Google は AI 技術を使用して、コンテンツをご希望の言語に翻訳しています。AI 翻訳には誤りが含まれる場合があります。

Cisco Secure Access のログを収集する

パーサーのバージョン: 4.0

以下でサポートされています。

Google SecOps SIEM

このドキュメントでは、Amazon S3 を使用して Cisco Secure Access ログを Google Security Operations に取り込む方法について説明します。

Cisco Secure Access は、クラウドで提供されるセキュリティサービスエッジ（SSE）ソリューションです。ゼロトラストネットワークアクセス、セキュアウェブゲートウェイ、クラウドで提供されるファイアウォール、DNS レイヤのセキュリティ、データ損失防止機能を提供します。複数のセキュリティ機能を統合し、どこからでもアプリケーションにアクセスするユーザーとデバイスを保護します。

始める前に

次の前提条件を満たしていることを確認してください。

Google SecOps インスタンス
Cisco Secure Access への特権アクセス（フル管理者ユーザーロール）
AWS（S3、IAM）への特権アクセス

Cisco Secure Access 用に Amazon S3 バケットを構成する

AWS Management Console にログインします。
[Amazon S3] > [バケット] に移動します。
[バケットを作成] をクリックします。
一意のバケット名を入力します（例: cisco-secure-access-logs）。

注: S3 バケット名にピリオドを使用することは、Cisco Secure Access ではサポートされていません。バケット名にピリオドを使用しないでください。
バケットを作成する AWS リージョンを選択します。
残りの設定はデフォルトのままにして、[バケットを作成] をクリックします。
新しく作成したバケットを選択します。
[権限> バケットポリシー] に移動します。

[編集] をクリックし、次の JSON ポリシーを貼り付けます。bucketname は実際のバケット名に置き換えます。

{
    "Version": "2008-10-17",
    "Statement": [
        {
            "Sid": "",
            "Effect": "Allow",
            "Principal": {
                "AWS": "arn:aws:iam::568526795995:user/logs"
            },
            "Action": "s3:PutObject",
            "Resource": "arn:aws:s3:::bucketname/*"
        },
        {
            "Sid": "",
            "Effect": "Deny",
            "Principal": {
                "AWS": "arn:aws:iam::568526795995:user/logs"
            },
            "Action": "s3:GetObject",
            "Resource": "arn:aws:s3:::bucketname/*"
        },
        {
            "Sid": "",
            "Effect": "Allow",
            "Principal": {
                "AWS": "arn:aws:iam::568526795995:user/logs"
            },
            "Action": "s3:GetBucketLocation",
            "Resource": "arn:aws:s3:::bucketname"
        },
        {
            "Sid": "",
            "Effect": "Allow",
            "Principal": {
                "AWS": "arn:aws:iam::568526795995:user/logs"
            },
            "Action": "s3:ListBucket",
            "Resource": "arn:aws:s3:::bucketname"
        }
    ]
}

[変更を保存] をクリックします。

Google SecOps 用に AWS S3 IAM ユーザーを構成する

AWS マネジメントコンソールで、[IAM] > [ユーザー] に移動します。
IAM ユーザーの作成のユーザーガイドに沿って、ユーザーを作成します。
作成したユーザーを選択します。
[セキュリティ認証情報] タブを選択します。
[アクセスキー] セクションで [アクセスキーを作成] をクリックします。
[ユースケース] で [サードパーティサービス] を選択します。
[Next] をクリックします。
- 省略可: 説明タグを追加します。
[アクセスキーを作成] をクリックします。
[.csv ファイルをダウンロード] をクリックして、[アクセスキー] と [シークレットアクセスキー] を保存し、今後の参照に備えます。
[完了] をクリックします。
[権限] タブを選択します。
[権限ポリシー] セクションで [権限を追加] をクリックします。
[権限を追加] を選択します。
[ポリシーを直接アタッチする] を選択します。
AmazonS3FullAccess ポリシーを検索します。
ポリシーを選択します。
[次へ] をクリックします。
[権限を追加] をクリックします。

ログを S3 バケットにエクスポートするように Cisco Secure Access を構成する

https://dashboard.sse.cisco.com で Cisco Secure Access ダッシュボードにログインします。
[管理者] > [ログ管理] に移動します。
[Amazon S3] 領域で、[Use your company-managed Amazon S3 bucket] を選択します。
[Amazon S3 Bucket] フィールドに、作成した S3 バケットの正確な名前（cisco-secure-access-logs など）を入力します。
[確認] をクリックします。

注: Cisco Secure Access はバケットを検証し、バケットに接続して、README_FROM_UMBRELLA.txt ファイルをバケットに保存します。
Cisco Secure Access が S3 バケットに保存した README_FROM_UMBRELLA.txt ファイルを開きます。
ファイルに記載されているトークンをコピーします。
トークンを Cisco Secure Access ダッシュボードの [Token Number]（トークン番号）フィールドに貼り付けます。
[保存] をクリックします。

注: Cisco Secure Access ログは CSV 形式で gzip 圧縮され、10 分ごとにアップロードされます。構成後 2 時間以内に、最初のログのアップロードが行われます。ログは、パス形式 <bucket-name>-<region>/<prefix> を使用して S3 バケットに保存されます。

Cisco Secure Access のログを取り込むように Google SecOps でフィードを構成する

[SIEM 設定] > [フィード] に移動します。
[Add New Feed] をクリックします。
次のページで、[単一のフィードを設定] をクリックします。
[Feed name] に一意の名前を入力します（例: Cisco Secure Access Logs）。
[ソースタイプ] として [Amazon S3 V2] を選択します。
[ログタイプ] として [Cisco Secure Access] を選択します。
[次へ] をクリックしてから、[送信] をクリックします。
次のフィールドに値を指定します。
- S3 URI: s3://<BUCKET_NAME>/ <BUCKET_NAME> は、S3 バケットの名前（cisco-secure-access-logs など）に置き換えます。
- Source deletion option: 必要に応じて削除オプションを選択します。
- ファイルの最大経過日数: 過去の日数以内に変更されたファイルを含めます（デフォルトは 180 日）。
- アクセスキー ID: S3 バケットにアクセスできるユーザーアクセスキー
- シークレットアクセスキー: S3 バケットにアクセスできるユーザーのシークレットキー
- アセットの名前空間: アセットの名前空間
- Ingestion labels: このフィードのイベントに適用されるラベル
注: Delete transferred files オプションまたは Delete transferred files and empty directories オプションを選択する場合は、サービスアカウントに適切な権限が付与されていることを確認してください。
[次へ] をクリックしてから、[送信] をクリックします。

UDM マッピングテーブル

ログフィールド	UDM マッピング	ロジック
`_field`	`additional.fields`	統合済み
`column10_label`	`additional.fields`	統合済み
`column11_label`	`additional.fields`	統合済み
`column15`	`additional.fields`	マッピング: `[null]` → `column15_label`
`column15_label`	`additional.fields`	統合済み
`column16_label`	`additional.fields`	統合済み
`column22_label`	`additional.fields`	統合済み
`column23_label`	`additional.fields`	統合済み
`column24_label`	`additional.fields`	統合済み
`column27_label`	`additional.fields`	統合済み
`column28_label`	`additional.fields`	統合済み
`column29_label`	`additional.fields`	統合済み
`column30`	`additional.fields`	マッピング: `^[0-9]+$` → `column30_label`
`column30_label`	`additional.fields`	統合済み
`column33_label`	`additional.fields`	統合済み
`column42_label`	`additional.fields`	統合済み
`column43`	`additional.fields`	マッピング: `"true", "false"` → `column43_label`
`column43_label`	`additional.fields`	統合済み
`column44_label`	`additional.fields`	統合済み
`column45`	`additional.fields`	マッピング: `,` → `column45_label`
`column45_label`	`additional.fields`	統合済み
`column51_label`	`additional.fields`	統合済み
`column52_label`	`additional.fields`	統合済み
`column53_label`	`additional.fields`	統合済み
`column55_label`	`additional.fields`	統合済み
`column6_label`	`additional.fields`	統合済み
`column9_label`	`additional.fields`	統合済み
`key`	`additional.fields`	マッピング: `"col13_label", "col14_label", "col17_label", "col18_label", "col19_label", "col25_l...
`auth_event`	`extensions.auth.type`	マッピング: `true` → `AUTHTYPE_UNSPECIFIED`
`intermediary_entity`	`intermediary`	統合済み
`column1`	`metadata.event_timestamp`	`ISO8601` として解析済み
`auth_event`	`metadata.event_type`	マッピング: `true` → `USER_LOGIN`
`has_principal`	`metadata.event_type`	マッピング: `true` → `NETWORK_CONNECTION`、`true` → `STATUS_UPDATE`
`has_user`	`metadata.event_type`	マッピング: `true` → `USER_UNCATEGORIZED`
`column26`	`metadata.product_log_id`	直接マッピングされます。
`column26`	`network.http.method`	直接マッピングされます。
`column10`	`network.http.user_agent`	直接マッピングされます。
`column34`	`network.ip_protocol`	直接マッピングされます。
`column15`	`network.received_bytes`	マッピング: `^-?[0-9]+$` → `uinteger`
`p_bytes`	`network.received_bytes`	直接マッピングされます。
`p_bytes`	`network.sent_bytes`	直接マッピングされます。
`column20`	`network.session_id`	直接マッピングされます。
`column12`	`principal.application`	直接マッピングされます。
`column2`	`principal.asset.hostname`	直接マッピングされます。
`column3`	`principal.asset.hostname`	直接マッピングされます。
`column7`	`principal.asset.hostname`	直接マッピングされます。
`p_hostname`	`principal.asset.hostname`	直接マッピングされます。
`column15`	`principal.asset.ip`	統合済み
`column4`	`principal.asset.ip`	マッピング: `DISCONNECTED` → `column15`
`p_ip`	`principal.asset.ip`	統合済み
`p_ip_from_host`	`principal.asset.ip`	統合済み
`user_ip`	`principal.asset.ip`	統合済み
`column31`	`principal.asset.product_object_id`	直接マッピングされます。
`software_obj`	`principal.asset.software`	統合済み
`column2`	`principal.hostname`	直接マッピングされます。
`column3`	`principal.hostname`	直接マッピングされます。
`column7`	`principal.hostname`	直接マッピングされます。
`p_hostname`	`principal.hostname`	直接マッピングされます。
`column15`	`principal.ip`	統合済み
`column4`	`principal.ip`	マッピング: `DISCONNECTED` → `column15`
`p_ip`	`principal.ip`	統合済み
`p_ip_from_host`	`principal.ip`	統合済み
`user_ip`	`principal.ip`	統合済み
`column7`	`principal.platform_version`	直接マッピングされます。
`column41`	`principal.process.file.full_path`	直接マッピングされます。
`column40`	`principal.process.pid`	直接マッピングされます。
`column2`	`principal.user.email_addresses`	マッピング: `^.+@.+$` → `column2`
`email`	`principal.user.email_addresses`	マッピング: `^.+@.+$` → `email`
`column4`	`principal.user.group_identifiers`	統合済み
`column3`	`principal.user.user_display_name`	直接マッピングされます。
`user_display_name`	`principal.user.user_display_name`	直接マッピングされます。
`column43`	`principal.user.userid`	直接マッピングされます。
`column7`	`principal.user.userid`	直接マッピングされます。
`column45`	`principal.user.windows_sid`	直接マッピングされます。
`sid`	`principal.user.windows_sid`	直接マッピングされます。
`security_result_entry`	`security_result`	統合済み
`security_result_present`	`security_result`	マッピング: `true` → `security_result_entry`
`column21`	`target.asset.hostname`	直接マッピングされます。
`column5`	`target.asset.hostname`	直接マッピングされます。
`column16`	`target.asset.ip`	統合済み
`column4`	`target.asset.ip`	マッピング: `DISCONNECTED` → `column16`
`column5`	`target.asset.ip`	統合済み
`t_ip`	`target.asset.ip`	統合済み
`column21`	`target.hostname`	直接マッピングされます。
`column5`	`target.hostname`	直接マッピングされます。
`column16`	`target.ip`	統合済み
`column4`	`target.ip`	マッピング: `DISCONNECTED` → `column16`
`column5`	`target.ip`	統合済み
`t_ip`	`target.ip`	統合済み
`column33`	`target.port`	直接マッピングされます。
なし	`extensions.auth.type`	定数: `AUTHTYPE_UNSPECIFIED`
なし	`metadata.event_type`	定数: `USER_LOGIN`
なし	`metadata.product_name`	定数: `Secure Access`
なし	`metadata.vendor_name`	定数: `Cisco`
なし	`network.application_protocol`	定数: `DNS`
`column22`	`event.idm.read_only_udm.principal.user.group_identifiers`	変更履歴からマッピング
`column11`	`event.idm.read_only_udm.network.http.response_code`	変更履歴からマッピング
`column16`	`event.idm.read_only_udm.security_result.category_details`	変更履歴からマッピング
`column44`	`event.idm.read_only_udm.target.hostname`	変更履歴からマッピング
`column44`	`event.idm.read_only_udm.target.asset.hostname`	変更履歴からマッピング
`column25`	`event.idm.read_only_udm.principal.application`	変更履歴からマッピング
`column8`	`event.idm.read_only_udm.target.url`	変更履歴からマッピング
`column45`	`event.idm.read_only_udm.additional.fields`	変更履歴からマッピング
`column22`	`event.idm.read_only_udm.additional.fields`	変更履歴からマッピング
`column55`	`event.idm.read_only_udm.additional.fields`	変更履歴からマッピング
`column33`	`event.idm.read_only_udm.additional.fields`	変更履歴からマッピング
`column2`	`event.idm.read_only_udm.principal.hostname` と `event.idm.read_only_udm.principal.asset.hostname`	変更履歴からマッピング
`column3`	`event.idm.read_only_udm.principal.hostname` と `event.idm.read_only_udm.principal.asset.hostname`	変更履歴からマッピング
`column7`	`event.idm.read_only_udm.principal.hostname` と `event.idm.read_only_udm.principal.asset.hostname`	変更履歴からマッピング
`column4`	`event.idm.read_only_udm.principal.ip` と `event.idm.read_only_udm.principal.asset.ip`	変更履歴からマッピング
`column10`	`event.idm.read_only_udm.principal.ip` と `event.idm.read_only_udm.principal.asset.ip`	変更履歴からマッピング
`column15`	`event.idm.read_only_udm.principal.ip` と `event.idm.read_only_udm.principal.asset.ip`	変更履歴からマッピング
`column5`	`event.idm.read_only_udm.target.ip` と `event.idm.read_only_udm.target.asset.ip`	変更履歴からマッピング
`column16`	`event.idm.read_only_udm.target.ip` と `event.idm.read_only_udm.target.asset.ip`	変更履歴からマッピング
`column22`	`event.idm.read_only_udm.target.ip` と `event.idm.read_only_udm.target.asset.ip`	変更履歴からマッピング
`column7`	`event.idm.read_only_udm.principal.user.userid`	変更履歴からマッピング
`column43`	`event.idm.read_only_udm.principal.user.userid`	変更履歴からマッピング
`column1`	`event.idm.read_only_udm.metadata.event_timestamp`	変更履歴からマッピング
`column6`	`event.idm.read_only_udm.additional.fields`	変更履歴からマッピング
`column8`	`event.idm.read_only_udm.additional.fields`	変更履歴からマッピング
`column9`	`event.idm.read_only_udm.additional.fields`	変更履歴からマッピング
`column10`	`event.idm.read_only_udm.additional.fields`	変更履歴からマッピング
`column11`	`event.idm.read_only_udm.additional.fields`	変更履歴からマッピング
`column13`	`event.idm.read_only_udm.additional.fields`	変更履歴からマッピング
`column14`	`event.idm.read_only_udm.additional.fields`	変更履歴からマッピング
`column16`	`event.idm.read_only_udm.additional.fields`	変更履歴からマッピング
`column17`	`event.idm.read_only_udm.additional.fields`	変更履歴からマッピング
`column18`	`event.idm.read_only_udm.additional.fields`	変更履歴からマッピング
`column19`	`event.idm.read_only_udm.additional.fields`	変更履歴からマッピング
`column23`	`event.idm.read_only_udm.additional.fields`	変更履歴からマッピング
`column24`	`event.idm.read_only_udm.additional.fields`	変更履歴からマッピング
`column25`	`event.idm.read_only_udm.additional.fields`	変更履歴からマッピング
`column27`	`event.idm.read_only_udm.additional.fields`	変更履歴からマッピング
`column28`	`event.idm.read_only_udm.additional.fields`	変更履歴からマッピング
`column29`	`event.idm.read_only_udm.additional.fields`	変更履歴からマッピング
`column32`	`event.idm.read_only_udm.additional.fields`	変更履歴からマッピング
`column36`	`event.idm.read_only_udm.additional.fields`	変更履歴からマッピング
`column42`	`event.idm.read_only_udm.additional.fields`	変更履歴からマッピング
`column44`	`event.idm.read_only_udm.additional.fields`	変更履歴からマッピング
`column46`	`event.idm.read_only_udm.additional.fields`	変更履歴からマッピング
`column47`	`event.idm.read_only_udm.additional.fields`	変更履歴からマッピング
`column48`	`event.idm.read_only_udm.additional.fields`	変更履歴からマッピング
`column49`	`event.idm.read_only_udm.additional.fields`	変更履歴からマッピング
`column50`	`event.idm.read_only_udm.additional.fields`	変更履歴からマッピング
`column51`	`event.idm.read_only_udm.additional.fields`	変更履歴からマッピング
`column52`	`event.idm.read_only_udm.additional.fields`	変更履歴からマッピング
`column53`	`event.idm.read_only_udm.additional.fields`	変更履歴からマッピング
`column54`	`event.idm.read_only_udm.additional.fields`	変更履歴からマッピング
`column12`	`event.idm.read_only_udm.network.sent_bytes`	変更履歴からマッピング
`column15`	`event.idm.read_only_udm.network.received_bytes`	変更履歴からマッピング
`column2`	`event.idm.read_only_udm.principal.user.email_addresses`	変更履歴からマッピング
`column20`	`event.idm.read_only_udm.network.session_id`	変更履歴からマッピング
`column5`	`event.idm.read_only_udm.target.hostname` と `event.idm.read_only_udm.target.asset.hostname`	変更履歴からマッピング
`column21`	`event.idm.read_only_udm.target.hostname` と `event.idm.read_only_udm.target.asset.hostname`	変更履歴からマッピング
`column33`	`event.idm.read_only_udm.target.port`	変更履歴からマッピング
`column34`	`event.idm.read_only_udm.network.ip_protocol`	変更履歴からマッピング
`column26`	`event.idm.read_only_udm.metadata.product_log_id`	変更履歴からマッピング
`column3`	`event.idm.read_only_udm.principal.user.user_display_name`	変更履歴からマッピング
`column30`	`event.idm.read_only_udm.principal.asset.software`	変更履歴からマッピング
`column31`	`event.idm.read_only_udm.principal.asset.product_object_id`	変更履歴からマッピング
`column35`	`event.idm.read_only_udm.network.application_protocol`	変更履歴からマッピング
`column4`	`event.idm.read_only_udm.principal.user.group_identifiers`	変更履歴からマッピング
`column40`	`event.idm.read_only_udm.principal.process.pid`	変更履歴からマッピング
`column41`	`event.idm.read_only_udm.principal.process.file.full_path`	変更履歴からマッピング
`column57`	`event.idm.read_only_udm.intermediary`	変更履歴からマッピング
`column7`	`event.idm.read_only_udm.principal.platform_version`	変更履歴からマッピング
`column56`	`event.idm.read_only_udm.security_result.rule_name`	変更履歴からマッピング
`column6`	`event.idm.read_only_udm.security_result.action`	変更履歴からマッピング
`column45`	`event.idm.read_only_udm.principal.user.windows_sid`	変更履歴からマッピング
`column12`	`event.idm.read_only_udm.principal.application`	変更履歴からマッピング

変更ログ

このパーサーの変更ログを表示する

さらにサポートが必要な場合 コミュニティメンバーや Google SecOps のプロフェッショナルから回答を得ることができます。