Raccogli i log di Cisco Secure Access

Versione parser: 4.0

Supportato in:

Questo documento spiega come importare i log di Cisco Secure Access in Google Security Operations utilizzando Amazon S3.

Cisco Secure Access è una soluzione Security Service Edge (SSE) fornita dal cloud che offre accesso alla rete Zero Trust, gateway web sicuro, firewall fornito dal cloud, sicurezza a livello DNS e prevenzione della perdita di dati. Unifica più funzioni di sicurezza per proteggere utenti e dispositivi che accedono alle applicazioni da qualsiasi posizione.

Prima di iniziare

Assicurati di soddisfare i seguenti prerequisiti:

  • Un'istanza Google SecOps
  • Accesso privilegiato a Cisco Secure Access con il ruolo utente Amministratore completo
  • Accesso privilegiato ad AWS (S3, IAM)

Configura un bucket Amazon S3 per Cisco Secure Access

  1. Accedi alla console di gestione AWS.
  2. Vai ad Amazon S3 > Bucket.
  3. Fai clic su Crea bucket.

  4. Inserisci un nome bucket univoco (ad esempio, cisco-secure-access-logs).

  5. Seleziona la regione AWS in cui deve essere creato il bucket.

  6. Lascia invariate le restanti impostazioni predefinite e fai clic su Crea bucket.

  7. Seleziona il bucket appena creato.

  8. Vai a Autorizzazioni > Policy del bucket.

  9. Fai clic su Modifica e incolla la seguente policy JSON, sostituendo bucketname con il nome effettivo del bucket:

    {
    "Version": "2008-10-17",
    "Statement": [
        {
            "Sid": "",
            "Effect": "Allow",
            "Principal": {
                "AWS": "arn:aws:iam::568526795995:user/logs"
            },
            "Action": "s3:PutObject",
            "Resource": "arn:aws:s3:::bucketname/*"
        },
        {
            "Sid": "",
            "Effect": "Deny",
            "Principal": {
                "AWS": "arn:aws:iam::568526795995:user/logs"
            },
            "Action": "s3:GetObject",
            "Resource": "arn:aws:s3:::bucketname/*"
        },
        {
            "Sid": "",
            "Effect": "Allow",
            "Principal": {
                "AWS": "arn:aws:iam::568526795995:user/logs"
            },
            "Action": "s3:GetBucketLocation",
            "Resource": "arn:aws:s3:::bucketname"
        },
        {
            "Sid": "",
            "Effect": "Allow",
            "Principal": {
                "AWS": "arn:aws:iam::568526795995:user/logs"
            },
            "Action": "s3:ListBucket",
            "Resource": "arn:aws:s3:::bucketname"
        }
    ]
}

  10. Fai clic su Salva modifiche.

Configura un utente IAM AWS S3 per Google SecOps

  1. Nella console di gestione AWS, vai a IAM > Utenti.
  2. Crea un utente seguendo questa guida utente: Creazione di un utente IAM.
  3. Seleziona l'utente creato.
  4. Seleziona la scheda Credenziali di sicurezza.
  5. Fai clic su Crea chiave di accesso nella sezione Chiavi di accesso.
  6. Seleziona Servizio di terze parti come Caso d'uso.
  7. Fai clic su Avanti.
    • (Facoltativo) Aggiungi un tag di descrizione.
  8. Fai clic su Crea chiave di accesso.
  9. Fai clic su Scarica file .csv per salvare la chiave di accesso e la chiave di accesso segreta per riferimento futuro.
  10. Fai clic su Fine.
  11. Seleziona la scheda Autorizzazioni.
  12. Fai clic su Aggiungi autorizzazioni nella sezione Criteri per le autorizzazioni.
  13. Seleziona Aggiungi autorizzazioni.
  14. Seleziona Allega direttamente le norme.
  15. Cerca la policy AmazonS3FullAccess.
  16. Seleziona la policy.
  17. Fai clic su Avanti.
  18. Fai clic su Aggiungi autorizzazioni.

Configura Cisco Secure Access per esportare i log nel tuo bucket S3

  1. Accedi alla dashboard di Cisco Secure Access all'indirizzo https://dashboard.sse.cisco.com.
  2. Vai ad Amministratore > Gestione log.
  3. Nell'area Amazon S3, seleziona Utilizza il bucket Amazon S3 gestito dalla tua azienda.
  4. Nel campo Bucket Amazon S3, inserisci il nome esatto del bucket S3 che hai creato (ad esempio, cisco-secure-access-logs).

  5. Fai clic su Verifica.

  6. Apri il file README_FROM_UMBRELLA.txt che Cisco Secure Access ha salvato nel bucket S3.

  7. Copia il token elencato nel file.

  8. Incolla il token nel campo Numero token nella dashboard di Cisco Secure Access.

  9. Fai clic su Salva.

Configura un feed in Google SecOps per importare i log di Cisco Secure Access

  1. Vai a Impostazioni SIEM > Feed.
  2. Fai clic su Aggiungi nuovo feed.
  3. Nella pagina successiva, fai clic su Configura un singolo feed.
  4. Inserisci un nome univoco per il Nome feed (ad esempio, Cisco Secure Access Logs).
  5. Seleziona Amazon S3 V2 come Tipo di origine.
  6. Seleziona Cisco Secure Access come Tipo di log.
  7. Fai clic su Avanti e poi su Invia.

  8. Specifica i valori per i seguenti campi:

    • URI S3: s3://<BUCKET_NAME>/ Sostituisci <BUCKET_NAME> con il nome del tuo bucket S3 (ad esempio, cisco-secure-access-logs).
    • Opzione di eliminazione dell'origine: seleziona l'opzione di eliminazione in base alle tue preferenze.
    • Età massima del file: includi i file modificati nell'ultimo numero di giorni (il valore predefinito è 180 giorni)
    • ID chiave di accesso: chiave di accesso utente con accesso al bucket S3
    • Chiave di accesso segreta: chiave segreta dell'utente con accesso al bucket S3
    • Spazio dei nomi dell'asset: lo spazio dei nomi dell'asset
    • Etichette di importazione: l'etichetta da applicare agli eventi di questo feed

  9. Fai clic su Avanti e poi su Invia.

Tabella di mappatura UDM

Campo log Mappatura UDM Logica
_field additional.fields Unita
column10_label additional.fields Unita
column11_label additional.fields Unita
column15 additional.fields Mappato: [null] → column15_label
column15_label additional.fields Unita
column16_label additional.fields Unita
column22_label additional.fields Unita
column23_label additional.fields Unita
column24_label additional.fields Unita
column27_label additional.fields Unita
column28_label additional.fields Unita
column29_label additional.fields Unita
column30 additional.fields Mappato: ^[0-9]+$ → column30_label
column30_label additional.fields Unita
column33_label additional.fields Unita
column42_label additional.fields Unita
column43 additional.fields Mappato: "true", "false" → column43_label
column43_label additional.fields Unita
column44_label additional.fields Unita
column45 additional.fields Mappato: , → column45_label
column45_label additional.fields Unita
column51_label additional.fields Unita
column52_label additional.fields Unita
column53_label additional.fields Unita
column55_label additional.fields Unita
column6_label additional.fields Unita
column9_label additional.fields Unita
key additional.fields Mappato: `"col13_label", "col14_label", "col17_label", "col18_label", "col19_label", "col25_l…
auth_event extensions.auth.type Mappato: true → AUTHTYPE_UNSPECIFIED
intermediary_entity intermediary Unita
column1 metadata.event_timestamp Analizzato come ISO8601
auth_event metadata.event_type Mappato: true → USER_LOGIN
has_principal metadata.event_type Mappato: true → NETWORK_CONNECTION, true → STATUS_UPDATE
has_user metadata.event_type Mappato: true → USER_UNCATEGORIZED
column26 metadata.product_log_id Mappato direttamente
column26 network.http.method Mappato direttamente
column10 network.http.user_agent Mappato direttamente
column34 network.ip_protocol Mappato direttamente
column15 network.received_bytes Mappato: ^-?[0-9]+$ → uinteger
p_bytes network.received_bytes Mappato direttamente
p_bytes network.sent_bytes Mappato direttamente
column20 network.session_id Mappato direttamente
column12 principal.application Mappato direttamente
column2 principal.asset.hostname Mappato direttamente
column3 principal.asset.hostname Mappato direttamente
column7 principal.asset.hostname Mappato direttamente
p_hostname principal.asset.hostname Mappato direttamente
column15 principal.asset.ip Unita
column4 principal.asset.ip Mappato: DISCONNECTED → column15
p_ip principal.asset.ip Unita
p_ip_from_host principal.asset.ip Unita
user_ip principal.asset.ip Unita
column31 principal.asset.product_object_id Mappato direttamente
software_obj principal.asset.software Unita
column2 principal.hostname Mappato direttamente
column3 principal.hostname Mappato direttamente
column7 principal.hostname Mappato direttamente
p_hostname principal.hostname Mappato direttamente
column15 principal.ip Unita
column4 principal.ip Mappato: DISCONNECTED → column15
p_ip principal.ip Unita
p_ip_from_host principal.ip Unita
user_ip principal.ip Unita
column7 principal.platform_version Mappato direttamente
column41 principal.process.file.full_path Mappato direttamente
column40 principal.process.pid Mappato direttamente
column2 principal.user.email_addresses Mappato: ^.+@.+$ → column2
email principal.user.email_addresses Mappato: ^.+@.+$ → email
column4 principal.user.group_identifiers Unita
column3 principal.user.user_display_name Mappato direttamente
user_display_name principal.user.user_display_name Mappato direttamente
column43 principal.user.userid Mappato direttamente
column7 principal.user.userid Mappato direttamente
column45 principal.user.windows_sid Mappato direttamente
sid principal.user.windows_sid Mappato direttamente
security_result_entry security_result Unita
security_result_present security_result Mappato: true → security_result_entry
column21 target.asset.hostname Mappato direttamente
column5 target.asset.hostname Mappato direttamente
column16 target.asset.ip Unita
column4 target.asset.ip Mappato: DISCONNECTED → column16
column5 target.asset.ip Unita
t_ip target.asset.ip Unita
column21 target.hostname Mappato direttamente
column5 target.hostname Mappato direttamente
column16 target.ip Unita
column4 target.ip Mappato: DISCONNECTED → column16
column5 target.ip Unita
t_ip target.ip Unita
column33 target.port Mappato direttamente
N/D extensions.auth.type Costante: AUTHTYPE_UNSPECIFIED
N/D metadata.event_type Costante: USER_LOGIN
N/D metadata.product_name Costante: Secure Access
N/D metadata.vendor_name Costante: Cisco
N/D network.application_protocol Costante: DNS
column22 event.idm.read_only_udm.principal.user.group_identifiers Mappato dal log delle modifiche
column11 event.idm.read_only_udm.network.http.response_code Mappato dal log delle modifiche
column16 event.idm.read_only_udm.security_result.category_details Mappato dal log delle modifiche
column44 event.idm.read_only_udm.target.hostname Mappato dal log delle modifiche
column44 event.idm.read_only_udm.target.asset.hostname Mappato dal log delle modifiche
column25 event.idm.read_only_udm.principal.application Mappato dal log delle modifiche
column8 event.idm.read_only_udm.target.url Mappato dal log delle modifiche
column45 event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
column22 event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
column55 event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
column33 event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
column2 event.idm.read_only_udm.principal.hostname e event.idm.read_only_udm.principal.asset.hostname Mappato dal log delle modifiche
column3 event.idm.read_only_udm.principal.hostname e event.idm.read_only_udm.principal.asset.hostname Mappato dal log delle modifiche
column7 event.idm.read_only_udm.principal.hostname e event.idm.read_only_udm.principal.asset.hostname Mappato dal log delle modifiche
column4 event.idm.read_only_udm.principal.ip e event.idm.read_only_udm.principal.asset.ip Mappato dal log delle modifiche
column10 event.idm.read_only_udm.principal.ip e event.idm.read_only_udm.principal.asset.ip Mappato dal log delle modifiche
column15 event.idm.read_only_udm.principal.ip e event.idm.read_only_udm.principal.asset.ip Mappato dal log delle modifiche
column5 event.idm.read_only_udm.target.ip e event.idm.read_only_udm.target.asset.ip Mappato dal log delle modifiche
column16 event.idm.read_only_udm.target.ip e event.idm.read_only_udm.target.asset.ip Mappato dal log delle modifiche
column22 event.idm.read_only_udm.target.ip e event.idm.read_only_udm.target.asset.ip Mappato dal log delle modifiche
column7 event.idm.read_only_udm.principal.user.userid Mappato dal log delle modifiche
column43 event.idm.read_only_udm.principal.user.userid Mappato dal log delle modifiche
column1 event.idm.read_only_udm.metadata.event_timestamp Mappato dal log delle modifiche
column6 event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
column8 event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
column9 event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
column10 event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
column11 event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
column13 event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
column14 event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
column16 event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
column17 event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
column18 event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
column19 event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
column23 event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
column24 event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
column25 event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
column27 event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
column28 event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
column29 event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
column32 event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
column36 event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
column42 event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
column44 event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
column46 event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
column47 event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
column48 event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
column49 event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
column50 event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
column51 event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
column52 event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
column53 event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
column54 event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
column12 event.idm.read_only_udm.network.sent_bytes Mappato dal log delle modifiche
column15 event.idm.read_only_udm.network.received_bytes Mappato dal log delle modifiche
column2 event.idm.read_only_udm.principal.user.email_addresses Mappato dal log delle modifiche
column20 event.idm.read_only_udm.network.session_id Mappato dal log delle modifiche
column5 event.idm.read_only_udm.target.hostname e event.idm.read_only_udm.target.asset.hostname Mappato dal log delle modifiche
column21 event.idm.read_only_udm.target.hostname e event.idm.read_only_udm.target.asset.hostname Mappato dal log delle modifiche
column33 event.idm.read_only_udm.target.port Mappato dal log delle modifiche
column34 event.idm.read_only_udm.network.ip_protocol Mappato dal log delle modifiche
column26 event.idm.read_only_udm.metadata.product_log_id Mappato dal log delle modifiche
column3 event.idm.read_only_udm.principal.user.user_display_name Mappato dal log delle modifiche
column30 event.idm.read_only_udm.principal.asset.software Mappato dal log delle modifiche
column31 event.idm.read_only_udm.principal.asset.product_object_id Mappato dal log delle modifiche
column35 event.idm.read_only_udm.network.application_protocol Mappato dal log delle modifiche
column4 event.idm.read_only_udm.principal.user.group_identifiers Mappato dal log delle modifiche
column40 event.idm.read_only_udm.principal.process.pid Mappato dal log delle modifiche
column41 event.idm.read_only_udm.principal.process.file.full_path Mappato dal log delle modifiche
column57 event.idm.read_only_udm.intermediary Mappato dal log delle modifiche
column7 event.idm.read_only_udm.principal.platform_version Mappato dal log delle modifiche
column56 event.idm.read_only_udm.security_result.rule_name Mappato dal log delle modifiche
column6 event.idm.read_only_udm.security_result.action Mappato dal log delle modifiche
column45 event.idm.read_only_udm.principal.user.windows_sid Mappato dal log delle modifiche
column12 event.idm.read_only_udm.principal.application Mappato dal log delle modifiche

Log delle modifiche

Visualizza il log delle modifiche per questo parser

Hai bisogno di ulteriore assistenza? Ricevi risposte dai membri della community e dai professionisti di Google SecOps.