Google 會運用 AI 技術將內容翻譯成你偏好的語言，但可能會出錯。

收集 Cisco Umbrella Web Proxy 記錄

剖析器版本：16.0

支援的服務：

Google SecOps SIEM

本文說明如何使用 Amazon S3，將 Cisco Umbrella Web Proxy 記錄擷取至 Google Security Operations。Cisco Umbrella Web Proxy 扮演雲端式安全網路閘道 (SWG) 的角色，可完整掌握及控管網站流量的網址。網路 Proxy 記錄會擷取 HTTP 和 HTTPS 流量詳細資料，包括完整網址、使用者身分、內容類型，以及透過 Umbrella 智慧 Proxy 代理的要求安全性判定結果。

事前準備

請確認您符合下列必要條件：

Google SecOps 執行個體。
具備 Cisco Umbrella 資訊主頁的特殊存取權，且具備完整管理員或唯讀管理員角色。
AWS (S3、IAM) 的特殊存取權。
Cisco Umbrella Secure Internet Gateway (SIG) 或 DNS Security Advantage 授權，並啟用智慧型 Proxy。

設定將 Cisco Umbrella 記錄匯出至 Amazon S3

Cisco Umbrella 原生支援將 Web Proxy 記錄匯出至您管理的 Amazon S3 bucket。如果您已為 Umbrella DNS 記錄設定 S3 記錄匯出功能，可以重複使用相同的 S3 bucket 和 IAM 設定。Umbrella 會將 Proxy 記錄儲存在不同的前置字元中。

前往 https://dashboard.umbrella.com 登入 Cisco Umbrella 資訊主頁。
依序前往「管理」>「記錄管理」。
如果尚未設定 S3 記錄匯出功能，請按一下「使用貴公司管理的 Amazon S3 bucket」。
提供下列設定詳細資料：
- Bucket Name：輸入 S3 bucket 的名稱 (例如 umbrella-logs)。
- Region：選取 bucket 所在的 AWS 區域。
複製 Umbrella 顯示的 AWS 帳戶 ID 和外部 ID 並儲存 (如果尚未儲存)。
按一下「儲存」。

為 Google SecOps 設定 AWS S3 bucket 和 IAM

按照這份使用手冊建立 Amazon S3 bucket：建立 bucket
儲存 bucket 的「名稱」和「區域」，供日後參考 (例如 umbrella-logs)。
按照這份使用手冊建立使用者：建立 IAM 使用者。
選取建立的使用者。
選取「安全憑證」分頁標籤。
在「Access Keys」部分，按一下「Create Access Key」。
在「用途」部分選取「第三方服務」。
點選「下一步」。
選用：新增說明標記。
按一下「Create access key」。
按一下「Download CSV file」，儲存「Access Key」和「Secret Access Key」，以供日後參考。
按一下「完成」。
選取「權限」分頁標籤。
在「權限政策」部分，按一下「新增權限」。
選取「新增權限」。
選取「直接附加政策」。
搜尋 AmazonS3FullAccess 政策。
選取政策。
點選「下一步」。
按一下「Add permissions」。

設定 Cisco Umbrella S3 存取權的 IAM 政策和角色

Cisco Umbrella 需要跨帳戶 IAM 角色，才能將記錄寫入 S3 bucket。

在 AWS 控制台中，依序前往「IAM」>「Policies」>「Create policy」>「JSON」分頁標籤。

複製並貼上以下政策 (如果您輸入了不同的 bucket 名稱，請替換 umbrella-logs)：

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "AllowUmbrellaPutObjects",
      "Effect": "Allow",
      "Action": [
        "s3:PutObject",
        "s3:GetBucketLocation"
      ],
      "Resource": [
        "arn:aws:s3:::umbrella-logs",
        "arn:aws:s3:::umbrella-logs/*"
      ]
    }
  ]
}

依序點選「下一步」>「建立政策」。將其命名為 UmbrellaS3WritePolicy。
依序前往「IAM」>「Roles」>「Create role」>「Custom trust policy」。

貼上下列信任政策，並將 UMBRELLA_AWS_ACCOUNT_ID 和 UMBRELLA_EXTERNAL_ID 替換為從 Umbrella 資訊主頁複製的值：

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "AWS": "arn:aws:iam::UMBRELLA_AWS_ACCOUNT_ID:root"
      },
      "Action": "sts:AssumeRole",
      "Condition": {
        "StringEquals": {
          "sts:ExternalId": "UMBRELLA_EXTERNAL_ID"
        }
      }
    }
  ]
}

點選「下一步」。
附加 UmbrellaS3WritePolicy 政策。
將角色命名為 UmbrellaS3Role，然後按一下「Create role」(建立角色)。
複製角色 ARN，以便在 Umbrella 資訊主頁中使用。

驗證 Cisco Umbrella 記錄匯出作業

返回 Cisco Umbrella 資訊主頁。
依序前往「管理」>「記錄管理」。
輸入您建立的 IAM 角色角色 ARN (如尚未設定)。
按一下「Verify」，確認 Umbrella 可寫入 S3 bucket。
驗證成功後，Umbrella 就會開始將 Proxy 記錄匯出至 S3 bucket。

在 Google SecOps 設定動態饋給，擷取 Cisco Umbrella Web Proxy 記錄

依序前往「設定」>「資料管理」>「動態饋給」。如果使用的是 SIEM 專用平台，請依序前往「設定」>「動態饋給」。
按一下「+ 新增動態饋給」。
在「Feed name」(動態饋給名稱) 欄位中，輸入動態饋給名稱 (例如 Cisco Umbrella Web Proxy logs)。
在「來源類型」部分，選取「Amazon S3 V2」。
「記錄類型」請選取「Cisco Umbrella Web Proxy」。
點選「下一步」。
指定下列輸入參數的值：
- S3 URI：s3://umbrella-logs/proxylogs/
- 來源刪除選項：根據偏好選取刪除選項。
- 檔案存在時間上限：包含過去幾天內修改過的檔案。預設值為 180 天。
- 存取金鑰 ID：可存取 S3 bucket 的使用者存取金鑰。
- Secret Access Key：可存取 S3 bucket 的使用者私密金鑰。
- Asset namespace：資產命名空間。
- 擷取標籤：套用至這個動態饋給事件的標籤。
點選「下一步」。
在「完成」畫面中檢查新的新聞動態消息設定，然後按一下「提交」。

UDM 對應表

記錄欄位	UDM 對應	邏輯
`ampDisposition`	`security_result.detection_fields[].value`	原始記錄中的 `ampDisposition` 值。
`ampMalware`	`security_result.detection_fields[].value`	原始記錄中的 `ampMalware` 值。
`ampScore`	`security_result.detection_fields[].value`	原始記錄中的 `ampScore` 值。
`avDetections`	`security_result.detection_fields[].value`	原始記錄中的 `avDetections` 值。
`blockedCategories`	`security_result.threat_name`	原始記錄中的 `blockedCategories` 值。
`certificateErrors`	`security_result.detection_fields[].value`	原始記錄中的 `certificateErrors` 值。
`contentType`	`security_result.detection_fields[].value`	原始記錄中的 `contentType` 值。
`destinationIp`	`target.ip`	原始記錄中的 `destinationIp` 值。
`destinationListID`	`security_result.detection_fields[].value`	原始記錄中的 `destinationListID` 值。
`dlpstatus`	`security_result.detection_fields[].value`	原始記錄中的 `dlpstatus` 值。
`externalIp`	`principal.ip`	原始記錄中的 `externalIp` 值。
`fileAction`	`security_result.detection_fields[].value`	原始記錄中的 `fileAction` 值。
`fileName`	`target.file.names`	原始記錄中的 `fileName` 值。
`identitiesV8`	`principal.hostname`	原始記錄中的 `identitiesV8` 值。
`identity`	`principal.location.name`	原始記錄中的 `identity` 值。
`internalIp`	`principal.ip`	原始記錄中的 `internalIp` 值。
`isolateAction`	`security_result.detection_fields[].value`	原始記錄中的 `isolateAction` 值。
`referer`	`network.http.referral_url`	原始記錄中的 `referer` 值。
`requestMethod`	`network.http.method`	原始記錄中的 `requestMethod` 值。
`requestSize`	`security_result.detection_fields[].value`	原始記錄中的 `requestSize` 值。
`responseBodySize`	`security_result.detection_fields[].value`	原始記錄中的 `responseBodySize` 值。
`responseSize`	`security_result.detection_fields[].value`	原始記錄中的 `responseSize` 值。
`ruleID`	`security_result.rule_id`	原始記錄中的 `ruleID` 值。
`rulesetID`	`security_result.detection_fields[].value`	原始記錄中的 `rulesetID` 值。
`sha`	`security_result.about.file.sha256`	原始記錄中的 `sha` 值。
`statusCode`	`network.http.response_code`	原始記錄中的 `statusCode` 值。
`ts`	`timestamp`	原始記錄中的 `ts` 值，剖析為時間戳記。
`url`	`target.url`	原始記錄中的 `url` 值。
`userAgent`	`network.http.user_agent`	原始記錄中的 `userAgent` 值。
`verdict`	`security_result.detection_fields[].value`	原始記錄中的 `verdict` 值。
`warnstatus`	`security_result.detection_fields[].value`	原始記錄中的 `warnstatus` 值。原始記錄中的 `collection_time` 值。硬式編碼為 `NETWORK_HTTP`。硬式編碼為 `Cisco`。硬式編碼為 `Umbrella`。硬式編碼為 `UMBRELLA_WEBPROXY`。衍生自網址欄位的配置 (`http` 或 `https`)。使用使用者代理程式剖析程式庫，從 `userAgent` 欄位剖析。原始記錄中的 `requestSize` 值，已轉換為整數。原始記錄中的 `responseSize` 值，已轉換為整數。當 `identityType` (或 `identityTypeV8` 搭配 `identitiesV8`) 表示使用者時，衍生自 `identity` 欄位。進一步剖析，擷取使用者詳細資料，例如顯示名稱、名字、姓氏和電子郵件地址。從 `verdict` 欄位對應：`allowed` 或 `allowed` -> `ALLOW`，其他值 -> `BLOCK`。如果 `categories` 不是空白，請設為 `NETWORK_CATEGORIZED_CONTENT`。原始記錄中的 `categories` 值。依據 `verdict` 和其他可能欄位。通常是 `Traffic allowed` 或 `Traffic blocked`。如果 `verdict` 不是 `allowed` 或 `blocked`，且 `statusCode` 存在，則摘要為 `Traffic %{statusCode}`。

變更記錄

查看這個剖析器的變更記錄

還有其他問題嗎？向社群成員和 Google SecOps 專業人員尋求解答。