Google utiliza tecnología de IA para traducir contenido a tu idioma preferido. Las traducciones realizadas con IA pueden contener errores.

Recopila registros del proxy web de Cisco Umbrella

Versión del analizador: 16.0

Se admite en los siguientes sistemas operativos:

Google SecOps SIEM

En este documento, se explica cómo transferir registros del proxy web de Cisco Umbrella a Google Security Operations con Amazon S3. El proxy web de Cisco Umbrella proporciona visibilidad y control completos de las URLs para el tráfico web, y actúa como una puerta de enlace web segura (SWG) basada en la nube. Los registros del proxy web capturan los detalles del tráfico HTTP y HTTPS, incluidas las URLs completas, las identidades de los usuarios, los tipos de contenido y los veredictos de seguridad para las solicitudes que se envían a través del proxy inteligente de Umbrella.

Antes de comenzar

Asegúrate de cumplir con los siguientes requisitos previos:

Es la instancia de Google SecOps.
Acceso con privilegios al panel de Cisco Umbrella con el rol de administrador completo o administrador de solo lectura.
Acceso con privilegios a AWS (S3, IAM).
Licencia de Cisco Umbrella Secure Internet Gateway (SIG) o DNS Security Advantage con proxy inteligente habilitado.

Configura la exportación de registros de Cisco Umbrella a Amazon S3

Cisco Umbrella admite de forma nativa la exportación de registros del proxy web a un bucket de Amazon S3 que administras. Si ya configuraste la exportación de registros de S3 para los registros de DNS de Umbrella, puedes volver a usar el mismo bucket de S3 y la misma configuración de IAM. Umbrella almacena los registros del proxy en un prefijo independiente.

Accede al panel de Cisco Umbrella en https://dashboard.umbrella.com.
Ve a Administrador > Administración de registros.
Si la exportación de registros de S3 aún no está configurada, haz clic en Usa el bucket de Amazon S3 administrado por tu empresa.
Proporciona los siguientes detalles de configuración:
- Nombre del bucket: Ingresa el nombre del bucket de S3 (por ejemplo, umbrella-logs).
- Región: Selecciona la región de AWS en la que se encuentra tu bucket.
Copia el ID de la cuenta de AWS y el ID externo que muestra Umbrella si aún no los guardaste.
Haz clic en Guardar.

Configura el bucket de AWS S3 y el IAM para Google SecOps

Crea un bucket de Amazon S3 siguiendo esta guía del usuario: Cómo crear un bucket
Guarda el Nombre y la Región del bucket para consultarlos en el futuro (por ejemplo, umbrella-logs).
Crea un usuario siguiendo esta guía del usuario: Cómo crear un usuario de IAM.
Selecciona el usuario creado.
Selecciona la pestaña Credenciales de seguridad.
Haz clic en Crear clave de acceso en la sección Claves de acceso.
Selecciona Servicio de terceros como Caso de uso.
Haz clic en Siguiente.
Opcional: Agrega una etiqueta de descripción.
Haz clic en Crear clave de acceso.
Haz clic en Descargar archivo CSV para guardar la clave de acceso y la clave de acceso secreta para consultarlas en el futuro.
Haz clic en Listo.
Selecciona la pestaña Permisos.
Haz clic en Agregar permisos en la sección Políticas de permisos.
Selecciona Agregar permisos.
Selecciona Adjuntar políticas directamente.
Busca la política AmazonS3FullAccess.
Selecciona la política.
Haz clic en Siguiente.
Haz clic en Agregar permisos.

Configura la política y el rol de IAM para el acceso a S3 de Cisco Umbrella

Cisco Umbrella requiere un rol de IAM entre cuentas para escribir registros en tu bucket de S3.

En la consola de AWS, ve a IAM > Policies > Create policy > pestaña JSON.

Copia y pega la siguiente política (reemplaza umbrella-logs si ingresaste un nombre de bucket diferente):

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "AllowUmbrellaPutObjects",
      "Effect": "Allow",
      "Action": [
        "s3:PutObject",
        "s3:GetBucketLocation"
      ],
      "Resource": [
        "arn:aws:s3:::umbrella-logs",
        "arn:aws:s3:::umbrella-logs/*"
      ]
    }
  ]
}

Haz clic en Siguiente > Crear política. Asígnale el nombre UmbrellaS3WritePolicy.
Ve a IAM > Roles > Crear rol > Política de confianza personalizada.

Pega la siguiente política de confianza y reemplaza UMBRELLA_AWS_ACCOUNT_ID y UMBRELLA_EXTERNAL_ID por los valores copiados del panel de Umbrella:

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "AWS": "arn:aws:iam::UMBRELLA_AWS_ACCOUNT_ID:root"
      },
      "Action": "sts:AssumeRole",
      "Condition": {
        "StringEquals": {
          "sts:ExternalId": "UMBRELLA_EXTERNAL_ID"
        }
      }
    }
  ]
}

Haz clic en Siguiente.
Adjunta la política UmbrellaS3WritePolicy.
Nombra el rol UmbrellaS3Role y haz clic en Crear rol.
Copia el ARN del rol para usarlo en el panel de Umbrella.

Verifica la exportación de registros de Cisco Umbrella

Regresa al panel de Cisco Umbrella.
Ve a Administrador > Administración de registros.
Ingresa el ARN del rol del rol de IAM que creaste (si aún no está configurado).
Haz clic en Verificar para confirmar que Umbrella puede escribir en el bucket de S3.
Una vez finalizada correctamente la verificación, Umbrella comenzará a exportar los registros del proxy al bucket de S3.

Configura un feed en Google SecOps para transferir registros de Cisco Umbrella Web Proxy

Ve a Configuración de SIEM > Feeds.
Haz clic en + Agregar feed nuevo.
En el campo Nombre del feed, ingresa un nombre para el feed (por ejemplo, Cisco Umbrella Web Proxy logs).
Selecciona Amazon S3 V2 como el Tipo de fuente.
Selecciona Cisco Umbrella Web Proxy como el Tipo de registro.
Haz clic en Siguiente.
Especifica valores para los siguientes parámetros de entrada:
- URI de S3: s3://umbrella-logs/proxylogs/
- Opciones de eliminación del código fuente: Selecciona la opción de eliminación según tu preferencia.
- Antigüedad máxima del archivo: Incluye los archivos modificados en la cantidad de días especificada. El valor predeterminado es de 180 días.
- ID de clave de acceso: Clave de acceso del usuario con acceso al bucket de S3.
- Clave de acceso secreta: Es la clave secreta del usuario con acceso al bucket de S3.
- Espacio de nombres del recurso: Es el espacio de nombres del recurso.
- Etiquetas de transferencia: Es la etiqueta que se aplica a los eventos de este feed.
Haz clic en Siguiente.
Revisa la nueva configuración del feed en la pantalla Finalizar y, luego, haz clic en Enviar.

Tabla de asignación de UDM

Campo de registro	Asignación de UDM	Lógica
`ampDisposition`	`security_result.detection_fields[].value`	Es el valor de `ampDisposition` del registro sin procesar.
`ampMalware`	`security_result.detection_fields[].value`	Es el valor de `ampMalware` del registro sin procesar.
`ampScore`	`security_result.detection_fields[].value`	Es el valor de `ampScore` del registro sin procesar.
`avDetections`	`security_result.detection_fields[].value`	Es el valor de `avDetections` del registro sin procesar.
`blockedCategories`	`security_result.threat_name`	Es el valor de `blockedCategories` del registro sin procesar.
`certificateErrors`	`security_result.detection_fields[].value`	Es el valor de `certificateErrors` del registro sin procesar.
`contentType`	`security_result.detection_fields[].value`	Es el valor de `contentType` del registro sin procesar.
`destinationIp`	`target.ip`	Es el valor de `destinationIp` del registro sin procesar.
`destinationListID`	`security_result.detection_fields[].value`	Es el valor de `destinationListID` del registro sin procesar.
`dlpstatus`	`security_result.detection_fields[].value`	Es el valor de `dlpstatus` del registro sin procesar.
`externalIp`	`principal.ip`	Es el valor de `externalIp` del registro sin procesar.
`fileAction`	`security_result.detection_fields[].value`	Es el valor de `fileAction` del registro sin procesar.
`fileName`	`target.file.names`	Es el valor de `fileName` del registro sin procesar.
`identitiesV8`	`principal.hostname`	Es el valor de `identitiesV8` del registro sin procesar.
`identity`	`principal.location.name`	Es el valor de `identity` del registro sin procesar.
`internalIp`	`principal.ip`	Es el valor de `internalIp` del registro sin procesar.
`isolateAction`	`security_result.detection_fields[].value`	Es el valor de `isolateAction` del registro sin procesar.
`referer`	`network.http.referral_url`	Es el valor de `referer` del registro sin procesar.
`requestMethod`	`network.http.method`	Es el valor de `requestMethod` del registro sin procesar.
`requestSize`	`security_result.detection_fields[].value`	Es el valor de `requestSize` del registro sin procesar.
`responseBodySize`	`security_result.detection_fields[].value`	Es el valor de `responseBodySize` del registro sin procesar.
`responseSize`	`security_result.detection_fields[].value`	Es el valor de `responseSize` del registro sin procesar.
`ruleID`	`security_result.rule_id`	Es el valor de `ruleID` del registro sin procesar.
`rulesetID`	`security_result.detection_fields[].value`	Es el valor de `rulesetID` del registro sin procesar.
`sha`	`security_result.about.file.sha256`	Es el valor de `sha` del registro sin procesar.
`statusCode`	`network.http.response_code`	Es el valor de `statusCode` del registro sin procesar.
`ts`	`timestamp`	El valor de `ts` del registro sin procesar, analizado como una marca de tiempo.
`url`	`target.url`	Es el valor de `url` del registro sin procesar.
`userAgent`	`network.http.user_agent`	Es el valor de `userAgent` del registro sin procesar.
`verdict`	`security_result.detection_fields[].value`	Es el valor de `verdict` del registro sin procesar.
`warnstatus`	`security_result.detection_fields[].value`	Es el valor de `warnstatus` del registro sin procesar. Es el valor de `collection_time` del registro sin procesar. Se codificó como `NETWORK_HTTP`. Se codificó como `Cisco`. Se codificó como `Umbrella`. Se codificó como `UMBRELLA_WEBPROXY`. Se deriva del esquema del campo de URL (`http` o `https`). Se analiza a partir del campo `userAgent` con una biblioteca de análisis de agentes de usuario. Es el valor de `requestSize` del registro sin procesar, convertido en un número entero. Es el valor de `responseSize` del registro sin procesar, convertido en un número entero. Se deriva del campo `identity` cuando `identityType` (o `identityTypeV8` con `identitiesV8`) indica un usuario. Se analiza aún más para extraer detalles del usuario, como el nombre visible, el nombre, el apellido y la dirección de correo electrónico. Se asigna desde el campo `verdict`: `allowed` o `allowed` -> `ALLOW`, otros valores -> `BLOCK`. Si `categories` no está vacío, se establece en `NETWORK_CATEGORIZED_CONTENT`. Es el valor de `categories` del registro sin procesar. Se basa en `verdict` y, posiblemente, en otros campos. Por lo general, `Traffic allowed` o `Traffic blocked`. Si `verdict` no es `allowed` o `blocked` y `statusCode` está presente, el resumen es `Traffic %{statusCode}`.

Registro de cambios

Consulta el registro de cambios de este analizador

¿Necesitas más ayuda? Obtén respuestas de miembros de la comunidad y profesionales de Google SecOps.