Cisco Secure Access 로그 수집

파서 버전: 4.0

다음에서 지원:

Google SecOps SIEM

이 문서에서는 Amazon S3를 사용하여 Cisco Secure Access 로그를 Google Security Operations로 수집하는 방법을 설명합니다.

Cisco Secure Access는 제로 트러스트 네트워크 액세스, 보안 웹 게이트웨이, 클라우드 기반 방화벽, DNS 계층 보안, 데이터 손실 방지를 제공하는 클라우드 기반 보안 서비스 에지 (SSE) 솔루션입니다. 여러 보안 기능을 통합하여 어디서나 애플리케이션에 액세스하는 사용자와 기기를 보호합니다.

시작하기 전에

다음 기본 요건이 충족되었는지 확인합니다.

• Google SecOps 인스턴스
• 전체 관리자 사용자 역할이 있는 Cisco Secure Access에 대한 권한 있는 액세스
• AWS(S3, IAM)에 대한 액세스 권한

Cisco Secure Access용 Amazon S3 버킷 구성

1. AWS 관리 콘솔에 로그인합니다.
2. Amazon S3 > 버킷으로 이동합니다.
3. 버킷 만들기를 클릭합니다.

4. 고유한 버킷 이름 (예: cisco-secure-access-logs)을 입력합니다.

   참고: S3 버킷 이름의 마침표는 Cisco Secure Access에서 지원되지 않습니다. 버킷 이름에 마침표를 사용하지 마세요.

5. 버킷을 만들 AWS 리전을 선택합니다.

6. 나머지 설정은 기본값으로 두고 버킷 만들기를 클릭합니다.

7. 새로 만든 버킷을 선택합니다.

8. 권한 > 버킷 정책으로 이동합니다.

9. 수정을 클릭하고 다음 JSON 정책을 붙여넣습니다. 이때 bucketname을 실제 버킷 이름으로 바꿉니다.

   {
       "Version": "2008-10-17",
       "Statement": [
           {
               "Sid": "",
               "Effect": "Allow",
               "Principal": {
                   "AWS": "arn:aws:iam::568526795995:user/logs"
               },
               "Action": "s3:PutObject",
               "Resource": "arn:aws:s3:::bucketname/*"
           },
           {
               "Sid": "",
               "Effect": "Deny",
               "Principal": {
                   "AWS": "arn:aws:iam::568526795995:user/logs"
               },
               "Action": "s3:GetObject",
               "Resource": "arn:aws:s3:::bucketname/*"
           },
           {
               "Sid": "",
               "Effect": "Allow",
               "Principal": {
                   "AWS": "arn:aws:iam::568526795995:user/logs"
               },
               "Action": "s3:GetBucketLocation",
               "Resource": "arn:aws:s3:::bucketname"
           },
           {
               "Sid": "",
               "Effect": "Allow",
               "Principal": {
                   "AWS": "arn:aws:iam::568526795995:user/logs"
               },
               "Action": "s3:ListBucket",
               "Resource": "arn:aws:s3:::bucketname"
           }
       ]
   }
   

10. 변경사항 저장을 클릭합니다.

Google SecOps용 AWS S3 IAM 사용자 구성

1. AWS Management Console에서 IAM > 사용자로 이동합니다.
2. 이 사용자 가이드(IAM 사용자 만들기)에 따라 사용자를 만듭니다.
3. 생성된 사용자를 선택합니다.
4. 보안용 사용자 인증 정보 탭을 선택합니다.
5. 액세스 키 섹션에서 액세스 키 만들기를 클릭합니다.
6. 사용 사례로 서드 파티 서비스를 선택합니다.
7. 다음을 클릭합니다.
   • 선택사항: 설명 태그를 추가합니다.
8. 액세스 키 만들기를 클릭합니다.
9. .csv 파일 다운로드를 클릭하여 나중에 참고할 수 있도록 액세스 키와 보안 비밀 액세스 키를 저장합니다.
10. 완료를 클릭합니다.
11. 권한 탭을 선택합니다.
12. 권한 정책 섹션에서 권한 추가를 클릭합니다.
13. 권한 추가를 선택합니다.
14. 정책을 직접 연결을 선택합니다.
15. AmazonS3FullAccess 정책을 검색합니다.
16. 정책을 선택합니다.
17. 다음을 클릭합니다.
18. 권한 추가를 클릭합니다.

S3 버킷으로 로그를 내보내도록 Cisco Secure Access 구성

1. https://dashboard.sse.cisco.com에서 Cisco Secure Access 대시보드에 로그인합니다.
2. 관리 > 로그 관리로 이동합니다.
3. Amazon S3 영역에서 회사 관리 Amazon S3 버킷 사용을 선택합니다.
4. Amazon S3 버킷 필드에 생성한 S3 버킷의 정확한 이름 (예: cisco-secure-access-logs)을 입력합니다.

5. 확인을 클릭합니다.

   참고: Cisco Secure Access는 버킷을 확인하고, 버킷에 연결하고, README_FROM_UMBRELLA.txt 파일을 버킷에 저장합니다.

6. Cisco Secure Access가 S3 버킷에 저장한 README_FROM_UMBRELLA.txt 파일을 엽니다.

7. 파일에 나열된 토큰을 복사합니다.

8. Cisco Secure Access 대시보드의 토큰 번호 필드에 토큰을 붙여넣습니다.

9. 저장을 클릭합니다.

   참고: Cisco Secure Access 로그는 CSV 형식으로 gzip 압축되어 10분마다 업로드됩니다. 구성 후 2시간 이내에 첫 번째 로그 업로드가 수신됩니다. 로그는 <bucket-name>-<region>/<prefix> 경로 형식을 사용하여 S3 버킷에 저장됩니다.

Cisco Secure Access 로그를 수집하도록 Google SecOps에서 피드 구성

1. SIEM 설정 > 피드로 이동합니다.
2. 새 피드 추가를 클릭합니다.
3. 다음 페이지에서 단일 피드 구성을 클릭합니다.
4. 피드 이름에 고유한 이름을 입력합니다 (예: Cisco Secure Access Logs).
5. 소스 유형으로 Amazon S3 V2를 선택합니다.
6. 로그 유형으로 Cisco Secure Access를 선택합니다.
7. 다음을 클릭한 후 제출을 클릭합니다.

8. 다음 필드의 값을 지정합니다.

   • S3 URI: s3://<BUCKET_NAME>/ <BUCKET_NAME>을 S3 버킷 이름 (예: cisco-secure-access-logs)으로 바꿉니다.
   • 소스 삭제 옵션: 환경설정에 따라 삭제 옵션을 선택합니다.
   • 최대 파일 기간: 지난 일수 동안 수정된 파일을 포함합니다 (기본값은 180일).
   • 액세스 키 ID: S3 버킷에 대한 액세스 권한이 있는 사용자 액세스 키
   • 보안 비밀 액세스 키: S3 버킷에 액세스할 수 있는 사용자 보안 비밀 키
   • 애셋 네임스페이스: 애셋 네임스페이스
   • 수집 라벨: 이 피드의 이벤트에 적용할 라벨
   참고: Delete transferred files 또는 Delete transferred files and empty directories 옵션을 선택하는 경우 서비스 계정에 적절한 권한을 부여했는지 확인하세요.

9. 다음을 클릭한 후 제출을 클릭합니다.

UDM 매핑 테이블

로그 필드	UDM 매핑	로직
_field	additional.fields	병합됨
column10_label	additional.fields	병합됨
column11_label	additional.fields	병합됨
column15	additional.fields	매핑됨: [null] → column15_label
column15_label	additional.fields	병합됨
column16_label	additional.fields	병합됨
column22_label	additional.fields	병합됨
column23_label	additional.fields	병합됨
column24_label	additional.fields	병합됨
column27_label	additional.fields	병합됨
column28_label	additional.fields	병합됨
column29_label	additional.fields	병합됨
column30	additional.fields	매핑됨: ^[0-9]+$ → column30_label
column30_label	additional.fields	병합됨
column33_label	additional.fields	병합됨
column42_label	additional.fields	병합됨
column43	additional.fields	매핑됨: "true", "false" → column43_label
column43_label	additional.fields	병합됨
column44_label	additional.fields	병합됨
column45	additional.fields	매핑됨: , → column45_label
column45_label	additional.fields	병합됨
column51_label	additional.fields	병합됨
column52_label	additional.fields	병합됨
column53_label	additional.fields	병합됨
column55_label	additional.fields	병합됨
column6_label	additional.fields	병합됨
column9_label	additional.fields	병합됨
key	additional.fields	매핑됨: `"col13_label", "col14_label", "col17_label", "col18_label", "col19_label", "col25_l…
auth_event	extensions.auth.type	매핑됨: true → AUTHTYPE_UNSPECIFIED
intermediary_entity	intermediary	병합됨
column1	metadata.event_timestamp	ISO8601로 파싱됨
auth_event	metadata.event_type	매핑됨: true → USER_LOGIN
has_principal	metadata.event_type	매핑됨: true → NETWORK_CONNECTION, true → STATUS_UPDATE
has_user	metadata.event_type	매핑됨: true → USER_UNCATEGORIZED
column26	metadata.product_log_id	직접 매핑됨
column26	network.http.method	직접 매핑됨
column10	network.http.user_agent	직접 매핑됨
column34	network.ip_protocol	직접 매핑됨
column15	network.received_bytes	매핑됨: ^-?[0-9]+$ → uinteger
p_bytes	network.received_bytes	직접 매핑됨
p_bytes	network.sent_bytes	직접 매핑됨
column20	network.session_id	직접 매핑됨
column12	principal.application	직접 매핑됨
column2	principal.asset.hostname	직접 매핑됨
column3	principal.asset.hostname	직접 매핑됨
column7	principal.asset.hostname	직접 매핑됨
p_hostname	principal.asset.hostname	직접 매핑됨
column15	principal.asset.ip	병합됨
column4	principal.asset.ip	매핑됨: DISCONNECTED → column15
p_ip	principal.asset.ip	병합됨
p_ip_from_host	principal.asset.ip	병합됨
user_ip	principal.asset.ip	병합됨
column31	principal.asset.product_object_id	직접 매핑됨
software_obj	principal.asset.software	병합됨
column2	principal.hostname	직접 매핑됨
column3	principal.hostname	직접 매핑됨
column7	principal.hostname	직접 매핑됨
p_hostname	principal.hostname	직접 매핑됨
column15	principal.ip	병합됨
column4	principal.ip	매핑됨: DISCONNECTED → column15
p_ip	principal.ip	병합됨
p_ip_from_host	principal.ip	병합됨
user_ip	principal.ip	병합됨
column7	principal.platform_version	직접 매핑됨
column41	principal.process.file.full_path	직접 매핑됨
column40	principal.process.pid	직접 매핑됨
column2	principal.user.email_addresses	매핑됨: ^.+@.+$ → column2
email	principal.user.email_addresses	매핑됨: ^.+@.+$ → email
column4	principal.user.group_identifiers	병합됨
column3	principal.user.user_display_name	직접 매핑됨
user_display_name	principal.user.user_display_name	직접 매핑됨
column43	principal.user.userid	직접 매핑됨
column7	principal.user.userid	직접 매핑됨
column45	principal.user.windows_sid	직접 매핑됨
sid	principal.user.windows_sid	직접 매핑됨
security_result_entry	security_result	병합됨
security_result_present	security_result	매핑됨: true → security_result_entry
column21	target.asset.hostname	직접 매핑됨
column5	target.asset.hostname	직접 매핑됨
column16	target.asset.ip	병합됨
column4	target.asset.ip	매핑됨: DISCONNECTED → column16
column5	target.asset.ip	병합됨
t_ip	target.asset.ip	병합됨
column21	target.hostname	직접 매핑됨
column5	target.hostname	직접 매핑됨
column16	target.ip	병합됨
column4	target.ip	매핑됨: DISCONNECTED → column16
column5	target.ip	병합됨
t_ip	target.ip	병합됨
column33	target.port	직접 매핑됨
해당 사항 없음	extensions.auth.type	상수: AUTHTYPE_UNSPECIFIED
해당 사항 없음	metadata.event_type	상수: USER_LOGIN
해당 사항 없음	metadata.product_name	상수: Secure Access
해당 사항 없음	metadata.vendor_name	상수: Cisco
해당 사항 없음	network.application_protocol	상수: DNS
column22	event.idm.read_only_udm.principal.user.group_identifiers	변경 로그에서 매핑됨
column11	event.idm.read_only_udm.network.http.response_code	변경 로그에서 매핑됨
column16	event.idm.read_only_udm.security_result.category_details	변경 로그에서 매핑됨
column44	event.idm.read_only_udm.target.hostname	변경 로그에서 매핑됨
column44	event.idm.read_only_udm.target.asset.hostname	변경 로그에서 매핑됨
column25	event.idm.read_only_udm.principal.application	변경 로그에서 매핑됨
column8	event.idm.read_only_udm.target.url	변경 로그에서 매핑됨
column45	event.idm.read_only_udm.additional.fields	변경 로그에서 매핑됨
column22	event.idm.read_only_udm.additional.fields	변경 로그에서 매핑됨
column55	event.idm.read_only_udm.additional.fields	변경 로그에서 매핑됨
column33	event.idm.read_only_udm.additional.fields	변경 로그에서 매핑됨
column2	event.idm.read_only_udm.principal.hostname 및 event.idm.read_only_udm.principal.asset.hostname	변경 로그에서 매핑됨
column3	event.idm.read_only_udm.principal.hostname 및 event.idm.read_only_udm.principal.asset.hostname	변경 로그에서 매핑됨
column7	event.idm.read_only_udm.principal.hostname 및 event.idm.read_only_udm.principal.asset.hostname	변경 로그에서 매핑됨
column4	event.idm.read_only_udm.principal.ip 및 event.idm.read_only_udm.principal.asset.ip	변경 로그에서 매핑됨
column10	event.idm.read_only_udm.principal.ip 및 event.idm.read_only_udm.principal.asset.ip	변경 로그에서 매핑됨
column15	event.idm.read_only_udm.principal.ip 및 event.idm.read_only_udm.principal.asset.ip	변경 로그에서 매핑됨
column5	event.idm.read_only_udm.target.ip 및 event.idm.read_only_udm.target.asset.ip	변경 로그에서 매핑됨
column16	event.idm.read_only_udm.target.ip 및 event.idm.read_only_udm.target.asset.ip	변경 로그에서 매핑됨
column22	event.idm.read_only_udm.target.ip 및 event.idm.read_only_udm.target.asset.ip	변경 로그에서 매핑됨
column7	event.idm.read_only_udm.principal.user.userid	변경 로그에서 매핑됨
column43	event.idm.read_only_udm.principal.user.userid	변경 로그에서 매핑됨
column1	event.idm.read_only_udm.metadata.event_timestamp	변경 로그에서 매핑됨
column6	event.idm.read_only_udm.additional.fields	변경 로그에서 매핑됨
column8	event.idm.read_only_udm.additional.fields	변경 로그에서 매핑됨
column9	event.idm.read_only_udm.additional.fields	변경 로그에서 매핑됨
column10	event.idm.read_only_udm.additional.fields	변경 로그에서 매핑됨
column11	event.idm.read_only_udm.additional.fields	변경 로그에서 매핑됨
column13	event.idm.read_only_udm.additional.fields	변경 로그에서 매핑됨
column14	event.idm.read_only_udm.additional.fields	변경 로그에서 매핑됨
column16	event.idm.read_only_udm.additional.fields	변경 로그에서 매핑됨
column17	event.idm.read_only_udm.additional.fields	변경 로그에서 매핑됨
column18	event.idm.read_only_udm.additional.fields	변경 로그에서 매핑됨
column19	event.idm.read_only_udm.additional.fields	변경 로그에서 매핑됨
column23	event.idm.read_only_udm.additional.fields	변경 로그에서 매핑됨
column24	event.idm.read_only_udm.additional.fields	변경 로그에서 매핑됨
column25	event.idm.read_only_udm.additional.fields	변경 로그에서 매핑됨
column27	event.idm.read_only_udm.additional.fields	변경 로그에서 매핑됨
column28	event.idm.read_only_udm.additional.fields	변경 로그에서 매핑됨
column29	event.idm.read_only_udm.additional.fields	변경 로그에서 매핑됨
column32	event.idm.read_only_udm.additional.fields	변경 로그에서 매핑됨
column36	event.idm.read_only_udm.additional.fields	변경 로그에서 매핑됨
column42	event.idm.read_only_udm.additional.fields	변경 로그에서 매핑됨
column44	event.idm.read_only_udm.additional.fields	변경 로그에서 매핑됨
column46	event.idm.read_only_udm.additional.fields	변경 로그에서 매핑됨
column47	event.idm.read_only_udm.additional.fields	변경 로그에서 매핑됨
column48	event.idm.read_only_udm.additional.fields	변경 로그에서 매핑됨
column49	event.idm.read_only_udm.additional.fields	변경 로그에서 매핑됨
column50	event.idm.read_only_udm.additional.fields	변경 로그에서 매핑됨
column51	event.idm.read_only_udm.additional.fields	변경 로그에서 매핑됨
column52	event.idm.read_only_udm.additional.fields	변경 로그에서 매핑됨
column53	event.idm.read_only_udm.additional.fields	변경 로그에서 매핑됨
column54	event.idm.read_only_udm.additional.fields	변경 로그에서 매핑됨
column12	event.idm.read_only_udm.network.sent_bytes	변경 로그에서 매핑됨
column15	event.idm.read_only_udm.network.received_bytes	변경 로그에서 매핑됨
column2	event.idm.read_only_udm.principal.user.email_addresses	변경 로그에서 매핑됨
column20	event.idm.read_only_udm.network.session_id	변경 로그에서 매핑됨
column5	event.idm.read_only_udm.target.hostname 및 event.idm.read_only_udm.target.asset.hostname	변경 로그에서 매핑됨
column21	event.idm.read_only_udm.target.hostname 및 event.idm.read_only_udm.target.asset.hostname	변경 로그에서 매핑됨
column33	event.idm.read_only_udm.target.port	변경 로그에서 매핑됨
column34	event.idm.read_only_udm.network.ip_protocol	변경 로그에서 매핑됨
column26	event.idm.read_only_udm.metadata.product_log_id	변경 로그에서 매핑됨
column3	event.idm.read_only_udm.principal.user.user_display_name	변경 로그에서 매핑됨
column30	event.idm.read_only_udm.principal.asset.software	변경 로그에서 매핑됨
column31	event.idm.read_only_udm.principal.asset.product_object_id	변경 로그에서 매핑됨
column35	event.idm.read_only_udm.network.application_protocol	변경 로그에서 매핑됨
column4	event.idm.read_only_udm.principal.user.group_identifiers	변경 로그에서 매핑됨
column40	event.idm.read_only_udm.principal.process.pid	변경 로그에서 매핑됨
column41	event.idm.read_only_udm.principal.process.file.full_path	변경 로그에서 매핑됨
column57	event.idm.read_only_udm.intermediary	변경 로그에서 매핑됨
column7	event.idm.read_only_udm.principal.platform_version	변경 로그에서 매핑됨
column56	event.idm.read_only_udm.security_result.rule_name	변경 로그에서 매핑됨
column6	event.idm.read_only_udm.security_result.action	변경 로그에서 매핑됨
column45	event.idm.read_only_udm.principal.user.windows_sid	변경 로그에서 매핑됨
column12	event.idm.read_only_udm.principal.application	변경 로그에서 매핑됨

변경 로그

이 파서의 변경 로그 보기

도움이 더 필요하신가요? 커뮤니티 회원 및 Google SecOps 전문가에게 문의하여 답변을 받으세요.