Google menggunakan teknologi AI untuk menerjemahkan konten ke dalam bahasa pilihan Anda. Terjemahan AI mungkin mengandung kesalahan.

Mengumpulkan log Cisco Secure Access

Versi Parser: 4.0

Didukung di:

Google SecOps SIEM

Dokumen ini menjelaskan cara menyerap log Cisco Secure Access ke Google Security Operations menggunakan Amazon S3.

Cisco Secure Access adalah solusi Security Service Edge (SSE) yang disediakan melalui cloud yang menyediakan akses jaringan zero trust, gateway web yang aman, firewall yang disediakan melalui cloud, keamanan lapisan DNS, dan pencegahan kebocoran data. Solusi ini menyatukan beberapa fungsi keamanan untuk melindungi pengguna dan perangkat yang mengakses aplikasi dari lokasi mana pun.

Sebelum memulai

Pastikan Anda memiliki prasyarat berikut:

Instance Google SecOps
Akses istimewa ke Cisco Secure Access dengan peran pengguna Admin Penuh
Akses istimewa ke AWS (S3, IAM)

Mengonfigurasi bucket Amazon S3 untuk Cisco Secure Access

Login ke AWS Management Console.
Buka Amazon S3 > Buckets.
Klik Create bucket.
Masukkan Nama bucket yang unik (misalnya, cisco-secure-access-logs).

Catatan: Titik dalam nama bucket S3 tidak didukung oleh Cisco Secure Access. Jangan gunakan titik dalam nama bucket.
Pilih AWS Region tempat bucket harus dibuat.
Biarkan setelan lainnya sebagai default, lalu klik Create bucket.
Pilih bucket yang baru dibuat.
Buka Permissions > Bucket policy.

Klik Edit dan tempelkan kebijakan JSON berikut, dengan mengganti bucketname dengan nama bucket Anda yang sebenarnya:

{
    "Version": "2008-10-17",
    "Statement": [
        {
            "Sid": "",
            "Effect": "Allow",
            "Principal": {
                "AWS": "arn:aws:iam::568526795995:user/logs"
            },
            "Action": "s3:PutObject",
            "Resource": "arn:aws:s3:::bucketname/*"
        },
        {
            "Sid": "",
            "Effect": "Deny",
            "Principal": {
                "AWS": "arn:aws:iam::568526795995:user/logs"
            },
            "Action": "s3:GetObject",
            "Resource": "arn:aws:s3:::bucketname/*"
        },
        {
            "Sid": "",
            "Effect": "Allow",
            "Principal": {
                "AWS": "arn:aws:iam::568526795995:user/logs"
            },
            "Action": "s3:GetBucketLocation",
            "Resource": "arn:aws:s3:::bucketname"
        },
        {
            "Sid": "",
            "Effect": "Allow",
            "Principal": {
                "AWS": "arn:aws:iam::568526795995:user/logs"
            },
            "Action": "s3:ListBucket",
            "Resource": "arn:aws:s3:::bucketname"
        }
    ]
}

Klik Simpan perubahan.

Mengonfigurasi pengguna IAM AWS S3 untuk Google SecOps

Di AWS Management Console, buka IAM > Users.
Buat Pengguna dengan mengikuti panduan pengguna ini: Membuat pengguna IAM.
Pilih Pengguna yang dibuat.
Pilih tab Kredensial keamanan.
Klik Create Access Key di bagian Access Keys.
Pilih Layanan pihak ketiga sebagai Kasus penggunaan.
Klik Berikutnya.
- Opsional: Tambahkan tag deskripsi.
Klik Create access key.
Klik Download file .csv untuk menyimpan Access Key dan Secret Access Key untuk referensi di masa mendatang.
Klik Done.
Pilih tab Permissions.
Klik Tambahkan izin di bagian Kebijakan izin.
Pilih Tambahkan izin.
Pilih Lampirkan kebijakan secara langsung.
Cari kebijakan AmazonS3FullAccess.
Pilih kebijakan.
Klik Berikutnya.
Klik Add permissions.

Mengonfigurasi Cisco Secure Access untuk mengekspor log ke bucket S3 Anda

Login ke Dasbor Cisco Secure Access di https://dashboard.sse.cisco.com.
Buka Admin > Pengelolaan Log.
Di area Amazon S3, pilih Use your company-managed Amazon S3 bucket.
Di kolom Amazon S3 Bucket, masukkan nama persis bucket S3 yang Anda buat (misalnya, cisco-secure-access-logs).
Klik Verifikasi.

Catatan: Cisco Secure Access memverifikasi bucket, menghubungkannya, dan menyimpan file README_FROM_UMBRELLA.txt ke bucket.
Buka file README_FROM_UMBRELLA.txt yang disimpan Cisco Secure Access ke bucket S3 Anda.
Salin token yang tercantum dalam file.
Tempelkan token ke kolom Token Number di dasbor Cisco Secure Access.
Klik Simpan.

Catatan: Log Cisco Secure Access berformat CSV, dikompresi gzip, dan diupload setiap 10 menit. Dalam dua jam pertama setelah konfigurasi, Anda akan menerima upload log pertama. Log disimpan di bucket S3 menggunakan format jalur: <bucket-name>-<region>/<prefix>.

Mengonfigurasi feed di Google SecOps untuk menyerap log Cisco Secure Access

Buka Setelan SIEM > Feed.
Klik Tambahkan Feed Baru.
Di halaman berikutnya, klik Konfigurasi satu feed.
Masukkan nama unik untuk Nama feed (misalnya, Cisco Secure Access Logs).
Pilih Amazon S3 V2 sebagai Jenis sumber.
Pilih Cisco Secure Access sebagai Jenis log.
Klik Berikutnya, lalu klik Kirim.
Tentukan nilai untuk kolom berikut:
- S3 URI: s3://<BUCKET_NAME>/ Ganti <BUCKET_NAME> dengan nama bucket S3 Anda (misalnya, cisco-secure-access-logs).
- Opsi penghapusan sumber: Pilih opsi penghapusan sesuai preferensi Anda
- Usia File Maksimum: Menyertakan file yang diubah dalam beberapa hari terakhir (default adalah 180 hari)
- Access Key ID: Kunci akses pengguna dengan akses ke bucket S3
- Secret Access Key: Kunci rahasia pengguna dengan akses ke bucket S3
- Namespace aset: Namespace aset
- Label penyerapan: Label yang akan diterapkan ke peristiwa dari feed ini
Catatan: Jika Anda memilih opsi Delete transferred files atau Delete transferred files and empty directories, pastikan Anda memberikan izin yang sesuai ke akun layanan.
Klik Berikutnya, lalu klik Kirim.

Tabel pemetaan UDM

Kolom Log	Pemetaan UDM	Logika
`_field`	`additional.fields`	Digabung
`column10_label`	`additional.fields`	Digabung
`column11_label`	`additional.fields`	Digabung
`column15`	`additional.fields`	Dipetakan: `[null]` → `column15_label`
`column15_label`	`additional.fields`	Digabung
`column16_label`	`additional.fields`	Digabung
`column22_label`	`additional.fields`	Digabung
`column23_label`	`additional.fields`	Digabung
`column24_label`	`additional.fields`	Digabung
`column27_label`	`additional.fields`	Digabung
`column28_label`	`additional.fields`	Digabung
`column29_label`	`additional.fields`	Digabung
`column30`	`additional.fields`	Dipetakan: `^[0-9]+$` → `column30_label`
`column30_label`	`additional.fields`	Digabung
`column33_label`	`additional.fields`	Digabung
`column42_label`	`additional.fields`	Digabung
`column43`	`additional.fields`	Dipetakan: `"true", "false"` → `column43_label`
`column43_label`	`additional.fields`	Digabung
`column44_label`	`additional.fields`	Digabung
`column45`	`additional.fields`	Dipetakan: `,` → `column45_label`
`column45_label`	`additional.fields`	Digabung
`column51_label`	`additional.fields`	Digabung
`column52_label`	`additional.fields`	Digabung
`column53_label`	`additional.fields`	Digabung
`column55_label`	`additional.fields`	Digabung
`column6_label`	`additional.fields`	Digabung
`column9_label`	`additional.fields`	Digabung
`key`	`additional.fields`	Dipetakan: `"col13_label", "col14_label", "col17_label", "col18_label", "col19_label", "col25_l...
`auth_event`	`extensions.auth.type`	Dipetakan: `true` → `AUTHTYPE_UNSPECIFIED`
`intermediary_entity`	`intermediary`	Digabung
`column1`	`metadata.event_timestamp`	Diuraikan sebagai `ISO8601`
`auth_event`	`metadata.event_type`	Dipetakan: `true` → `USER_LOGIN`
`has_principal`	`metadata.event_type`	Dipetakan: `true` → `NETWORK_CONNECTION`, `true` → `STATUS_UPDATE`
`has_user`	`metadata.event_type`	Dipetakan: `true` → `USER_UNCATEGORIZED`
`column26`	`metadata.product_log_id`	Dipetakan secara langsung
`column26`	`network.http.method`	Dipetakan secara langsung
`column10`	`network.http.user_agent`	Dipetakan secara langsung
`column34`	`network.ip_protocol`	Dipetakan secara langsung
`column15`	`network.received_bytes`	Dipetakan: `^-?[0-9]+$` → `uinteger`
`p_bytes`	`network.received_bytes`	Dipetakan secara langsung
`p_bytes`	`network.sent_bytes`	Dipetakan secara langsung
`column20`	`network.session_id`	Dipetakan secara langsung
`column12`	`principal.application`	Dipetakan secara langsung
`column2`	`principal.asset.hostname`	Dipetakan secara langsung
`column3`	`principal.asset.hostname`	Dipetakan secara langsung
`column7`	`principal.asset.hostname`	Dipetakan secara langsung
`p_hostname`	`principal.asset.hostname`	Dipetakan secara langsung
`column15`	`principal.asset.ip`	Digabung
`column4`	`principal.asset.ip`	Dipetakan: `DISCONNECTED` → `column15`
`p_ip`	`principal.asset.ip`	Digabung
`p_ip_from_host`	`principal.asset.ip`	Digabung
`user_ip`	`principal.asset.ip`	Digabung
`column31`	`principal.asset.product_object_id`	Dipetakan secara langsung
`software_obj`	`principal.asset.software`	Digabung
`column2`	`principal.hostname`	Dipetakan secara langsung
`column3`	`principal.hostname`	Dipetakan secara langsung
`column7`	`principal.hostname`	Dipetakan secara langsung
`p_hostname`	`principal.hostname`	Dipetakan secara langsung
`column15`	`principal.ip`	Digabung
`column4`	`principal.ip`	Dipetakan: `DISCONNECTED` → `column15`
`p_ip`	`principal.ip`	Digabung
`p_ip_from_host`	`principal.ip`	Digabung
`user_ip`	`principal.ip`	Digabung
`column7`	`principal.platform_version`	Dipetakan secara langsung
`column41`	`principal.process.file.full_path`	Dipetakan secara langsung
`column40`	`principal.process.pid`	Dipetakan secara langsung
`column2`	`principal.user.email_addresses`	Dipetakan: `^.+@.+$` → `column2`
`email`	`principal.user.email_addresses`	Dipetakan: `^.+@.+$` → `email`
`column4`	`principal.user.group_identifiers`	Digabung
`column3`	`principal.user.user_display_name`	Dipetakan secara langsung
`user_display_name`	`principal.user.user_display_name`	Dipetakan secara langsung
`column43`	`principal.user.userid`	Dipetakan secara langsung
`column7`	`principal.user.userid`	Dipetakan secara langsung
`column45`	`principal.user.windows_sid`	Dipetakan secara langsung
`sid`	`principal.user.windows_sid`	Dipetakan secara langsung
`security_result_entry`	`security_result`	Digabung
`security_result_present`	`security_result`	Dipetakan: `true` → `security_result_entry`
`column21`	`target.asset.hostname`	Dipetakan secara langsung
`column5`	`target.asset.hostname`	Dipetakan secara langsung
`column16`	`target.asset.ip`	Digabung
`column4`	`target.asset.ip`	Dipetakan: `DISCONNECTED` → `column16`
`column5`	`target.asset.ip`	Digabung
`t_ip`	`target.asset.ip`	Digabung
`column21`	`target.hostname`	Dipetakan secara langsung
`column5`	`target.hostname`	Dipetakan secara langsung
`column16`	`target.ip`	Digabung
`column4`	`target.ip`	Dipetakan: `DISCONNECTED` → `column16`
`column5`	`target.ip`	Digabung
`t_ip`	`target.ip`	Digabung
`column33`	`target.port`	Dipetakan secara langsung
T/A	`extensions.auth.type`	Konstanta: `AUTHTYPE_UNSPECIFIED`
T/A	`metadata.event_type`	Konstanta: `USER_LOGIN`
T/A	`metadata.product_name`	Konstanta: `Secure Access`
T/A	`metadata.vendor_name`	Konstanta: `Cisco`
T/A	`network.application_protocol`	Konstanta: `DNS`
`column22`	`event.idm.read_only_udm.principal.user.group_identifiers`	Dipetakan dari log perubahan
`column11`	`event.idm.read_only_udm.network.http.response_code`	Dipetakan dari log perubahan
`column16`	`event.idm.read_only_udm.security_result.category_details`	Dipetakan dari log perubahan
`column44`	`event.idm.read_only_udm.target.hostname`	Dipetakan dari log perubahan
`column44`	`event.idm.read_only_udm.target.asset.hostname`	Dipetakan dari log perubahan
`column25`	`event.idm.read_only_udm.principal.application`	Dipetakan dari log perubahan
`column8`	`event.idm.read_only_udm.target.url`	Dipetakan dari log perubahan
`column45`	`event.idm.read_only_udm.additional.fields`	Dipetakan dari log perubahan
`column22`	`event.idm.read_only_udm.additional.fields`	Dipetakan dari log perubahan
`column55`	`event.idm.read_only_udm.additional.fields`	Dipetakan dari log perubahan
`column33`	`event.idm.read_only_udm.additional.fields`	Dipetakan dari log perubahan
`column2`	`event.idm.read_only_udm.principal.hostname` dan `event.idm.read_only_udm.principal.asset.hostname`	Dipetakan dari log perubahan
`column3`	`event.idm.read_only_udm.principal.hostname` dan `event.idm.read_only_udm.principal.asset.hostname`	Dipetakan dari log perubahan
`column7`	`event.idm.read_only_udm.principal.hostname` dan `event.idm.read_only_udm.principal.asset.hostname`	Dipetakan dari log perubahan
`column4`	`event.idm.read_only_udm.principal.ip` dan `event.idm.read_only_udm.principal.asset.ip`	Dipetakan dari log perubahan
`column10`	`event.idm.read_only_udm.principal.ip` dan `event.idm.read_only_udm.principal.asset.ip`	Dipetakan dari log perubahan
`column15`	`event.idm.read_only_udm.principal.ip` dan `event.idm.read_only_udm.principal.asset.ip`	Dipetakan dari log perubahan
`column5`	`event.idm.read_only_udm.target.ip` dan `event.idm.read_only_udm.target.asset.ip`	Dipetakan dari log perubahan
`column16`	`event.idm.read_only_udm.target.ip` dan `event.idm.read_only_udm.target.asset.ip`	Dipetakan dari log perubahan
`column22`	`event.idm.read_only_udm.target.ip` dan `event.idm.read_only_udm.target.asset.ip`	Dipetakan dari log perubahan
`column7`	`event.idm.read_only_udm.principal.user.userid`	Dipetakan dari log perubahan
`column43`	`event.idm.read_only_udm.principal.user.userid`	Dipetakan dari log perubahan
`column1`	`event.idm.read_only_udm.metadata.event_timestamp`	Dipetakan dari log perubahan
`column6`	`event.idm.read_only_udm.additional.fields`	Dipetakan dari log perubahan
`column8`	`event.idm.read_only_udm.additional.fields`	Dipetakan dari log perubahan
`column9`	`event.idm.read_only_udm.additional.fields`	Dipetakan dari log perubahan
`column10`	`event.idm.read_only_udm.additional.fields`	Dipetakan dari log perubahan
`column11`	`event.idm.read_only_udm.additional.fields`	Dipetakan dari log perubahan
`column13`	`event.idm.read_only_udm.additional.fields`	Dipetakan dari log perubahan
`column14`	`event.idm.read_only_udm.additional.fields`	Dipetakan dari log perubahan
`column16`	`event.idm.read_only_udm.additional.fields`	Dipetakan dari log perubahan
`column17`	`event.idm.read_only_udm.additional.fields`	Dipetakan dari log perubahan
`column18`	`event.idm.read_only_udm.additional.fields`	Dipetakan dari log perubahan
`column19`	`event.idm.read_only_udm.additional.fields`	Dipetakan dari log perubahan
`column23`	`event.idm.read_only_udm.additional.fields`	Dipetakan dari log perubahan
`column24`	`event.idm.read_only_udm.additional.fields`	Dipetakan dari log perubahan
`column25`	`event.idm.read_only_udm.additional.fields`	Dipetakan dari log perubahan
`column27`	`event.idm.read_only_udm.additional.fields`	Dipetakan dari log perubahan
`column28`	`event.idm.read_only_udm.additional.fields`	Dipetakan dari log perubahan
`column29`	`event.idm.read_only_udm.additional.fields`	Dipetakan dari log perubahan
`column32`	`event.idm.read_only_udm.additional.fields`	Dipetakan dari log perubahan
`column36`	`event.idm.read_only_udm.additional.fields`	Dipetakan dari log perubahan
`column42`	`event.idm.read_only_udm.additional.fields`	Dipetakan dari log perubahan
`column44`	`event.idm.read_only_udm.additional.fields`	Dipetakan dari log perubahan
`column46`	`event.idm.read_only_udm.additional.fields`	Dipetakan dari log perubahan
`column47`	`event.idm.read_only_udm.additional.fields`	Dipetakan dari log perubahan
`column48`	`event.idm.read_only_udm.additional.fields`	Dipetakan dari log perubahan
`column49`	`event.idm.read_only_udm.additional.fields`	Dipetakan dari log perubahan
`column50`	`event.idm.read_only_udm.additional.fields`	Dipetakan dari log perubahan
`column51`	`event.idm.read_only_udm.additional.fields`	Dipetakan dari log perubahan
`column52`	`event.idm.read_only_udm.additional.fields`	Dipetakan dari log perubahan
`column53`	`event.idm.read_only_udm.additional.fields`	Dipetakan dari log perubahan
`column54`	`event.idm.read_only_udm.additional.fields`	Dipetakan dari log perubahan
`column12`	`event.idm.read_only_udm.network.sent_bytes`	Dipetakan dari log perubahan
`column15`	`event.idm.read_only_udm.network.received_bytes`	Dipetakan dari log perubahan
`column2`	`event.idm.read_only_udm.principal.user.email_addresses`	Dipetakan dari log perubahan
`column20`	`event.idm.read_only_udm.network.session_id`	Dipetakan dari log perubahan
`column5`	`event.idm.read_only_udm.target.hostname` dan `event.idm.read_only_udm.target.asset.hostname`	Dipetakan dari log perubahan
`column21`	`event.idm.read_only_udm.target.hostname` dan `event.idm.read_only_udm.target.asset.hostname`	Dipetakan dari log perubahan
`column33`	`event.idm.read_only_udm.target.port`	Dipetakan dari log perubahan
`column34`	`event.idm.read_only_udm.network.ip_protocol`	Dipetakan dari log perubahan
`column26`	`event.idm.read_only_udm.metadata.product_log_id`	Dipetakan dari log perubahan
`column3`	`event.idm.read_only_udm.principal.user.user_display_name`	Dipetakan dari log perubahan
`column30`	`event.idm.read_only_udm.principal.asset.software`	Dipetakan dari log perubahan
`column31`	`event.idm.read_only_udm.principal.asset.product_object_id`	Dipetakan dari log perubahan
`column35`	`event.idm.read_only_udm.network.application_protocol`	Dipetakan dari log perubahan
`column4`	`event.idm.read_only_udm.principal.user.group_identifiers`	Dipetakan dari log perubahan
`column40`	`event.idm.read_only_udm.principal.process.pid`	Dipetakan dari log perubahan
`column41`	`event.idm.read_only_udm.principal.process.file.full_path`	Dipetakan dari log perubahan
`column57`	`event.idm.read_only_udm.intermediary`	Dipetakan dari log perubahan
`column7`	`event.idm.read_only_udm.principal.platform_version`	Dipetakan dari log perubahan
`column56`	`event.idm.read_only_udm.security_result.rule_name`	Dipetakan dari log perubahan
`column6`	`event.idm.read_only_udm.security_result.action`	Dipetakan dari log perubahan
`column45`	`event.idm.read_only_udm.principal.user.windows_sid`	Dipetakan dari log perubahan
`column12`	`event.idm.read_only_udm.principal.application`	Dipetakan dari log perubahan

Log Perubahan

Melihat Log Perubahan untuk parser ini

Perlu bantuan lain? Dapatkan jawaban dari anggota Komunitas dan profesional Google SecOps.