Cisco Umbrella Cloud Firewall-Logs erfassen

Parserversion: 4.0

Unterstützt in:

In diesem Dokument wird beschrieben, wie Sie Cisco Umbrella Cloud Firewall-Logs mit Amazon S3 in Google Security Operations aufnehmen.

Die Cisco Umbrella Cloud Firewall (CDFW) bietet einen cloudbasierten Firewallschutz, der den Netzwerkverkehr anhand von IP-Adressen, Ports und Protokollen prüft und steuert. Die CDFW setzt Firewall-Richtlinien für Nutzer durch, die sich über IPsec-Tunnel oder Roaming-Clients verbinden. Sie blockiert schädlichen Traffic und nicht autorisierte Anwendungen und bietet gleichzeitig detaillierte Einblicke in die Netzwerkaktivität mit umfassendem Logging aller Firewall-Ereignisse, einschließlich Paketanzahl, Byteübertragungen, Anwendungsidentifikation und Statusinformationen.

Hinweis

Prüfen Sie, ob folgende Voraussetzungen erfüllt sind:

  • Eine Google SecOps-Instanz
  • Privilegierter Zugriff auf die Cisco Umbrella-Konsole mit der Rolle „Full Admin“
  • Privilegierter Zugriff auf AWS (S3, Identity and Access Management (IAM))

Cisco Umbrella für den S3-Logexport konfigurieren

Cisco Umbrella unterstützt zwei S3-Exportoptionen: von Cisco verwaltete Buckets und selbstverwaltete Buckets. In diesem Leitfaden wird die von Cisco verwaltete Option für eine vereinfachte Einrichtung beschrieben.

  1. Melden Sie sich unter https://dashboard.umbrella.com im Cisco Umbrella-Dashboard an.
  2. Gehen Sie zu Verwaltung > Protokollverwaltung.
  3. Klicken Sie im Abschnitt Amazon S3 auf Von Cisco verwalteten Amazon S3-Bucket verwenden.
  4. Wählen Sie im Drop-down-Menü Region auswählen die AWS-Region aus, die Ihrem Standort am nächsten ist (verfügbare Optionen: US East (N. Virginia), US West (Oregon), EU (Frankfurt), AP (Sydney)).

  5. Wählen Sie im Drop-down-Menü Aufbewahrungsdauer auswählen die gewünschte Aufbewahrungsdauer aus (7 Tage, 14 Tage oder 30 Tage).

  6. Klicken Sie auf Speichern.

  7. Klicken Sie auf Weiter, um die Konfiguration zu bestätigen.

  8. Warten Sie, bis Umbrella den S3-Bucket bereitgestellt hat. Nach Abschluss wird die Seite Amazon S3-Zusammenfassung angezeigt.

  9. Kopieren Sie die folgenden Anmeldedaten und speichern Sie sie sicher:

    • Zugriffsschlüssel (wird im Feld Zugriff angezeigt)
    • Geheimer Schlüssel (wird im Feld Secret angezeigt)
    • S3-URI (wird im Feld S3-URI im Format s3://cisco-managed-<region>/<organization-id>/ angezeigt)
    rotieren.

  10. Klicken Sie das Kästchen Verstanden an.

  11. Klicken Sie auf Weiter.

    Umbrella beginnt alle 10 Minuten mit dem Hochladen von Firewall-Logs in den S3-Bucket im gzippten CSV-Format.

Ordnerstruktur des S3-Buckets

  • Umbrella organisiert Cloud Firewall-Logs im S3-Bucket mit der folgenden Struktur:

    s3://cisco-managed-<region>/<organization-id>/firewalllogs/YYYY-MM-DD/YYYY-MM-DD-HH-MM-<xxxx>.csv.gz

    Beispiel:

    s3://cisco-managed-us-west-2/1234567890/firewalllogs/2026-02-03/2026-02-03-14-30-0001.csv.gz

AWS S3-Bucket und IAM für Google SecOps konfigurieren

Da Cisco den S3-Bucket verwaltet, müssen Sie einen IAM-Nutzer mit Lesezugriff erstellen, um Logs für die Google SecOps-Aufnahme abzurufen.

  1. Erstellen Sie einen Nutzer, indem Sie diesem Nutzerhandbuch folgen: IAM-Nutzer erstellen.
  2. Wählen Sie den erstellten Nutzer aus.
  3. Wählen Sie den Tab Sicherheitsanmeldedaten aus.
  4. Klicken Sie im Bereich Access Keys (Zugriffsschlüssel) auf Create Access Key (Zugriffsschlüssel erstellen).
  5. Wählen Sie Drittanbieterdienst als Anwendungsfall aus.
  6. Klicken Sie auf Weiter.
  7. Optional: Fügen Sie ein Beschreibungs-Tag hinzu.
  8. Klicken Sie auf Zugriffsschlüssel erstellen.
  9. Klicken Sie auf CSV-Datei herunterladen, um den Zugriffsschlüssel und den geheimen Zugriffsschlüssel für die spätere Verwendung zu speichern.
  10. Klicken Sie auf Fertig.
  11. Wählen Sie den Tab Berechtigungen aus.
  12. Klicken Sie im Bereich Berechtigungsrichtlinien auf Berechtigungen hinzufügen.
  13. Wählen Sie Berechtigungen hinzufügen aus.
  14. Wählen Sie Richtlinien direkt anhängen aus.
  15. Suchen Sie nach der Richtlinie AmazonS3ReadOnlyAccess.
  16. Wählen Sie die Richtlinie aus.
  17. Klicken Sie auf Weiter.

  18. Klicken Sie auf Berechtigungen hinzufügen.

Feed in Google SecOps konfigurieren, um Cisco Umbrella Cloud Firewall-Logs aufzunehmen

  1. Rufen Sie die Einstellungen > Datenverwaltung > Feeds auf. Wenn Sie eine reine SIEM-Plattform verwenden, rufen Sie die Einstellungen > Feeds auf.
  2. Klicken Sie auf Neuen Feed hinzufügen.
  3. Klicken Sie auf der nächsten Seite auf Einzelnen Feed konfigurieren.
  4. Geben Sie einen eindeutigen Feednamen ein.
  5. Wählen Sie als Quelltyp Amazon S3 V2 aus.
  6. Wählen Sie UMBRELLA_FIREWALL als Logtyp aus.
  7. Klicken Sie auf Weiter und dann auf Senden.

  8. Geben Sie Werte für die folgenden Felder an:

    • S3-URI: Geben Sie den S3-URI aus Schritt 9 der Cisco Umbrella-Konfiguration ein (z. B. s3://cisco-managed-us-west-2/1234567890/firewalllogs/).

    • Option zum Löschen der Quelle: Wählen Sie Übertragene Dateien nicht löschen aus.

    • Maximales Dateialter: Dateien einschließen, die in den letzten Tagen geändert wurden (Standardwert: 180 Tage).

    • Zugriffsschlüssel-ID: Geben Sie den Zugriffsschlüssel aus Schritt 9 der AWS IAM-Konfiguration ein.

    • Geheimer Zugriffsschlüssel: Geben Sie den geheimen Schlüssel aus Schritt 9 der AWS IAM-Konfiguration ein.

    • Asset-Namespace: Der Asset-Namespace.

    • Aufnahmelabels: Das Label, das auf die Ereignisse aus diesem Feed angewendet werden soll.

  9. Klicken Sie auf Weiter und dann auf Senden.

UDM-Zuordnungstabelle

Logfeld UDM-Zuordnung Logik
dns_question additional.fields Merged from dns_return_message_label
daction security_result.action_details Wert direkt aus sec_action kopiert
verdict, security_action security_result.action Wert aus dem Urteil, wenn in ALLOW/DENY/DROP/ALLOW_WITH_MODIFICATION, andernfalls aus security_action, zugeordnet zu ALLOW oder BLOCK
ruleId, column20 security_result.rule_id Wert aus „ruleId“ oder aus „column20“, wenn es sich um eine Ganzzahl handelt
verdict, pcdetails, tcdetails, phost, thost security_result.category_details Wert aus dem Urteil, wenn nicht in Standardaktionen, andernfalls aus pcdetails oder tcdetails oder phost oder thost, wenn nicht in bestimmten Hosttypen
originId intermediary.resource.id Wert direkt kopiert
identity intermediary.resource.name Wert direkt kopiert
dataCenter intermediary.location.name Wert direkt kopiert
intermediary intermediary Aus Zwischenobjekt zusammengeführt
metadata.event_type metadata.event_type Anfänglich auf „NETWORK_CONNECTION“ festgelegt, dann auf „STATUS_UPDATE“, wenn „has_principal“ „true“ und „has_target“ „false“ ist, andernfalls auf „GENERIC_EVENT“, wenn beide „false“ sind
Ab metadata.description Wert direkt kopiert
Proto network.ip_protocol Wert auf „ICMP“ gesetzt, wenn ipProtocol 1, „TCP“, wenn 6, „UDP“, wenn 17
packetSize, response_size network.received_bytes Wert aus „packetSize“, wenn die Richtung INBOUND ist, oder aus „response_size“
packetSize network.sent_bytes Wert aus „packetSize“, wenn die Richtung OUTBOUND ist
direction network.direction Wert wird direkt kopiert, wenn er in BROADCAST/INBOUND/OUTBOUND enthalten ist
http_method network.http.method Wert direkt kopiert
http_reponse_code network.http.response_code Aus http_reponse_code in Ganzzahl konvertiert
usr_agent network.http.user_agent Wert direkt kopiert
refer_url network.http.referral_url Wert direkt kopiert
dns_question network.dns.questions Aus dns_question zusammengeführt
response_code network.dns.response_code Aus response_code-Zuordnungen in numerischen Code konvertiert
principal_ip, principalip, sourceIp, _internalip, _externalip principal.ip Wert aus principal_ip (direction), wenn IP, sonst principalip (packetSize), wenn IP, sonst sourceIp, sonst _internalip, wenn IP, sonst _externalip, wenn IP und unterschiedlich
principal_ip, principalip, sourceIp, _internalip, _externalip principal.asset.ip Wert von principal_ip (Richtung), wenn IP, sonst principalip (packetSize), wenn IP, sonst sourceIp, sonst _internalip, wenn IP, sonst _externalip, wenn IP und unterschiedlich
sourcePort principal.port Wert direkt kopiert
prin_host, phost principal.hostname Wert aus „prin_host“, wenn in bestimmten Typen, andernfalls aus „phost“, wenn in bestimmten Typen
phost principal.asset.hostname Wert wird direkt kopiert, wenn er in bestimmten Hosttypen enthalten ist
organization_id_label, most_granular_identity_label principal.asset.attribute.labels Zusammengeführt aus organization_id_label und most_granular_identity_label
destinationIp target.ip Wert direkt kopiert
destinationIp target.asset.ip Wert direkt kopiert
destinationPort target.port Aus destinationPort in Ganzzahl konvertiert
target_host, thost target.hostname Wert aus target_host, wenn in bestimmten Typen, andernfalls aus thost, wenn in bestimmten Typen
thost target.asset.hostname Wert wird direkt kopiert, wenn er in bestimmten Hosttypen enthalten ist
target_url target.url Wert direkt kopiert
granular_identity_label target.asset.attribute.labels Aus granular_identity_label zusammengeführt
metadata.vendor_name Legen Sie diesen Wert auf „Cisco“ fest.
metadata.product_name Auf „Umbrella Cloud Firewall“ festgelegt
http_response_code network.http.response_code Aus Änderungsprotokoll zugeordnet
rule_Id security_result.rule_id Aus Änderungsprotokoll zugeordnet
sec_description security_result.description Aus Änderungsprotokoll zugeordnet
intermediary_hostname intermediary.hostname Aus Änderungsprotokoll zugeordnet
dns_rrtype network.dns.questions Aus Änderungsprotokoll zugeordnet
principal_host principal.hostname Aus Änderungsprotokoll zugeordnet

Änderungsprotokoll

Änderungsprotokoll für diesen Parser ansehen

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten