Cisco Umbrella Cloud Firewall 로그 수집

파서 버전: 4.0

다음에서 지원:

이 문서에서는 Amazon S3를 사용하여 Cisco Umbrella Cloud Firewall 로그를 Google Security Operations로 수집하는 방법을 설명합니다.

Cisco Umbrella Cloud Firewall(CDFW)은 IP 주소, 포트, 프로토콜을 기반으로 네트워크 트래픽을 검사하고 제어하는 클라우드 제공 방화벽 보호를 제공합니다. CDFW는 IPsec 터널 또는 로밍 클라이언트를 통해 연결하는 사용자에 대해 방화벽 정책을 시행하여 악성 트래픽과 승인되지 않은 애플리케이션을 차단하는 동시에 패킷 수, 바이트 전송, 애플리케이션 식별, 상태 정보를 포함한 모든 방화벽 이벤트의 포괄적인 로깅을 통해 네트워크 활동에 대한 상세한 가시성을 제공합니다.

시작하기 전에

다음 기본 요건이 충족되었는지 확인합니다.

  • Google SecOps 인스턴스
  • 전체 관리자 역할로 Cisco Umbrella 콘솔에 대한 액세스 권한이 부여됨
  • AWS(S3, Identity and Access Management(IAM))에 대한 액세스 권한

S3 로그 내보내기를 위한 Cisco Umbrella 구성

Cisco Umbrella는 Cisco 관리 버킷과 자체 관리 버킷이라는 두 가지 S3 내보내기 옵션을 지원합니다. 이 가이드에서는 간소화된 설정을 위한 Cisco 관리 옵션을 다룹니다.

  1. https://dashboard.umbrella.com에서 Cisco Umbrella 대시보드에 로그인합니다.
  2. 관리자 > 로그 관리로 이동합니다.
  3. Amazon S3 섹션에서 Cisco 관리 Amazon S3 버킷 사용을 클릭합니다.
  4. 리전 선택 드롭다운에서 내 위치와 가장 가까운 AWS 리전을 선택합니다(사용 가능한 옵션: 미국 동부(버지니아 북부), 미국 서부(오리건), 유럽(아일랜드), 아시아 태평양(싱가포르), 아시아 태평양(시드니), 아시아 태평양(도쿄)). 버지니아), 미국 서부(오리건), EU(프랑크푸르트), AP(시드니)).

  5. 보관 기간 선택 드롭다운에서 원하는 보관 기간(7일, 14일 또는 30일)을 선택합니다.

  6. 저장을 클릭합니다.

  7. 계속을 클릭하여 구성을 확인합니다.

  8. Umbrella가 S3 버킷을 프로비저닝할 때까지 기다립니다. 완료되면 Amazon S3 요약 페이지가 표시됩니다.

  9. 다음 사용자 인증 정보를 복사하여 안전하게 저장합니다.

    • 액세스 키(액세스 필드에 표시됨)
    • 보안 비밀 키(보안 비밀 필드에 표시됨)
    • S3 URI(S3 URI 필드에 s3://cisco-managed-<region>/<organization-id>/ 형식으로 표시됨)

  10. 확인 체크박스를 선택합니다.

  11. 계속을 클릭합니다.

    Umbrella는 10분마다 gzip으로 압축된 CSV 형식으로 S3 버킷에 방화벽 로그를 업로드하기 시작합니다.

S3 버킷 폴더 구조

  • Umbrella는 다음 구조를 사용하여 S3 버킷의 Cloud Firewall 로그를 구성합니다.

    s3://cisco-managed-<region>/<organization-id>/firewalllogs/YYYY-MM-DD/YYYY-MM-DD-HH-MM-<xxxx>.csv.gz

    예를 들면 다음과 같습니다.

    s3://cisco-managed-us-west-2/1234567890/firewalllogs/2026-02-03/2026-02-03-14-30-0001.csv.gz

Google SecOps용 AWS S3 버킷 및 IAM 구성

Cisco에서 S3 버킷을 관리하므로 Google SecOps 수집을 위해 로그를 검색하려면 읽기 전용 액세스 권한이 있는 IAM 사용자를 만들어야 합니다.

  1. 이 사용자 가이드(IAM 사용자 만들기)에 따라 사용자를 만듭니다.
  2. 생성된 사용자를 선택합니다.
  3. 보안용 사용자 인증 정보 탭을 선택합니다.
  4. 액세스 키 섹션에서 액세스 키 만들기를 클릭합니다.
  5. 사용 사례로 서드 파티 서비스를 선택합니다.
  6. 다음을 클릭합니다.
  7. 선택사항: 설명 태그를 추가합니다.
  8. 액세스 키 만들기를 클릭합니다.
  9. .csv 파일 다운로드를 클릭하여 나중에 참조할 수 있도록 액세스 키와 보안 비밀 액세스 키를 저장합니다.
  10. 완료를 클릭합니다.
  11. 권한 탭을 선택합니다.
  12. I am going to provide a list of glossary for this session. Use these terms as references, but apply your own judgment based on the definitions provided. If a term doesn't fit the context, just ignore the suggestion.Source Term: Permissions PolicyThe definition is: A web platform mechanism that allows website developers to selectively enable, disable, and manage browser features and APIs across documents and iframes.Translation under this definition: 권한 정책
  13. 권한 추가를 선택합니다.
  14. 직접 정책 연결을 선택합니다.
  15. AmazonS3ReadOnlyAccess 정책을 검색합니다.
  16. 정책을 선택합니다.
  17. 다음을 클릭합니다.

  18. 권한 추가를 클릭합니다.

Cisco Umbrella Cloud Firewall 로그를 수집하도록 Google SecOps에서 피드 구성

  1. 설정 > 데이터 관리 > 피드로 이동합니다. SIEM 전용 플랫폼을 사용하는 경우 설정 > 피드로 이동합니다.
  2. 새 피드 추가를 클릭합니다.
  3. 다음 페이지에서 단일 피드 구성을 클릭합니다.
  4. 피드 이름에 고유한 이름을 입력합니다.
  5. 소스 유형으로 Amazon S3 V2를 선택합니다.
  6. 로그 유형으로 UMBRELLA_FIREWALL을 선택합니다.
  7. 다음을 클릭한 후 제출을 클릭합니다.

  8. 다음 필드의 값을 지정합니다.

    • S3 URI: Cisco Umbrella 구성의 9단계에서 확인한 S3 URI를 입력합니다(예: s3://cisco-managed-us-west-2/1234567890/firewalllogs/).

    • 소스 삭제 옵션: 전송된 파일 삭제 안함을 선택합니다.

    • 최대 파일 기간: 지난 며칠 동안 수정된 파일을 포함합니다 (기본값은 180일).

    • 액세스 키 ID: AWS IAM 구성의 9단계에서 액세스 키를 입력합니다.

    • 보안 비밀 액세스 키: AWS IAM 구성의 9단계에서 확인한 보안 비밀 키를 입력합니다.

    • 애셋 네임스페이스: 애셋 네임스페이스입니다.

    • 수집 라벨: 이 피드의 이벤트에 적용할 라벨입니다.

  9. 다음을 클릭한 후 제출을 클릭합니다.

UDM 매핑 테이블

로그 필드 UDM 매핑 로직
dns_question additional.fields dns_return_message_label에서 병합됨
daction security_result.action_details sec_action에서 직접 복사한 값
verdict, security_action security_result.action ALLOW/DENY/DROP/ALLOW_WITH_MODIFICATION인 경우 verdict의 값, 그렇지 않으면 ALLOW 또는 BLOCK에 매핑된 security_action의 값
ruleId, column20 security_result.rule_id ruleId의 값 또는 정수인 경우 column20의 값
verdict, pcdetails, tcdetails, phost, thost security_result.category_details 표준 조치에 없는 경우 verdict의 값, 특정 호스트 유형에 없는 경우 pcdetails, tcdetails, phost 또는 thost의 값
originId intermediary.resource.id 값이 직접 복사됨
ID intermediary.resource.name 값이 직접 복사됨
dataCenter intermediary.location.name 값이 직접 복사됨
intermediary intermediary 중간 객체에서 병합됨
metadata.event_type metadata.event_type 처음에는 'NETWORK_CONNECTION'으로 설정되고, has_principal이 true이고 has_target이 false이면 'STATUS_UPDATE'로 설정되고, 둘 다 false이면 'GENERIC_EVENT'로 설정됩니다.
내림차순 metadata.description 값이 직접 복사됨
proto network.ip_protocol ipProtocol이 1이면 'ICMP', 6이면 'TCP', 17이면 'UDP'로 설정된 값
packetSize, response_size network.received_bytes 방향이 INBOUND인 경우 packetSize의 값, 그렇지 않으면 response_size의 값
packetSize network.sent_bytes 방향이 OUTBOUND인 경우 packetSize의 값
direction network.direction BROADCAST/INBOUND/OUTBOUND인 경우 값이 직접 복사됨
http_method network.http.method 값이 직접 복사됨
http_reponse_code network.http.response_code http_reponse_code에서 정수로 변환됨
usr_agent network.http.user_agent 값이 직접 복사됨
refer_url network.http.referral_url 값이 직접 복사됨
dns_question network.dns.questions dns_question에서 병합됨
response_code network.dns.response_code response_code 매핑에서 숫자 코드로 변환됨
principal_ip, principalip, sourceIp, _internalip, _externalip principal.ip IP인 경우 principal_ip(direction)의 값, IP인 경우 principalip(packetSize)의 값, sourceIp, IP인 경우 _internalip, IP이고 다른 경우 _externalip
principal_ip, principalip, sourceIp, _internalip, _externalip principal.asset.ip IP인 경우 principal_ip(direction)의 값, IP인 경우 principalip(packetSize)의 값, sourceIp, IP인 경우 _internalip, IP이고 다른 경우 _externalip
sourcePort principal.port 값이 직접 복사됨
prin_host, phost principal.hostname 특정 유형인 경우 prin_host의 값, 그렇지 않고 특정 유형인 경우 phost의 값
phost principal.asset.hostname 특정 호스트 유형인 경우 값이 직접 복사됨
organization_id_label, most_granular_identity_label principal.asset.attribute.labels organization_id_label 및 most_granular_identity_label에서 병합됨
destinationIp target.ip 값이 직접 복사됨
destinationIp target.asset.ip 값이 직접 복사됨
destinationPort target.port destinationPort에서 정수로 변환됨
target_host, thost target.hostname 특정 유형인 경우 target_host의 값, 그렇지 않고 특정 유형인 경우 thost의 값
thost target.asset.hostname 특정 호스트 유형인 경우 값이 직접 복사됨
target_url target.url 값이 직접 복사됨
granular_identity_label target.asset.attribute.labels granular_identity_label에서 병합됨
metadata.vendor_name "Cisco"로 설정
metadata.product_name 'Umbrella Cloud Firewall'로 설정합니다.
http_response_code network.http.response_code 변경 로그에서 매핑됨
rule_Id security_result.rule_id 변경 로그에서 매핑됨
sec_description security_result.description 변경 로그에서 매핑됨
intermediary_hostname intermediary.hostname 변경 로그에서 매핑됨
dns_rrtype network.dns.questions 변경 로그에서 매핑됨
principal_host principal.hostname 변경 로그에서 매핑됨

변경 로그

이 파서의 변경 로그 보기

도움이 더 필요하신가요? 커뮤니티 회원 및 Google SecOps 전문가에게 문의하여 답변을 받으세요.