收集 Cisco Umbrella Web Proxy 日志

解析器版本：16.0

支持的平台：

Google SecOps SIEM

本文档介绍了如何使用 Amazon S3 将 Cisco Umbrella Web 代理日志注入到 Google Security Operations。Cisco Umbrella Web Proxy 可全面了解和控制 Web 流量，充当基于云的安全 Web 网关 (SWG)。Web 代理日志会捕获 HTTP 和 HTTPS 流量的详细信息，包括通过 Umbrella 智能代理进行代理的请求的完整网址、用户身份、内容类型和安全判定。

准备工作

请确保满足以下前提条件：

• Google SecOps 实例。
• 拥有对 Cisco Umbrella 信息中心的特权访问权限（具有“完整管理员”或“只读管理员”角色）。
• 对 AWS（S3、IAM）的特权访问权限。
• 启用了智能代理的 Cisco Umbrella Secure Internet Gateway (SIG) 或 DNS Security Advantage 许可。

将 Cisco Umbrella 日志导出到 Amazon S3

Cisco Umbrella 原生支持将 Web 代理日志导出到您管理的 Amazon S3 存储桶。如果您已为 Umbrella DNS 日志配置 S3 日志导出，则可以重复使用相同的 S3 存储桶和 IAM 配置。Umbrella 将代理日志存储在单独的前缀中。

1. 登录 Cisco Umbrella 信息中心 (https://dashboard.umbrella.com)。
2. 依次前往管理 > 日志管理。
3. 如果尚未配置 S3 日志导出，请点击使用公司管理的 Amazon S3 存储桶。
4. 提供以下配置详细信息：
   • 存储桶名称：输入 S3 存储桶的名称（例如 umbrella-logs）。
   • 区域：选择存储桶所在的 AWS 区域。
5. 复制 Umbrella 显示的 AWS 账号 ID 和外部 ID（如果尚未保存）。
6. 点击保存。

注意： Umbrella 会使用单独的前缀（dnslogs/ 和 proxylogs/）自动将 DNS 日志和代理日志导出到配置的 S3 存储桶。

为 Google SecOps 配置 AWS S3 存储桶和 IAM

1. 按照以下用户指南创建 Amazon S3 存储桶：创建存储桶
2. 保存存储桶名称和区域以供日后参考（例如，umbrella-logs）。
3. 按照以下用户指南创建用户：创建 IAM 用户。
4. 选择创建的用户。
5. 选择安全凭据标签页。
6. 在访问密钥部分中，点击创建访问密钥。
7. 选择第三方服务作为使用情形。
8. 点击下一步。
9. 可选：添加说明标记。
10. 点击创建访问密钥。
11. 点击下载 CSV 文件，保存访问密钥和秘密访问密钥，以供日后参考。
12. 点击完成。
13. 选择权限标签页。
14. 在权限政策部分中，点击添加权限。
15. 选择添加权限。
16. 选择直接附加政策。
17. 搜索 AmazonS3FullAccess 政策。
18. 选择相应政策。
19. 点击下一步。
20. 点击添加权限。

为 Cisco Umbrella S3 访问权限配置 IAM 政策和角色

Cisco Umbrella 需要一个跨账号 IAM 角色才能将日志写入您的 S3 存储桶。

1. 在 AWS 控制台中，依次前往 IAM > 政策 > 创建政策 > JSON 标签页。

2. 复制并粘贴以下政策（如果您输入了其他存储桶名称，请替换 umbrella-logs）：

   {
     "Version": "2012-10-17",
     "Statement": [
       {
         "Sid": "AllowUmbrellaPutObjects",
         "Effect": "Allow",
         "Action": [
           "s3:PutObject",
           "s3:GetBucketLocation"
         ],
         "Resource": [
           "arn:aws:s3:::umbrella-logs",
           "arn:aws:s3:::umbrella-logs/*"
         ]
       }
     ]
   }
   

3. 依次点击下一步 > 创建政策。将其命名为 UmbrellaS3WritePolicy。

4. 依次前往 IAM > 角色 > 创建角色 > 自定义信任政策。

5. 粘贴以下信任政策，并将 UMBRELLA_AWS_ACCOUNT_ID 和 UMBRELLA_EXTERNAL_ID 替换为从 Umbrella 控制台中复制的值：

   {
     "Version": "2012-10-17",
     "Statement": [
       {
         "Effect": "Allow",
         "Principal": {
           "AWS": "arn:aws:iam::UMBRELLA_AWS_ACCOUNT_ID:root"
         },
         "Action": "sts:AssumeRole",
         "Condition": {
           "StringEquals": {
             "sts:ExternalId": "UMBRELLA_EXTERNAL_ID"
           }
         }
       }
     ]
   }
   

6. 点击下一步。

7. 附加 UmbrellaS3WritePolicy 政策。

8. 将角色命名为 UmbrellaS3Role，然后点击创建角色。

9. 复制角色 ARN 以在 Umbrella 信息中心中使用。

验证 Cisco Umbrella 日志导出

1. 返回到 Cisco Umbrella 信息中心。
2. 依次前往管理 > 日志管理。
3. 输入您创建的 IAM 角色的角色 ARN（如果尚未配置）。
4. 点击验证，确认 Umbrella 可以写入 S3 存储桶。
5. 验证成功后，Umbrella 将开始将代理日志导出到 S3 存储桶。

注意： Umbrella 会以 CSV 格式将 Web 代理日志导出到 S3 存储桶，路径结构如下：s3://umbrella-logs/proxylogs/<year>-<month>-<day>/。

在 Google SecOps 中配置 Feed 以注入 Cisco Umbrella Web Proxy 日志

1. 前往 SIEM 设置 > Feed。
2. 点击 + 添加新 Feed。
3. 在 Feed 名称字段中，输入 Feed 的名称（例如 Cisco Umbrella Web Proxy logs）。
4. 选择 Amazon S3 V2 作为来源类型。
5. 选择 Cisco Umbrella Web Proxy 作为日志类型。
6. 点击下一步。

7. 为以下输入参数指定值：

   • S3 URI：s3://umbrella-logs/proxylogs/
   • 源删除选项：根据您的偏好选择删除选项。
   • 文件存在时间上限：包含在过去指定天数内修改过的文件。默认值为 180 天。
   • 访问密钥 ID：具有 S3 存储桶访问权限的用户访问密钥。
   • 私有访问密钥：具有 S3 存储桶访问权限的用户私有密钥。
   • 资源命名空间：资源命名空间。
   • 注入标签：应用于此 Feed 中事件的标签。

8. 点击下一步。

9. 在最终确定界面中查看新的 Feed 配置，然后点击提交。

UDM 映射表

日志字段	UDM 映射	逻辑
ampDisposition	security_result.detection_fields[].value	原始日志中的 ampDisposition 值。
ampMalware	security_result.detection_fields[].value	原始日志中的 ampMalware 值。
ampScore	security_result.detection_fields[].value	原始日志中的 ampScore 值。
avDetections	security_result.detection_fields[].value	原始日志中的 avDetections 值。
blockedCategories	security_result.threat_name	原始日志中的 blockedCategories 值。
certificateErrors	security_result.detection_fields[].value	原始日志中的 certificateErrors 值。
contentType	security_result.detection_fields[].value	原始日志中的 contentType 值。
destinationIp	target.ip	原始日志中的 destinationIp 值。
destinationListID	security_result.detection_fields[].value	原始日志中的 destinationListID 值。
dlpstatus	security_result.detection_fields[].value	原始日志中的 dlpstatus 值。
externalIp	principal.ip	原始日志中的 externalIp 值。
fileAction	security_result.detection_fields[].value	原始日志中的 fileAction 值。
fileName	target.file.names	原始日志中的 fileName 值。
identitiesV8	principal.hostname	原始日志中的 identitiesV8 值。
identity	principal.location.name	原始日志中的 identity 值。
internalIp	principal.ip	原始日志中的 internalIp 值。
isolateAction	security_result.detection_fields[].value	原始日志中的 isolateAction 值。
referer	network.http.referral_url	原始日志中的 referer 值。
requestMethod	network.http.method	原始日志中的 requestMethod 值。
requestSize	security_result.detection_fields[].value	原始日志中的 requestSize 值。
responseBodySize	security_result.detection_fields[].value	原始日志中的 responseBodySize 值。
responseSize	security_result.detection_fields[].value	原始日志中的 responseSize 值。
ruleID	security_result.rule_id	原始日志中的 ruleID 值。
rulesetID	security_result.detection_fields[].value	原始日志中的 rulesetID 值。
sha	security_result.about.file.sha256	原始日志中的 sha 值。
statusCode	network.http.response_code	原始日志中的 statusCode 值。
ts	timestamp	原始日志中的 ts 值，已解析为时间戳。
url	target.url	原始日志中的 url 值。
userAgent	network.http.user_agent	原始日志中的 userAgent 值。
verdict	security_result.detection_fields[].value	原始日志中的 verdict 值。
warnstatus	security_result.detection_fields[].value	原始日志中的 warnstatus 值。原始日志中的 collection_time 值。硬编码为 NETWORK_HTTP。硬编码为 Cisco。硬编码为 Umbrella。硬编码为 UMBRELLA_WEBPROXY。派生自网址字段（http 或 https）的架构。使用 User-Agent 解析库从 userAgent 字段解析。原始日志中的 requestSize 值，已转换为整数。原始日志中的 responseSize 值，已转换为整数。当 identityType（或 identitiesV8 中的 identityTypeV8）表示用户时，从 identity 字段派生。进一步解析以提取用户详细信息，例如显示名称、名字、姓氏和电子邮件地址。从 verdict 字段映射：allowed 或 allowed -> ALLOW，其他值 -> BLOCK。如果 categories 不为空，则设置为 NETWORK_CATEGORIZED_CONTENT。原始日志中的 categories 值。基于 verdict 和可能存在的其他字段。通常为 Traffic allowed 或 Traffic blocked。如果 verdict 不是 allowed 或 blocked，且存在 statusCode，则摘要为 Traffic %{statusCode}。

更新日志

查看相应解析器的更新日志

需要更多帮助？获得社区成员和 Google SecOps 专业人士的解答。