Mengumpulkan log Cisco Umbrella Web Proxy

Versi Parser: 16.0

Didukung di:

Google SecOps SIEM

Dokumen ini menjelaskan cara menyerap log Cisco Umbrella Web Proxy ke Google Security Operations menggunakan Amazon S3. Cisco Umbrella Web Proxy memberikan visibilitas dan kontrol URL penuh untuk traffic web, yang bertindak sebagai gateway web aman (SWG) berbasis cloud. Log Web Proxy merekam detail traffic HTTP dan HTTPS, termasuk URL lengkap, identitas pengguna, jenis konten, dan hasil keamanan untuk permintaan yang di-proxy melalui proxy cerdas Umbrella.

Sebelum memulai

Pastikan Anda memiliki prasyarat berikut:

• Instance Google SecOps.
• Akses istimewa ke dasbor Cisco Umbrella dengan peran Admin Penuh atau Admin Hanya Baca.
• Akses istimewa ke AWS (S3, IAM).
• Lisensi Cisco Umbrella Secure Internet Gateway (SIG) atau DNS Security Advantage dengan proxy cerdas diaktifkan.

Mengonfigurasi ekspor log Cisco Umbrella ke Amazon S3

Cisco Umbrella secara native mendukung ekspor log Web Proxy ke bucket Amazon S3 yang Anda kelola. Jika Anda telah mengonfigurasi ekspor log S3 untuk log DNS Umbrella, bucket S3 dan konfigurasi IAM yang sama dapat digunakan kembali. Umbrella menyimpan log proxy dalam awalan terpisah.

1. Login ke dasbor Cisco Umbrella di https://dashboard.umbrella.com.
2. Buka Admin > Pengelolaan Log.
3. Jika ekspor log S3 belum dikonfigurasi, klik Gunakan bucket Amazon S3 yang dikelola perusahaan Anda.
4. Berikan detail konfigurasi berikut:
   • Bucket Name: Masukkan nama bucket S3 (misalnya, umbrella-logs).
   • Region: Pilih region AWS tempat bucket Anda berada.
5. Salin ID Akun AWS dan ID Eksternal yang ditampilkan oleh Umbrella jika belum disimpan.
6. Klik Simpan.

Catatan: Umbrella otomatis mengekspor log DNS dan log proxy ke bucket S3 yang dikonfigurasi menggunakan awalan terpisah (dnslogs/ dan proxylogs/).

Mengonfigurasi bucket AWS S3 dan IAM untuk Google SecOps

1. Buat bucket Amazon S3 dengan mengikuti panduan pengguna ini: Membuat bucket
2. Simpan Name dan Region bucket untuk referensi di masa mendatang (misalnya, umbrella-logs).
3. Buat Pengguna dengan mengikuti panduan pengguna ini: Membuat pengguna IAM.
4. Pilih Pengguna yang dibuat.
5. Pilih tab Kredensial keamanan.
6. Klik Create Access Key di bagian Access Keys.
7. Pilih Layanan pihak ketiga sebagai Kasus penggunaan.
8. Klik Berikutnya.
9. Opsional: Tambahkan tag deskripsi.
10. Klik Create access key.
11. Klik Download CSV file untuk menyimpan Access Key dan Secret Access Key untuk referensi di masa mendatang.
12. Klik Done.
13. Pilih tab Permissions.
14. Klik Tambahkan izin di bagian Kebijakan izin.
15. Pilih Tambahkan izin.
16. Pilih Lampirkan kebijakan secara langsung.
17. Cari kebijakan AmazonS3FullAccess.
18. Pilih kebijakan.
19. Klik Berikutnya.
20. Klik Add permissions.

Mengonfigurasi kebijakan dan peran IAM untuk akses S3 Cisco Umbrella

Cisco Umbrella memerlukan peran IAM lintas akun untuk menulis log ke bucket S3 Anda.

1. Di konsol AWS, buka IAM > Policies > Create policy > JSON tab.

2. Salin dan tempel kebijakan berikut (ganti umbrella-logs jika Anda memasukkan nama bucket yang berbeda):

   {
     "Version": "2012-10-17",
     "Statement": [
       {
         "Sid": "AllowUmbrellaPutObjects",
         "Effect": "Allow",
         "Action": [
           "s3:PutObject",
           "s3:GetBucketLocation"
         ],
         "Resource": [
           "arn:aws:s3:::umbrella-logs",
           "arn:aws:s3:::umbrella-logs/*"
         ]
       }
     ]
   }
   

3. Klik Berikutnya > Buat kebijakan. Beri nama UmbrellaS3WritePolicy.

4. Buka IAM > Roles > Create role > Custom trust policy.

5. Tempel kebijakan tepercaya berikut, dengan mengganti UMBRELLA_AWS_ACCOUNT_ID dan UMBRELLA_EXTERNAL_ID dengan nilai yang disalin dari dasbor Umbrella:

   {
     "Version": "2012-10-17",
     "Statement": [
       {
         "Effect": "Allow",
         "Principal": {
           "AWS": "arn:aws:iam::UMBRELLA_AWS_ACCOUNT_ID:root"
         },
         "Action": "sts:AssumeRole",
         "Condition": {
           "StringEquals": {
             "sts:ExternalId": "UMBRELLA_EXTERNAL_ID"
           }
         }
       }
     ]
   }
   

6. Klik Berikutnya.

7. Lampirkan kebijakan UmbrellaS3WritePolicy.

8. Beri nama peran UmbrellaS3Role, lalu klik Buat peran.

9. Salin ARN Peran untuk digunakan di dasbor Umbrella.

Memverifikasi ekspor log Cisco Umbrella

1. Kembali ke dasbor Cisco Umbrella.
2. Buka Admin > Pengelolaan Log.
3. Masukkan ARN Peran dari peran IAM yang Anda buat (jika belum dikonfigurasi).
4. Klik Verifikasi untuk mengonfirmasi bahwa Umbrella dapat menulis ke bucket S3.
5. Setelah verifikasi berhasil, Umbrella akan mulai mengekspor log proxy ke bucket S3.

Catatan: Umbrella mengekspor log Web Proxy dalam format CSV ke bucket S3 dalam struktur jalur berikut: s3://umbrella-logs/proxylogs/<year>-<month>-<day>/.

Mengonfigurasi feed di Google SecOps untuk memproses log Cisco Umbrella Web Proxy

1. Buka Setelan SIEM > Feed.
2. Klik + Tambahkan Feed Baru.
3. Di kolom Nama feed, masukkan nama untuk feed (misalnya, Cisco Umbrella Web Proxy logs).
4. Pilih Amazon S3 V2 sebagai Jenis sumber.
5. Pilih Cisco Umbrella Web Proxy sebagai Jenis log.
6. Klik Berikutnya.

7. Tentukan nilai untuk parameter input berikut:

   • URI S3: s3://umbrella-logs/proxylogs/
   • Opsi penghapusan sumber: Pilih opsi penghapusan sesuai preferensi Anda.
   • Usia File Maksimum: Menyertakan file yang diubah dalam beberapa hari terakhir. Defaultnya adalah 180 hari.
   • ID Kunci Akses: Kunci akses pengguna dengan akses ke bucket S3.
   • Secret Access Key: Kunci rahasia pengguna dengan akses ke bucket S3.
   • Namespace aset: Namespace aset.
   • Label penyerapan: Label yang diterapkan ke peristiwa dari feed ini.

8. Klik Berikutnya.

9. Tinjau konfigurasi feed baru Anda di layar Selesaikan, lalu klik Kirim.

Tabel Pemetaan UDM

Kolom Log	Pemetaan UDM	Logika
ampDisposition	security_result.detection_fields[].value	Nilai ampDisposition dari log mentah.
ampMalware	security_result.detection_fields[].value	Nilai ampMalware dari log mentah.
ampScore	security_result.detection_fields[].value	Nilai ampScore dari log mentah.
avDetections	security_result.detection_fields[].value	Nilai avDetections dari log mentah.
blockedCategories	security_result.threat_name	Nilai blockedCategories dari log mentah.
certificateErrors	security_result.detection_fields[].value	Nilai certificateErrors dari log mentah.
contentType	security_result.detection_fields[].value	Nilai contentType dari log mentah.
destinationIp	target.ip	Nilai destinationIp dari log mentah.
destinationListID	security_result.detection_fields[].value	Nilai destinationListID dari log mentah.
dlpstatus	security_result.detection_fields[].value	Nilai dlpstatus dari log mentah.
externalIp	principal.ip	Nilai externalIp dari log mentah.
fileAction	security_result.detection_fields[].value	Nilai fileAction dari log mentah.
fileName	target.file.names	Nilai fileName dari log mentah.
identitiesV8	principal.hostname	Nilai identitiesV8 dari log mentah.
identity	principal.location.name	Nilai identity dari log mentah.
internalIp	principal.ip	Nilai internalIp dari log mentah.
isolateAction	security_result.detection_fields[].value	Nilai isolateAction dari log mentah.
referer	network.http.referral_url	Nilai referer dari log mentah.
requestMethod	network.http.method	Nilai requestMethod dari log mentah.
requestSize	security_result.detection_fields[].value	Nilai requestSize dari log mentah.
responseBodySize	security_result.detection_fields[].value	Nilai responseBodySize dari log mentah.
responseSize	security_result.detection_fields[].value	Nilai responseSize dari log mentah.
ruleID	security_result.rule_id	Nilai ruleID dari log mentah.
rulesetID	security_result.detection_fields[].value	Nilai rulesetID dari log mentah.
sha	security_result.about.file.sha256	Nilai sha dari log mentah.
statusCode	network.http.response_code	Nilai statusCode dari log mentah.
ts	timestamp	Nilai ts dari log mentah, diuraikan menjadi stempel waktu.
url	target.url	Nilai url dari log mentah.
userAgent	network.http.user_agent	Nilai userAgent dari log mentah.
verdict	security_result.detection_fields[].value	Nilai verdict dari log mentah.
warnstatus	security_result.detection_fields[].value	Nilai warnstatus dari log mentah. Nilai collection_time dari log mentah. Hardcode ke NETWORK_HTTP. Hardcode ke Cisco. Hardcode ke Umbrella. Hardcode ke UMBRELLA_WEBPROXY. Diperoleh dari skema kolom URL (http atau https). Diuraikan dari kolom userAgent menggunakan library penguraian agen pengguna. Nilai requestSize dari log mentah, dikonversi menjadi bilangan bulat. Nilai responseSize dari log mentah, dikonversi menjadi bilangan bulat. Diperoleh dari kolom identity saat identityType (atau identityTypeV8 dengan identitiesV8) menunjukkan pengguna. Selanjutnya diuraikan untuk mengekstrak detail pengguna seperti nama tampilan, nama depan, nama belakang, dan alamat email. Dipetakan dari kolom verdict: allowed atau allowed -> ALLOW, nilai lainnya -> BLOCK. Jika categories tidak kosong, tetapkan ke NETWORK_CATEGORIZED_CONTENT. Nilai categories dari log mentah. Berdasarkan verdict dan berpotensi kolom lainnya. Biasanya Traffic allowed atau Traffic blocked. Jika verdict bukan allowed atau blocked dan statusCode ada, ringkasannya adalah Traffic %{statusCode}.

Log Perubahan

Melihat Log Perubahan untuk parser ini

Perlu bantuan lain? Dapatkan jawaban dari anggota Komunitas dan profesional Google SecOps.