Raccogli i log di Cisco Umbrella Cloud Firewall

Versione parser: 4.0

Supportato in:

Questo documento spiega come importare i log di Cisco Umbrella Cloud Firewall in Google Security Operations utilizzando Amazon S3.

Cisco Umbrella Cloud Firewall (CDFW) fornisce una protezione firewall basata su cloud che ispeziona e controlla il traffico di rete in base a indirizzi IP, porte e protocolli. CDFW applica le norme firewall per gli utenti che si connettono tramite tunnel IPsec o client in roaming, bloccando il traffico dannoso e le applicazioni non autorizzate, fornendo al contempo una visibilità dettagliata dell'attività di rete con la registrazione completa di tutti gli eventi firewall, inclusi conteggi dei pacchetti, trasferimenti di byte, identificazione delle applicazioni e informazioni sulla postura.

Prima di iniziare

Assicurati di soddisfare i seguenti prerequisiti:

  • Un'istanza Google SecOps
  • Accesso con privilegi alla console Cisco Umbrella con il ruolo Amministratore completo
  • Accesso privilegiato ad AWS (S3, Identity and Access Management (IAM))

Configurare Cisco Umbrella per l'esportazione dei log S3

Cisco Umbrella supporta due opzioni di esportazione S3: bucket gestiti da Cisco e bucket autogestiti. Questa guida illustra l'opzione gestita da Cisco per una configurazione semplificata.

  1. Accedi alla dashboard di Cisco Umbrella all'indirizzo https://dashboard.umbrella.com
  2. Vai ad Amministratore > Gestione log.
  3. Nella sezione Amazon S3, fai clic su Utilizza un bucket Amazon S3 gestito da Cisco.
  4. Nel menu a discesa Seleziona una regione, seleziona la regione AWS più vicina alla tua posizione (opzioni disponibili: US East (N. Virginia), Stati Uniti occidentali (Oregon), Europa (Francoforte), Asia Pacifico (Sydney)).

  5. Nel menu a discesa Seleziona una durata di conservazione, seleziona il periodo di conservazione che preferisci (7 giorni, 14 giorni o 30 giorni).

  6. Fai clic su Salva.

  7. Fai clic su Continua per confermare la configurazione.

  8. Attendi che Umbrella esegua il provisioning del bucket S3. Al termine, viene visualizzata la pagina Riepilogo Amazon S3.

  9. Copia e salva in modo sicuro le seguenti credenziali:

    • Chiave di accesso (visualizzata nel campo Accesso)
    • Chiave segreta (visualizzata nel campo Secret)
    • URI S3 (visualizzato nel campo URI S3, nel formato s3://cisco-managed-<region>/<organization-id>/)

  10. Seleziona la casella di controllo Ok.

  11. Fai clic su Continua.

    Umbrella inizia a caricare i log del firewall nel bucket S3 ogni 10 minuti in formato CSV compresso.

Struttura delle cartelle del bucket S3

  • Umbrella organizza i log di Cloud Firewall nel bucket S3 utilizzando la seguente struttura:

    s3://cisco-managed-<region>/<organization-id>/firewalllogs/YYYY-MM-DD/YYYY-MM-DD-HH-MM-<xxxx>.csv.gz

    Ad esempio:

    s3://cisco-managed-us-west-2/1234567890/firewalllogs/2026-02-03/2026-02-03-14-30-0001.csv.gz

Configura il bucket AWS S3 e IAM per Google SecOps

Poiché Cisco gestisce il bucket S3, devi creare un utente IAM con accesso in sola lettura per recuperare i log per l'importazione di Google SecOps.

  1. Crea un utente seguendo questa guida utente: Creazione di un utente IAM.
  2. Seleziona l'utente creato.
  3. Seleziona la scheda Credenziali di sicurezza.
  4. Fai clic su Crea chiave di accesso nella sezione Chiavi di accesso.
  5. Seleziona Servizio di terze parti come Caso d'uso.
  6. Fai clic su Avanti.
  7. (Facoltativo) Aggiungi un tag di descrizione.
  8. Fai clic su Crea chiave di accesso.
  9. Fai clic su Scarica file .csv per salvare la chiave di accesso e la chiave di accesso segreta per riferimento futuro.
  10. Fai clic su Fine.
  11. Seleziona la scheda Autorizzazioni.
  12. Fai clic su Aggiungi autorizzazioni nella sezione Criteri di autorizzazione.
  13. Seleziona Aggiungi autorizzazioni.
  14. Seleziona Allega direttamente le norme.
  15. Cerca la policy AmazonS3ReadOnlyAccess.
  16. Seleziona la policy.
  17. Fai clic su Avanti.

  18. Fai clic su Aggiungi autorizzazioni.

Configura un feed in Google SecOps per importare i log del firewall cloud Cisco Umbrella

  1. Vai a Impostazioni SIEM > Feed.
  2. Fai clic su Aggiungi nuovo feed.
  3. Nella pagina successiva, fai clic su Configura un singolo feed.
  4. Inserisci un nome univoco per il nome feed.
  5. Seleziona Amazon S3 V2 come Tipo di origine.
  6. Seleziona UMBRELLA_FIREWALL come Tipo di log.
  7. Fai clic su Avanti e poi su Invia.

  8. Specifica i valori per i seguenti campi:

    • URI S3: inserisci l'URI S3 del passaggio 9 della configurazione di Cisco Umbrella (ad esempio, s3://cisco-managed-us-west-2/1234567890/firewalllogs/).

    • Opzione di eliminazione dell'origine: seleziona Non eliminare i file trasferiti.

    • Età massima file: includi i file modificati nell'ultimo numero di giorni (il valore predefinito è 180 giorni).

    • ID chiave di accesso: inserisci la chiave di accesso del passaggio 9 della configurazione di AWS IAM.

    • Chiave di accesso segreta: inserisci la chiave segreta del passaggio 9 della configurazione di AWS IAM.

    • Spazio dei nomi dell'asset: lo spazio dei nomi dell'asset.

    • Etichette di importazione: l'etichetta da applicare agli eventi di questo feed.

  9. Fai clic su Avanti e poi su Invia.

Tabella di mappatura UDM

Campo log Mappatura UDM Logica
dns_question additional.fields Unito da dns_return_message_label
dazione security_result.action_details Valore copiato direttamente da sec_action
verdict, security_action security_result.action Valore del verdetto se in ALLOW/DENY/DROP/ALLOW_WITH_MODIFICATION, altrimenti da security_action mappato su ALLOW o BLOCK
ruleId, column20 security_result.rule_id Valore di ruleId o di column20 se è un numero intero
verdict, pcdetails, tcdetails, phost, thost security_result.category_details Valore del verdetto se non presente nelle azioni standard, altrimenti da pcdetails, tcdetails, phost o thost se non presente in tipi di host specifici
originId intermediary.resource.id Valore copiato direttamente
identity intermediary.resource.name Valore copiato direttamente
dataCenter intermediary.location.name Valore copiato direttamente
intermediario intermediario Unito dall'oggetto intermediario
metadata.event_type metadata.event_type Impostato inizialmente su "NETWORK_CONNECTION", poi su "STATUS_UPDATE" se has_principal è true e has_target è false, altrimenti su "GENERIC_EVENT" se entrambi sono false
decr metadata.description Valore copiato direttamente
proto network.ip_protocol Il valore è impostato su "ICMP" se ipProtocol è 1, su "TCP" se è 6 e su "UDP" se è 17.
packetSize, response_size network.received_bytes Valore di packetSize se la direzione è IN ENTRATA o di response_size
packetSize network.sent_bytes Valore di packetSize se la direzione è OUTBOUND
direction network.direction Valore copiato direttamente se in BROADCAST/INBOUND/OUTBOUND
http_method network.http.method Valore copiato direttamente
http_reponse_code network.http.response_code Convertito in numero intero da http_reponse_code
usr_agent network.http.user_agent Valore copiato direttamente
refer_url network.http.referral_url Valore copiato direttamente
dns_question network.dns.questions Unito da dns_question
response_code network.dns.response_code Convertito in codice numerico dai mapping response_code
principal_ip, principalip, sourceIp, _internalip, _externalip principal.ip Valore di principal_ip (direction) se IP, altrimenti principalip (packetSize) se IP, altrimenti sourceIp, altrimenti _internalip se IP, altrimenti _externalip se IP e diverso
principal_ip, principalip, sourceIp, _internalip, _externalip principal.asset.ip Valore di principal_ip (direction) se IP, altrimenti principalip (packetSize) se IP, altrimenti sourceIp, altrimenti _internalip se IP, altrimenti _externalip se IP e diverso
sourcePort principal.port Valore copiato direttamente
prin_host, phost principal.hostname Valore di prin_host se in tipi specifici, altrimenti di phost se in tipi specifici
phost principal.asset.hostname Valore copiato direttamente se in tipi di host specifici
organization_id_label, most_granular_identity_label principal.asset.attribute.labels Unito da organization_id_label e most_granular_identity_label
destinationIp target.ip Valore copiato direttamente
destinationIp target.asset.ip Valore copiato direttamente
destinationPort target.port Convertito in numero intero da destinationPort
target_host, thost target.hostname Valore di target_host se in tipi specifici, altrimenti di thost se in tipi specifici
thost target.asset.hostname Valore copiato direttamente se in tipi di host specifici
target_url target.url Valore copiato direttamente
granular_identity_label target.asset.attribute.labels Unito da granular_identity_label
metadata.vendor_name Impostato su "Cisco"
metadata.product_name Impostato su "Umbrella Cloud Firewall"
http_response_code network.http.response_code Mappato dal log delle modifiche
rule_Id security_result.rule_id Mappato dal log delle modifiche
sec_description security_result.description Mappato dal log delle modifiche
intermediary_hostname intermediary.hostname Mappato dal log delle modifiche
dns_rrtype network.dns.questions Mappato dal log delle modifiche
principal_host principal.hostname Mappato dal log delle modifiche

Log delle modifiche

Visualizza il log delle modifiche per questo parser

Hai bisogno di ulteriore assistenza? Ricevi risposte dai membri della community e dai professionisti di Google SecOps.