggunaan.
Klik Berikutnya.
- Opsional: Tambahkan tag deskripsi.
Klik Create access key.
Klik Download .csv file untuk menyimpan Access Key dan Secret Access Key untuk referensi di masa mendatang.
Klik Done.
Pilih tab Permissions.
Klik Add permissions di bagian Kebijakan Izin.
Pilih Add permissions.
Pilih Attach policies directly.
Telusuri kebijakan AmazonS3FullAccess.
Pilih kebijakan.
Klik Berikutnya.
Klik Add permissions.

Mengonfigurasi Cisco Secure Access untuk mengekspor log ke bucket S3 Anda

Login ke Cisco Secure Access Dashboard di https://dashboard.sse.cisco.com.
Buka Admin > Log Management.
Di area Amazon S3, pilih Use your company-managed Amazon S3 bucket.
Di kolom Amazon S3 Bucket, masukkan nama persis bucket S3 yang Anda buat (misalnya, cisco-secure-access-logs).
Klik Verifikasi.

Catatan: Cisco Secure Access memverifikasi bucket, terhubung ke bucket, dan menyimpan file README_FROM_UMBRELLA.txt ke bucket.
Buka file README_FROM_UMBRELLA.txt yang disimpan Cisco Secure Access ke bucket S3 Anda.
Salin token yang tercantum dalam file.
Tempelkan token ke kolom Token Number di dasbor Cisco Secure Access.
Klik Simpan.

Catatan: Log Cisco Secure Access berformat CSV, dikompresi gzip, dan diupload setiap 10 menit. Dalam dua jam pertama setelah konfigurasi, Anda akan menerima upload log pertama. Log disimpan di bucket S3 menggunakan format jalur: <bucket-name>-<region>/<prefix>.

Mengonfigurasi feed di Google SecOps untuk menyerap log Cisco Secure Access

Buka Setelan > Pengelolaan Data > Feed. Jika Anda menggunakan platform khusus SIEM, buka Settings > Feeds.
Klik Tambahkan Feed Berita Baru.
Di halaman berikutnya, klik Konfigurasi satu feed.
Masukkan nama unik untuk Nama feed (misalnya, Cisco Secure Access Logs).
Pilih Amazon S3 V2 sebagai Jenis sumber.
Pilih Cisco Secure Access sebagai Jenis log.
Klik Berikutnya, lalu klik Kirim.
Tentukan nilai untuk kolom berikut:
- S3 URI: s3://<BUCKET_NAME>/ Ganti <BUCKET_NAME> dengan nama bucket S3 Anda (misalnya, cisco-secure-access-logs).
- Opsi penghapusan sumber: Pilih opsi penghapusan sesuai preferensi Anda
- Usia File Maksimum: Sertakan file yang diubah dalam jumlah hari terakhir (defaultnya adalah 180 hari)
- Access Key ID: Kunci akses pengguna dengan akses ke bucket S3
- Secret Access Key: Kunci rahasia pengguna dengan akses ke bucket S3
- Namespace aset: Namespace aset
- Label penyerapan: Label yang akan diterapkan ke peristiwa dari feed ini
Catatan: Jika Anda memilih opsi Delete transferred files atau Delete transferred files and empty directories, pastikan Anda telah memberikan izin yang sesuai ke akun layanan.
Klik Berikutnya, lalu klik Kirim.

Tabel pemetaan UDM

Kolom Log	Pemetaan UDM	Logika
`_field`	`additional.fields`	Digabung
`column10_label`	`additional.fields`	Digabung
`column11_label`	`additional.fields`	Digabung
`column15`	`additional.fields`	Dipetakan: `[null]` → `column15_label`
`column15_label`	`additional.fields`	Digabung
`column16_label`	`additional.fields`	Digabung
`column22_label`	`additional.fields`	Digabung
`column23_label`	`additional.fields`	Digabung
`column24_label`	`additional.fields`	Digabung
`column27_label`	`additional.fields`	Digabung
`column28_label`	`additional.fields`	Digabung
`column29_label`	`additional.fields`	Digabung
`column30`	`additional.fields`	Dipetakan: `^[0-9]+$` → `column30_label`
`column30_label`	`additional.fields`	Digabung
`column33_label`	`additional.fields`	Digabung
`column42_label`	`additional.fields`	Digabung
`column43`	`additional.fields`	Dipetakan: `"true", "false"` → `column43_label`
`column43_label`	`additional.fields`	Digabung
`column44_label`	`additional.fields`	Digabung
`column45`	`additional.fields`	Dipetakan: `,` → `column45_label`
`column45_label`	`additional.fields`	Digabung
`column51_label`	`additional.fields`	Digabung
`column52_label`	`additional.fields`	Digabung
`column53_label`	`additional.fields`	Digabung
`column55_label`	`additional.fields`	Digabung
`column6_label`	`additional.fields`	Digabung
`column9_label`	`additional.fields`	Digabung
`key`	`additional.fields`	Mapped: `"col13_label", "col14_label", "col17_label", "col18_label", "col19_label", "col25_l...
`auth_event`	`extensions.auth.type`	Dipetakan: `true` → `AUTHTYPE_UNSPECIFIED`
`intermediary_entity`	`intermediary`	Digabung
`column1`	`metadata.event_timestamp`	Diurai sebagai `ISO8601`
`auth_event`	`metadata.event_type`	Dipetakan: `true` → `USER_LOGIN`
`has_principal`	`metadata.event_type`	Dipetakan: `true` → `NETWORK_CONNECTION`, `true` → `STATUS_UPDATE`
`has_user`	`metadata.event_type`	Dipetakan: `true` → `USER_UNCATEGORIZED`
`column26`	`metadata.product_log_id`	Dipetakan secara langsung
`column26`	`network.http.method`	Dipetakan secara langsung
`column10`	`network.http.user_agent`	Dipetakan secara langsung
`column34`	`network.ip_protocol`	Dipetakan secara langsung
`column15`	`network.received_bytes`	Dipetakan: `^-?[0-9]+$` → `uinteger`
`p_bytes`	`network.received_bytes`	Dipetakan secara langsung
`p_bytes`	`network.sent_bytes`	Dipetakan secara langsung
`column20`	`network.session_id`	Dipetakan secara langsung
`column12`	`principal.application`	Dipetakan secara langsung
`column2`	`principal.asset.hostname`	Dipetakan secara langsung
`column3`	`principal.asset.hostname`	Dipetakan secara langsung
`column7`	`principal.asset.hostname`	Dipetakan secara langsung
`p_hostname`	`principal.asset.hostname`	Dipetakan secara langsung
`column15`	`principal.asset.ip`	Digabung
`column4`	`principal.asset.ip`	Dipetakan: `DISCONNECTED` → `column15`
`p_ip`	`principal.asset.ip`	Digabung
`p_ip_from_host`	`principal.asset.ip`	Digabung
`user_ip`	`principal.asset.ip`	Digabung
`column31`	`principal.asset.product_object_id`	Dipetakan secara langsung
`software_obj`	`principal.asset.software`	Digabung
`column2`	`principal.hostname`	Dipetakan secara langsung
`column3`	`principal.hostname`	Dipetakan secara langsung
`column7`	`principal.hostname`	Dipetakan secara langsung
`p_hostname`	`principal.hostname`	Dipetakan secara langsung
`column15`	`principal.ip`	Digabung
`column4`	`principal.ip`	Dipetakan: `DISCONNECTED` → `column15`
`p_ip`	`principal.ip`	Digabung
`p_ip_from_host`	`principal.ip`	Digabung
`user_ip`	`principal.ip`	Digabung
`column7`	`principal.platform_version`	Dipetakan secara langsung
`column41`	`principal.process.file.full_path`	Dipetakan secara langsung
`column40`	`principal.process.pid`	Dipetakan secara langsung
`column2`	`principal.user.email_addresses`	Dipetakan: `^.+@.+$` → `column2`
`email`	`principal.user.email_addresses`	Dipetakan: `^.+@.+$` → `email`
`column4`	`principal.user.group_identifiers`	Digabung
`column3`	`principal.user.user_display_name`	Dipetakan secara langsung
`user_display_name`	`principal.user.user_display_name`	Dipetakan secara langsung
`column43`	`principal.user.userid`	Dipetakan secara langsung
`column7`	`principal.user.userid`	Dipetakan secara langsung
`column45`	`principal.user.windows_sid`	Dipetakan secara langsung
`sid`	`principal.user.windows_sid`	Dipetakan secara langsung
`security_result_entry`	`security_result`	Digabung
`security_result_present`	`security_result`	Dipetakan: `true` → `security_result_entry`
`column21`	`target.asset.hostname`	Dipetakan secara langsung
`column5`	`target.asset.hostname`	Dipetakan secara langsung
`column16`	`target.asset.ip`	Digabung
`column4`	`target.asset.ip`	Dipetakan: `DISCONNECTED` → `column16`
`column5`	`target.asset.ip`	Digabung
`t_ip`	`target.asset.ip`	Digabung
`column21`	`target.hostname`	Dipetakan secara langsung
`column5`	`target.hostname`	Dipetakan secara langsung
`column16`	`target.ip`	Digabung
`column4`	`target.ip`	Dipetakan: `DISCONNECTED` → `column16`
`column5`	`target.ip`	Digabung
`t_ip`	`target.ip`	Digabung
`column33`	`target.port`	Dipetakan secara langsung
T/A	`extensions.auth.type`	Konstanta: `AUTHTYPE_UNSPECIFIED`
T/A	`metadata.event_type`	Konstanta: `USER_LOGIN`
T/A	`metadata.product_name`	Konstanta: `Secure Access`
T/A	`metadata.vendor_name`	Konstanta: `Cisco`
T/A	`network.application_protocol`	Konstanta: `DNS`
`column22`	`event.idm.read_only_udm.principal.user.group_identifiers`	Dipetakan dari log perubahan
`column11`	`event.idm.read_only_udm.network.http.response_code`	Dipetakan dari log perubahan
`column16`	`event.idm.read_only_udm.security_result.category_details`	Dipetakan dari log perubahan
`column44`	`event.idm.read_only_udm.target.hostname`	Dipetakan dari log perubahan
`column44`	`event.idm.read_only_udm.target.asset.hostname`	Dipetakan dari log perubahan
`column25`	`event.idm.read_only_udm.principal.application`	Dipetakan dari log perubahan
`column8`	`event.idm.read_only_udm.target.url`	Dipetakan dari log perubahan
`column45`	`event.idm.read_only_udm.additional.fields`	Dipetakan dari log perubahan
`column22`	`event.idm.read_only_udm.additional.fields`	Dipetakan dari log perubahan
`column55`	`event.idm.read_only_udm.additional.fields`	Dipetakan dari log perubahan
`column33`	`event.idm.read_only_udm.additional.fields`	Dipetakan dari log perubahan
`column2`	`event.idm.read_only_udm.principal.hostname` dan `event.idm.read_only_udm.principal.asset.hostname`	Dipetakan dari log perubahan
`column3`	`event.idm.read_only_udm.principal.hostname` dan `event.idm.read_only_udm.principal.asset.hostname`	Dipetakan dari log perubahan
`column7`	`event.idm.read_only_udm.principal.hostname` dan `event.idm.read_only_udm.principal.asset.hostname`	Dipetakan dari log perubahan
`column4`	`event.idm.read_only_udm.principal.ip` dan `event.idm.read_only_udm.principal.asset.ip`	Dipetakan dari log perubahan
`column10`	`event.idm.read_only_udm.principal.ip` dan `event.idm.read_only_udm.principal.asset.ip`	Dipetakan dari log perubahan
`column15`	`event.idm.read_only_udm.principal.ip` dan `event.idm.read_only_udm.principal.asset.ip`	Dipetakan dari log perubahan
`column5`	`event.idm.read_only_udm.target.ip` dan `event.idm.read_only_udm.target.asset.ip`	Dipetakan dari log perubahan
`column16`	`event.idm.read_only_udm.target.ip` dan `event.idm.read_only_udm.target.asset.ip`	Dipetakan dari log perubahan
`column22`	`event.idm.read_only_udm.target.ip` dan `event.idm.read_only_udm.target.asset.ip`	Dipetakan dari log perubahan
`column7`	`event.idm.read_only_udm.principal.user.userid`	Dipetakan dari log perubahan
`column43`	`event.idm.read_only_udm.principal.user.userid`	Dipetakan dari log perubahan
`column1`	`event.idm.read_only_udm.metadata.event_timestamp`	Dipetakan dari log perubahan
`column6`	`event.idm.read_only_udm.additional.fields`	Dipetakan dari log perubahan
`column8`	`event.idm.read_only_udm.additional.fields`	Dipetakan dari log perubahan
`column9`	`event.idm.read_only_udm.additional.fields`	Dipetakan dari log perubahan
`column10`	`event.idm.read_only_udm.additional.fields`	Dipetakan dari log perubahan
`column11`	`event.idm.read_only_udm.additional.fields`	Dipetakan dari log perubahan
`column13`	`event.idm.read_only_udm.additional.fields`	Dipetakan dari log perubahan
`column14`	`event.idm.read_only_udm.additional.fields`	Dipetakan dari log perubahan
`column16`	`event.idm.read_only_udm.additional.fields`	Dipetakan dari log perubahan
`column17`	`event.idm.read_only_udm.additional.fields`	Dipetakan dari log perubahan
`column18`	`event.idm.read_only_udm.additional.fields`	Dipetakan dari log perubahan
`column19`	`event.idm.read_only_udm.additional.fields`	Dipetakan dari log perubahan
`column23`	`event.idm.read_only_udm.additional.fields`	Dipetakan dari log perubahan
`column24`	`event.idm.read_only_udm.additional.fields`	Dipetakan dari log perubahan
`column25`	`event.idm.read_only_udm.additional.fields`	Dipetakan dari log perubahan
`column27`	`event.idm.read_only_udm.additional.fields`	Dipetakan dari log perubahan
`column28`	`event.idm.read_only_udm.additional.fields`	Dipetakan dari log perubahan
`column29`	`event.idm.read_only_udm.additional.fields`	Dipetakan dari log perubahan
`column32`	`event.idm.read_only_udm.additional.fields`	Dipetakan dari log perubahan
`column36`	`event.idm.read_only_udm.additional.fields`	Dipetakan dari log perubahan
`column42`	`event.idm.read_only_udm.additional.fields`	Dipetakan dari log perubahan
`column44`	`event.idm.read_only_udm.additional.fields`	Dipetakan dari log perubahan
`column46`	`event.idm.read_only_udm.additional.fields`	Dipetakan dari log perubahan
`column47`	`event.idm.read_only_udm.additional.fields`	Dipetakan dari log perubahan
`column48`	`event.idm.read_only_udm.additional.fields`	Dipetakan dari log perubahan
`column49`	`event.idm.read_only_udm.additional.fields`	Dipetakan dari log perubahan
`column50`	`event.idm.read_only_udm.additional.fields`	Dipetakan dari log perubahan
`column51`	`event.idm.read_only_udm.additional.fields`	Dipetakan dari log perubahan
`column52`	`event.idm.read_only_udm.additional.fields`	Dipetakan dari log perubahan
`column53`	`event.idm.read_only_udm.additional.fields`	Dipetakan dari log perubahan
`column54`	`event.idm.read_only_udm.additional.fields`	Dipetakan dari log perubahan
`column12`	`event.idm.read_only_udm.network.sent_bytes`	Dipetakan dari log perubahan
`column15`	`event.idm.read_only_udm.network.received_bytes`	Dipetakan dari log perubahan
`column2`	`event.idm.read_only_udm.principal.user.email_addresses`	Dipetakan dari log perubahan
`column20`	`event.idm.read_only_udm.network.session_id`	Dipetakan dari log perubahan
`column5`	`event.idm.read_only_udm.target.hostname` dan `event.idm.read_only_udm.target.asset.hostname`	Dipetakan dari log perubahan
`column21`	`event.idm.read_only_udm.target.hostname` dan `event.idm.read_only_udm.target.asset.hostname`	Dipetakan dari log perubahan
`column33`	`event.idm.read_only_udm.target.port`	Dipetakan dari log perubahan
`column34`	`event.idm.read_only_udm.network.ip_protocol`	Dipetakan dari log perubahan
`column26`	`event.idm.read_only_udm.metadata.product_log_id`	Dipetakan dari log perubahan
`column3`	`event.idm.read_only_udm.principal.user.user_display_name`	Dipetakan dari log perubahan
`column30`	`event.idm.read_only_udm.principal.asset.software`	Dipetakan dari log perubahan
`column31`	`event.idm.read_only_udm.principal.asset.product_object_id`	Dipetakan dari log perubahan
`column35`	`event.idm.read_only_udm.network.application_protocol`	Dipetakan dari log perubahan
`column4`	`event.idm.read_only_udm.principal.user.group_identifiers`	Dipetakan dari log perubahan
`column40`	`event.idm.read_only_udm.principal.process.pid`	Dipetakan dari log perubahan
`column41`	`event.idm.read_only_udm.principal.process.file.full_path`	Dipetakan dari log perubahan
`column57`	`event.idm.read_only_udm.intermediary`	Dipetakan dari log perubahan
`column7`	`event.idm.read_only_udm.principal.platform_version`	Dipetakan dari log perubahan
`column56`	`event.idm.read_only_udm.security_result.rule_name`	Dipetakan dari log perubahan
`column6`	`event.idm.read_only_udm.security_result.action`	Dipetakan dari log perubahan
`column45`	`event.idm.read_only_udm.principal.user.windows_sid`	Dipetakan dari log perubahan
`column12`	`event.idm.read_only_udm.principal.application`	Dipetakan dari log perubahan

Log Perubahan

Melihat Log Perubahan untuk parser ini

Perlu bantuan lain? Dapatkan jawaban dari anggota Komunitas dan profesional Google SecOps.