Raccogli i log IP di Cisco Umbrella

Versione parser: 8.0

Supportata in:

Questo documento spiega come importare i log IP di Cisco Umbrella in Google Security Operations utilizzando Amazon S3.

Cisco Umbrella è un servizio di sicurezza fornito tramite cloud che offre la prima linea di difesa contro le minacce su internet. I log IP (Cloud Firewall) acquisiscono il traffico di rete gestito dai tunnel di rete Umbrella, inclusi indirizzi IP di origine e destinazione, porte, protocolli, azioni intraprese e identità associate. Questi log vengono esportati come file CSV compressi in formato gzip su Amazon S3 ogni 10 minuti.

Prima di iniziare

Assicurati di soddisfare i seguenti prerequisiti:

  • Un'istanza Google SecOps
  • Accesso con privilegi alla console Cisco Umbrella (ruolo di amministratore)
  • Accesso privilegiato ad AWS (S3, IAM)

Configura l'esportazione dei log di Cisco Umbrella in S3

Per configurare Cisco Umbrella in modo che esporti i log IP in S3, segui questi passaggi:

  1. Accedi alla dashboard di Umbrella all'indirizzo https://dashboard.umbrella.com.
  2. Vai ad Amministratore > Gestione dei log.
  3. Nella pagina Log Management (Gestione log), individua la sezione Amazon S3.
  4. Fai clic su Aggiungi per configurare l'esportazione S3.

  5. Nella finestra di dialogo Configurazione Amazon S3, seleziona una delle seguenti opzioni:

    • Bucket S3 gestito da Cisco: Cisco crea e gestisce il bucket S3 per te. Cisco fornisce le credenziali AWS per accedere al bucket.
    • Bucket S3 gestito dal cliente: fornisci i dettagli del tuo bucket S3 e le credenziali AWS.

  6. Per questa guida, seleziona Bucket S3 gestito da Cisco (opzione consigliata per una configurazione più semplice).

  7. Nella sezione Tipi di log, seleziona la casella di controllo Log IP (log di Cloud Firewall).

  8. Se necessario, puoi anche selezionare altri tipi di log:

    • Log DNS
    • Log del proxy
    • Log di prevenzione delle intrusioni
    • Log di Cloud Data Loss Prevention

  9. Nel menu a discesa Data center, seleziona la regione AWS più vicina alla tua località o seleziona Tutti i data center per esportare i log da tutte le regioni.

  10. Fai clic su Salva.

  11. Dopo il salvataggio, Umbrella visualizza la sezione AWS Credentials (Credenziali AWS) con le seguenti informazioni:

    • Nome bucket S3 (ad esempio, umbrella-logs-1234567890)
    • Percorso S3 (ad esempio, 2024-01-15/)
    • ID chiave di accesso AWS
    • AWS Secret Access Key
    • Regione AWS

  12. Fai clic su Scarica credenziali per salvare queste credenziali come file CSV per riferimento futuro.

Configura il bucket AWS S3 e IAM per Google SecOps

Se nella sezione precedente hai selezionato Bucket S3 gestito da Cisco, Cisco ha già creato il bucket S3 e fornito le credenziali AWS. Puoi passare alla sezione "Configura un feed in Google SecOps" di seguito.

Se hai selezionato Bucket S3 gestito dal cliente, segui questi passaggi:

  1. Crea un bucket Amazon S3 seguendo questa guida dell'utente: Creazione di un bucket.
  2. Salva il nome e la regione del bucket per riferimento futuro (ad esempio, umbrella-logs-custom).
  3. Crea un utente seguendo questa guida dell'utente: Creazione di un utente IAM.
  4. Seleziona l'utente creato.
  5. Seleziona la scheda Credenziali di sicurezza.
  6. Fai clic su Crea chiave di accesso nella sezione Chiavi di accesso.
  7. Seleziona Servizio di terze parti come Caso d'uso.
  8. Fai clic su Avanti.
  9. (Facoltativo) Aggiungi un tag di descrizione.
  10. Fai clic su Crea chiave di accesso.
  11. Fai clic su Scarica file .csv per salvare la chiave di accesso e la chiave di accesso segreta per riferimento futuro.
  12. Fai clic su Fine.
  13. Seleziona la scheda Autorizzazioni.
  14. Fai clic su Aggiungi autorizzazioni nella sezione Policy sulle autorizzazioni.
  15. Seleziona Aggiungi autorizzazioni.
  16. Seleziona Collega direttamente i criteri.
  17. Cerca la policy AmazonS3FullAccess.
  18. Seleziona la policy.
  19. Fai clic su Avanti.
  20. Fai clic su Aggiungi autorizzazioni.

Configura la connessione al bucket S3 gestito dal cliente di Cisco Umbrella

Se hai selezionato Cisco-managed S3 Bucket (Bucket S3 gestito da Cisco), salta questa sezione.

Se hai selezionato Bucket S3 gestito dal cliente, segui questi passaggi:

  1. Dalla pagina Log Management (Gestione log) (continuando dalla sezione "Configura l'esportazione dei log di Cisco Umbrella in S3"), dovresti trovarti nella finestra di dialogo Amazon S3 Configuration (Configurazione di Amazon S3).

  2. Nella sezione Bucket S3 gestito dal cliente, inserisci quanto segue:

    • Nome bucket S3: inserisci il nome del bucket che hai creato (ad esempio umbrella-logs-custom).
    • S3 Path (facoltativo): inserisci un prefisso per organizzare i log (ad esempio, umbrella-ip-logs/).
    • ID chiave di accesso AWS: inserisci la chiave di accesso del passaggio 11 della configurazione di AWS.
    • AWS Secret Access Key: inserisci la chiave segreta del passaggio 11 della configurazione di AWS.
    • Regione AWS: seleziona dal menu a discesa la regione corrispondente al tuo bucket S3.

  3. Nella sezione Tipi di log, seleziona la casella di controllo Log IP (log di Cloud Firewall).

  4. Fai clic sul pulsante Test Connection (Verifica connessione).

  5. Attendi il completamento del test. Dovrebbe essere visualizzato un segno di spunta verde con il messaggio "Connessione riuscita".

  6. Fai clic su Salva.

  7. Nella pagina Gestione log, verifica che nella sezione Amazon S3 sia visualizzato Stato: attivo e che in Ultima esportazione sia visualizzato un timestamp recente.

Configura un feed in Google SecOps per importare i log IP di Cisco Umbrella

  1. Vai a Impostazioni > Gestione dei dati > Feed. Se utilizzi una piattaforma solo SIEM, vai a Impostazioni > Feed.
  2. Fai clic su Aggiungi nuovo feed.
  3. Nella pagina successiva, fai clic su Configura un singolo feed.
  4. Inserisci un nome univoco per il Nome feed (ad esempio Umbrella IP Logs).
  5. Seleziona Amazon S3 V2 come Tipo di origine.
  6. Seleziona Umbrella IP come Tipo di log.
  7. Fai clic su Avanti e poi su Invia.

  8. Specifica i valori per i seguenti campi:

    • URI S3: inserisci l'URI S3 nel formato: s3://<bucket-name>/<path>/

      • Per il bucket gestito da Cisco: utilizza il nome del bucket S3 e il percorso S3 del passaggio 11 di "Configura l'esportazione dei log di Cisco Umbrella in S3" (ad esempio, s3://umbrella-logs-1234567890/2024-01-15/).
      • Per il bucket gestito dal cliente: utilizza il nome e il percorso del bucket (ad esempio s3://umbrella-logs-custom/umbrella-ip-logs/).

    • Opzione di eliminazione dell'origine: seleziona Non eliminare i file trasferiti (opzione consigliata per conservare i log in S3).

    • Età massima del file: includi i file modificati negli ultimi giorni (il valore predefinito è 180 giorni).

    • ID chiave di accesso: inserisci l'ID chiave di accesso AWS del passaggio 11 di "Configura l'esportazione dei log di Cisco Umbrella in S3" (per il bucket gestito da Cisco) o del passaggio 11 della configurazione di AWS (per il bucket gestito dal cliente).

    • Chiave di accesso segreta: inserisci la chiave di accesso segreta AWS del passaggio 11 di "Configura l'esportazione dei log di Cisco Umbrella in S3" (per il bucket gestito da Cisco) o del passaggio 11 della configurazione di AWS (per il bucket gestito dal cliente).

    • Spazio dei nomi dell'asset: lo spazio dei nomi dell'asset.

    • Etichette di importazione: l'etichetta da applicare agli eventi di questo feed (ad esempio UMBRELLA_IP).

  9. Fai clic su Avanti e poi su Invia.

Tabella di mappatura UDM

Campo log Mappatura UDM Logica
query_name about.labels Unito da query_name_label (chiave: Ricerca DNS, valore: query_name)
response_code additional.fields Unito da dns_return_message (chiave: dns_return_message, valore: response_code)
applicazione intermediario Unito da intermediary.application
categorie metadata.description Imposta sul valore delle categorie, se presente, altrimenti su "DNS request and response were made." (Sono state effettuate richieste e risposte DNS).
metadata.event_type Impostato su NETWORK_CONNECTION per i log IP, NETWORK_HTTP se sono presenti destip e internal/external, STATUS_UPDATE se è presente principal ma non target, GENERIC_EVENT in caso contrario o NETWORK_DNS per i log DNS
metadata.product_name Imposta su "Cisco Umbrella" per i log del proxy, "Cisco Umbrella IP Layer Enforcement" per i log IP
metadata.vendor_name Imposta su "Cisco" per i log del proxy, "Cisco Systems, Inc" per i log IP
appProto, url network.application_protocol Estratto dall'URL utilizzando il pattern grok, in maiuscolo o impostato su DNS per i log DNS
domanda network.dns.questions Unito dalla domanda (nome dal dominio, tipo da query_type)
response_code network.dns.response_code Convertito da response_code utilizzando la mappatura enum in un numero intero
requestMethod network.http.method Valore di requestMethod, in lettere maiuscole
userAgent network.http.parsed_user_agent Conversione da userAgent a parseduseragent
referer network.http.referral_url Valore copiato direttamente
statusCode network.http.response_code Convertito in numero intero
userAgent network.http.user_agent Valore copiato direttamente
network.ip_protocol Imposta su "TCP"
responseSize network.received_bytes Convertito in uinteger
requestSize network.sent_bytes Convertito in uinteger
identity principal.hostname Valore copiato direttamente
internal_ip, external_ip, source_ip principal.ip Valore di internal_ip se l'IP è valido, altrimenti external_ip se è diverso da internalIp e l'IP è valido, altrimenti source_ip
source_port principal.port Convertito in numero intero
sha security_result.about.file.sha256 Valore copiato direttamente
sec_action, action, security_result_action security_result.action Imposta su BLOCK se le categorie non sono vuote o su ALLOW/BLOCK in base all'azione o su ALLOW/BLOCK in base a security_result_action
sec_category, category, security_category security_result.category Impostato su ACL_VIOLATION se le categorie sono "Unauthorized IP Tunnel Access", SOFTWARE_MALICIOUS se "Malware", NETWORK_SUSPICIOUS altrimenti, o NETWORK_CATEGORIZED_CONTENT, o NETWORK_MALICIOUS/NETWORK_SUSPICIOUS in base alle categorie nel DNS
categorie security_result.category_details Trasformato in array dalle categorie
responseBodySize, avDetections, puas, ampDisposition, ampMalware, ampScore, certificateErrors, destinationListID, isolateAction, fileAction, warnstatus, dlpstatus, contentType, verdict, rulesetID security_result.detection_fields Unione di varie etichette create da ogni campo (chiave: nome campo, valore: valore campo)
ruleID security_result.rule_id Valore copiato direttamente
verdict, contentType, dlpstatus security_result.summary Imposta su "Traffico %{verdict}" se il verdetto è consentito/bloccato, "Traffico %{contentType}" se contentType è presente o "Traffico %{dlpstatus}" se dlpstatus è consentito/bloccato o "Traffico bloccato - %{blockedCategories}" se bloccato
blockedCategories security_result.threat_name Valore copiato direttamente
temp_filename target.file.names Unito da temp_filename (valore di fileName)
destination_ip target.ip Valore copiato direttamente
destination_port target.port Convertito in numero intero
url target.url Valore copiato direttamente
column3 event.idm.read_only_udm.principal.resource.attribute.labels Mappato dal log delle modifiche
column4 event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
column5 event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
column11 event.idm.read_only_udm.network.ip_protocol Mappato dal log delle modifiche
column15 event.idm.read_only_udm.target.ip e event.idm.read_only_udm.target.asset.ip Mappato dal log delle modifiche
column22 event.idm.read_only_udm.security_result.rule_name Mappato dal log delle modifiche
column13 event.idm.read_only_udm.principal.ip e event.idm.read_only_udm.principal.asset.ip Mappato dal log delle modifiche

Log delle modifiche

Visualizza il log delle modifiche per questo parser

Hai bisogno di ulteriore assistenza? Ricevi risposte dai membri della community e dai professionisti di Google SecOps.