Mengumpulkan log Cisco Umbrella Web Proxy

Versi Parser: 16.0

Didukung di:

Google SecOps SIEM

Dokumen ini menjelaskan cara menyerap log Cisco Umbrella Web Proxy ke Google Security Operations menggunakan Amazon S3. Cisco Umbrella Web Proxy memberikan visibilitas dan kontrol URL penuh untuk traffic web, yang berfungsi sebagai gateway web aman (SWG) berbasis cloud. Log Web Proxy mencatat detail traffic HTTP dan HTTPS, termasuk URL lengkap, identitas pengguna, jenis konten, dan keputusan keamanan untuk permintaan yang di-proxy-kan melalui proxy cerdas Umbrella.

Sebelum memulai

Pastikan Anda memiliki prasyarat berikut:

• Instance Google SecOps.
• Akses istimewa ke dasbor Cisco Umbrella dengan peran Admin Penuh atau Admin Hanya Baca.
• Akses istimewa ke AWS (S3, IAM).
• Lisensi Cisco Umbrella Secure Internet Gateway (SIG) atau DNS Security Advantage dengan proxy cerdas yang diaktifkan.

Mengonfigurasi ekspor log Cisco Umbrella ke Amazon S3

Cisco Umbrella secara native mendukung ekspor log Proxy Web ke bucket Amazon S3 yang Anda kelola. Jika Anda telah mengonfigurasi ekspor log S3 untuk log Umbrella DNS, bucket S3 dan konfigurasi IAM yang sama dapat digunakan kembali. Umbrella menyimpan log proxy dalam awalan terpisah.

1. Login ke dasbor Cisco Umbrella di https://dashboard.umbrella.com.
2. Buka Admin > Log Management.
3. Jika ekspor log S3 belum dikonfigurasi, klik Use your company-managed Amazon S3 bucket.
4. Berikan detail konfigurasi berikut:
   • Bucket Name: Masukkan nama bucket S3 (misalnya, umbrella-logs).
   • Region: Pilih region AWS tempat bucket Anda berada.
5. Salin ID Akun AWS dan ID Eksternal yang ditampilkan oleh Umbrella jika belum disimpan.
6. Klik Simpan.

Catatan: Umbrella otomatis mengekspor log DNS dan log proxy ke bucket S3 yang dikonfigurasi menggunakan awalan terpisah (dnslogs/ dan proxylogs/).

Mengonfigurasi bucket AWS S3 dan IAM untuk Google SecOps

1. Buat bucket Amazon S3 dengan mengikuti panduan pengguna ini: Membuat bucket
2. Simpan Name dan Region bucket untuk referensi di masa mendatang (misalnya, umbrella-logs).
3. Buat Pengguna dengan mengikuti panduan pengguna ini: Membuat pengguna IAM.
4. Pilih User yang dibuat.
5. Pilih tab kredensial keamanan.
6. Klik Create Access Key di bagian Access Keys.
7. Pilih Layanan pihak ketiga sebagai Kasus penggunaan.
8. Klik Berikutnya.
9. Opsional: Tambahkan tag deskripsi.
10. Klik Create access key.
11. Klik Download CSV file untuk menyimpan Access Key dan Secret Access Key untuk referensi di masa mendatang.
12. Klik Done.
13. Pilih tab Permissions.
14. Klik Add permissions di bagian Kebijakan Izin.
15. Pilih Add permissions.
16. Pilih Attach policies directly.
17. Telusuri kebijakan AmazonS3FullAccess.
18. Pilih kebijakan.
19. Klik Berikutnya.
20. Klik Add permissions.

Mengonfigurasi kebijakan dan peran IAM untuk akses S3 Cisco Umbrella

Cisco Umbrella memerlukan peran IAM lintas akun untuk menulis log ke bucket S3 Anda.

1. Di konsol AWS, buka IAM > Policies > Create policy > tab JSON.

2. Salin dan tempel kebijakan berikut (ganti umbrella-logs jika Anda memasukkan nama bucket yang berbeda):

   {
     "Version": "2012-10-17",
     "Statement": [
       {
         "Sid": "AllowUmbrellaPutObjects",
         "Effect": "Allow",
         "Action": [
           "s3:PutObject",
           "s3:GetBucketLocation"
         ],
         "Resource": [
           "arn:aws:s3:::umbrella-logs",
           "arn:aws:s3:::umbrella-logs/*"
         ]
       }
     ]
   }
   

3. Klik Next > Create policy. Beri nama UmbrellaS3WritePolicy.

4. Buka IAM > Roles > Create role > Custom trust policy.

5. Tempel kebijakan kepercayaan berikut, dengan mengganti UMBRELLA_AWS_ACCOUNT_ID dan UMBRELLA_EXTERNAL_ID dengan nilai yang disalin dari dasbor Umbrella:

   {
     "Version": "2012-10-17",
     "Statement": [
       {
         "Effect": "Allow",
         "Principal": {
           "AWS": "arn:aws:iam::UMBRELLA_AWS_ACCOUNT_ID:root"
         },
         "Action": "sts:AssumeRole",
         "Condition": {
           "StringEquals": {
             "sts:ExternalId": "UMBRELLA_EXTERNAL_ID"
           }
         }
       }
     ]
   }
   

6. Klik Berikutnya.

7. Lampirkan kebijakan UmbrellaS3WritePolicy.

8. Beri nama peran UmbrellaS3Role dan klik Create role.

9. Salin Role ARN untuk digunakan di dasbor Umbrella.

Memverifikasi ekspor log Cisco Umbrella

1. Kembali ke dasbor Cisco Umbrella.
2. Buka Admin > Log Management.
3. Masukkan Role ARN dari peran IAM yang Anda buat (jika belum dikonfigurasi).
4. Klik Verify untuk mengonfirmasi bahwa Umbrella dapat menulis ke bucket S3.
5. Setelah verifikasi berhasil, Umbrella akan mulai mengekspor log proxy ke bucket S3.

Catatan: Umbrella mengekspor log Proxy Web dalam format CSV ke bucket S3 dalam struktur jalur berikut: s3://umbrella-logs/proxylogs/<year>-<month>-<day>/.

Mengonfigurasi feed di Google SecOps untuk menyerap log Cisco Umbrella Web Proxy

1. Buka Setelan > Pengelolaan Data > Feed. Jika Anda menggunakan platform khusus SIEM, buka Settings > Feeds.
2. Klik + Tambahkan Feed Baru.
3. Di kolom Nama feed, masukkan nama untuk feed (misalnya, Cisco Umbrella Web Proxy logs).
4. Pilih Amazon S3 V2 sebagai Jenis sumber.
5. Pilih Cisco Umbrella Web Proxy sebagai Log type.
6. Klik Berikutnya.

7. Tentukan nilai untuk parameter input berikut:

   • S3 URI: s3://umbrella-logs/proxylogs/
   • Opsi penghapusan sumber: Pilih opsi penghapusan sesuai preferensi Anda.
   • Usia File Maksimum: Sertakan file yang diubah dalam jumlah hari terakhir. Defaultnya adalah 180 hari.
   • Access Key ID: Kunci akses pengguna dengan akses ke bucket S3.
   • Secret Access Key: Kunci rahasia pengguna dengan akses ke bucket S3.
   • Namespace aset: Namespace aset.
   • Label penyerapan: Label yang diterapkan ke peristiwa dari feed ini.

8. Klik Berikutnya.

9. Tinjau konfigurasi feed berita baru Anda di layar Finalize, lalu klik Submit.

Tabel Pemetaan UDM

Kolom Log	Pemetaan UDM	Logika
ampDisposition	security_result.detection_fields[].value	Nilai ampDisposition dari log mentah.
ampMalware	security_result.detection_fields[].value	Nilai ampMalware dari log mentah.
ampScore	security_result.detection_fields[].value	Nilai ampScore dari log mentah.
avDetections	security_result.detection_fields[].value	Nilai avDetections dari log mentah.
blockedCategories	security_result.threat_name	Nilai blockedCategories dari log mentah.
certificateErrors	security_result.detection_fields[].value	Nilai certificateErrors dari log mentah.
contentType	security_result.detection_fields[].value	Nilai contentType dari log mentah.
destinationIp	target.ip	Nilai destinationIp dari log mentah.
destinationListID	security_result.detection_fields[].value	Nilai destinationListID dari log mentah.
dlpstatus	security_result.detection_fields[].value	Nilai dlpstatus dari log mentah.
externalIp	principal.ip	Nilai externalIp dari log mentah.
fileAction	security_result.detection_fields[].value	Nilai fileAction dari log mentah.
fileName	target.file.names	Nilai fileName dari log mentah.
identitiesV8	principal.hostname	Nilai identitiesV8 dari log mentah.
identity	principal.location.name	Nilai identity dari log mentah.
internalIp	principal.ip	Nilai internalIp dari log mentah.
isolateAction	security_result.detection_fields[].value	Nilai isolateAction dari log mentah.
referer	network.http.referral_url	Nilai referer dari log mentah.
requestMethod	network.http.method	Nilai requestMethod dari log mentah.
requestSize	security_result.detection_fields[].value	Nilai requestSize dari log mentah.
responseBodySize	security_result.detection_fields[].value	Nilai responseBodySize dari log mentah.
responseSize	security_result.detection_fields[].value	Nilai responseSize dari log mentah.
ruleID	security_result.rule_id	Nilai ruleID dari log mentah.
rulesetID	security_result.detection_fields[].value	Nilai rulesetID dari log mentah.
sha	security_result.about.file.sha256	Nilai sha dari log mentah.
statusCode	network.http.response_code	Nilai statusCode dari log mentah.
ts	timestamp	Nilai ts dari log mentah, yang diuraikan menjadi stempel waktu.
url	target.url	Nilai url dari log mentah.
userAgent	network.http.user_agent	Nilai userAgent dari log mentah.
verdict	security_result.detection_fields[].value	Nilai verdict dari log mentah.
warnstatus	security_result.detection_fields[].value	Nilai warnstatus dari log mentah. Nilai collection_time dari log mentah. Dihardcode ke NETWORK_HTTP. Dihardcode ke Cisco. Dihardcode ke Umbrella. Dihardcode ke UMBRELLA_WEBPROXY. Diambil dari skema kolom URL (http atau https). Diurai dari kolom userAgent menggunakan library penguraian agen pengguna. Nilai requestSize dari log mentah, yang dikonversi menjadi bilangan bulat. Nilai responseSize dari log mentah, yang dikonversi menjadi bilangan bulat. Diperoleh dari kolom identity saat identityType (atau identityTypeV8 dengan identitiesV8) menunjukkan pengguna. Diurai lebih lanjut untuk mengekstrak detail pengguna seperti nama tampilan, nama depan, nama belakang, dan alamat email. Dipetakan dari kolom verdict: allowed atau allowed -> ALLOW, nilai lainnya -> BLOCK. Jika categories tidak kosong, tetapkan ke NETWORK_CATEGORIZED_CONTENT. Nilai categories dari log mentah. Berdasarkan verdict dan kemungkinan kolom lainnya. Biasanya Traffic allowed atau Traffic blocked. Jika verdict bukan allowed atau blocked dan statusCode ada, ringkasannya adalah Traffic %{statusCode}.

Log Perubahan

Melihat Log Perubahan untuk parser ini

Perlu bantuan lain? Dapatkan jawaban dari anggota Komunitas dan profesional Google SecOps.