Google 會運用 AI 技術將內容翻譯成你偏好的語言，但可能會出錯。

收集 Cisco Umbrella Web Proxy 記錄

剖析器版本：16.0

支援的國家/地區：

Google SecOps SIEM

本文說明如何使用 Amazon S3，將 Cisco Umbrella Web Proxy 記錄檔擷取至 Google Security Operations。Cisco Umbrella Web Proxy 可全面掌握及控管網路流量，做為雲端安全網路閘道 (SWG)。Web Proxy 記錄會擷取 HTTP 和 HTTPS 流量詳細資料，包括完整網址、使用者身分、內容類型，以及透過 Umbrella 智慧型 Proxy 傳送要求的安全性判斷結果。

事前準備

請確認您已完成下列事前準備事項：

Google SecOps 執行個體。
具備「完整管理員」或「唯讀管理員」角色的 Cisco Umbrella 資訊主頁進階存取權。
AWS (S3、IAM) 的特殊存取權。
Cisco Umbrella Secure Internet Gateway (SIG) 或 DNS Security Advantage 授權，並啟用智慧型 Proxy。

設定將 Cisco Umbrella 記錄檔匯出至 Amazon S3

Cisco Umbrella 原生支援將 Web Proxy 記錄匯出至您管理的 Amazon S3 值區。如果您已為 Umbrella DNS 記錄設定 S3 記錄匯出功能，可以重複使用相同的 S3 儲存空間和 IAM 設定。Umbrella 會將 Proxy 記錄檔儲存在不同的前置字元中。

前往 https://dashboard.umbrella.com，登入 Cisco Umbrella 資訊主頁。
依序前往「管理」 > 「記錄管理」。
如果尚未設定 S3 記錄匯出功能，請按一下「使用公司管理的 Amazon S3 儲存空間」。
請提供下列設定詳細資料：
- 「Bucket Name」(Bucket 名稱)：輸入 S3 bucket 的名稱 (例如 umbrella-logs)。
- 區域：選取儲存 bucket 的 AWS 區域。
複製 Umbrella 顯示的 AWS 帳戶 ID 和外部 ID (如果尚未儲存)。
按一下 [儲存]。

為 Google SecOps 設定 AWS S3 bucket 和 IAM

按照這份使用手冊的指示建立 Amazon S3 儲存空間：建立儲存空間
儲存 bucket 的「名稱」和「區域」，以供日後參考 (例如 umbrella-logs)。
按照這份使用者指南建立使用者：建立 IAM 使用者。
選取建立的「使用者」。
選取「安全憑證」分頁標籤。
在「存取金鑰」部分中，按一下「建立存取金鑰」。
選取「第三方服務」做為「用途」。
點選「下一步」。
新增說明標記 (如有需要)。
按一下「建立存取金鑰」。
按一下「下載 CSV 檔案」，儲存「存取金鑰」和「私密存取金鑰」，以供日後參考。
按一下「完成」。
選取「權限」分頁標籤。
在「權限政策」部分中，按一下「新增權限」。
選取「新增權限」。
選取「直接附加政策」。
搜尋 AmazonS3FullAccess 政策。
選取政策。
點選「下一步」。
按一下「Add permissions」。

設定 Cisco Umbrella S3 存取權的 IAM 政策和角色

Cisco Umbrella 需要跨帳戶 IAM 角色，才能將記錄寫入 S3 儲存空間。

在 AWS 控制台中，依序前往「IAM」>「Policies」>「Create policy」>「JSON」分頁標籤。

複製並貼上下列政策 (如果您輸入其他值區名稱，請替換 umbrella-logs)：

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "AllowUmbrellaPutObjects",
      "Effect": "Allow",
      "Action": [
        "s3:PutObject",
        "s3:GetBucketLocation"
      ],
      "Resource": [
        "arn:aws:s3:::umbrella-logs",
        "arn:aws:s3:::umbrella-logs/*"
      ]
    }
  ]
}

依序點選「下一步」>「建立政策」。將其命名為 UmbrellaS3WritePolicy。
依序前往「IAM」>「角色」>「建立角色」>「自訂信任政策」。

貼上下列信任政策，並將 UMBRELLA_AWS_ACCOUNT_ID 和 UMBRELLA_EXTERNAL_ID 替換為從 Umbrella 資訊主頁複製的值：

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "AWS": "arn:aws:iam::UMBRELLA_AWS_ACCOUNT_ID:root"
      },
      "Action": "sts:AssumeRole",
      "Condition": {
        "StringEquals": {
          "sts:ExternalId": "UMBRELLA_EXTERNAL_ID"
        }
      }
    }
  ]
}

點選「下一步」。
附加 UmbrellaS3WritePolicy 政策。
為角色命名 UmbrellaS3Role，然後按一下「建立角色」。
複製 Role ARN，以便在 Umbrella 資訊主頁中使用。

驗證 Cisco Umbrella 記錄匯出作業

返回 Cisco Umbrella 資訊主頁。
依序前往「管理」 > 「記錄管理」。
輸入您建立的 IAM 角色中的角色 ARN (如果尚未設定)。
按一下「驗證」，確認 Umbrella 可以寫入 S3 bucket。
驗證成功後，Umbrella 就會開始將 Proxy 記錄匯出至 S3 bucket。

在 Google SecOps 中設定資訊提供，擷取 Cisco Umbrella 網路 Proxy 記錄

依序前往「SIEM 設定」>「動態饋給」。
按一下「+ 新增動態消息」。
在「動態饋給名稱」欄位中輸入動態饋給名稱 (例如 Cisco Umbrella Web Proxy logs)。
選取「Amazon S3 V2」做為「來源類型」。
選取「Cisco Umbrella Web Proxy」做為「記錄類型」。
點選「下一步」。
指定下列輸入參數的值：
- S3 URI：s3://umbrella-logs/proxylogs/
- 來源刪除選項：根據偏好設定選取刪除選項。
- 檔案存在時間上限：納入在過去天數內修改的檔案。預設值為 180 天。
- 存取金鑰 ID：具有 S3 儲存貯體存取權的使用者存取金鑰。
- 私密存取金鑰：具有 S3 bucket 存取權的使用者私密金鑰。
- 資產命名空間：資產命名空間。
- 擷取標籤：套用至這個動態饋給事件的標籤。
點選「下一步」。
在「Finalize」(完成) 畫面中檢查新的動態饋給設定，然後按一下「Submit」(提交)。

UDM 對應表

記錄欄位	UDM 對應	邏輯
`ampDisposition`	`security_result.detection_fields[].value`	原始記錄中的 `ampDisposition` 值。
`ampMalware`	`security_result.detection_fields[].value`	原始記錄中的 `ampMalware` 值。
`ampScore`	`security_result.detection_fields[].value`	原始記錄中的 `ampScore` 值。
`avDetections`	`security_result.detection_fields[].value`	原始記錄中的 `avDetections` 值。
`blockedCategories`	`security_result.threat_name`	原始記錄中的 `blockedCategories` 值。
`certificateErrors`	`security_result.detection_fields[].value`	原始記錄中的 `certificateErrors` 值。
`contentType`	`security_result.detection_fields[].value`	原始記錄中的 `contentType` 值。
`destinationIp`	`target.ip`	原始記錄中的 `destinationIp` 值。
`destinationListID`	`security_result.detection_fields[].value`	原始記錄中的 `destinationListID` 值。
`dlpstatus`	`security_result.detection_fields[].value`	原始記錄中的 `dlpstatus` 值。
`externalIp`	`principal.ip`	原始記錄中的 `externalIp` 值。
`fileAction`	`security_result.detection_fields[].value`	原始記錄中的 `fileAction` 值。
`fileName`	`target.file.names`	原始記錄中的 `fileName` 值。
`identitiesV8`	`principal.hostname`	原始記錄中的 `identitiesV8` 值。
`identity`	`principal.location.name`	原始記錄中的 `identity` 值。
`internalIp`	`principal.ip`	原始記錄中的 `internalIp` 值。
`isolateAction`	`security_result.detection_fields[].value`	原始記錄中的 `isolateAction` 值。
`referer`	`network.http.referral_url`	原始記錄中的 `referer` 值。
`requestMethod`	`network.http.method`	原始記錄中的 `requestMethod` 值。
`requestSize`	`security_result.detection_fields[].value`	原始記錄中的 `requestSize` 值。
`responseBodySize`	`security_result.detection_fields[].value`	原始記錄中的 `responseBodySize` 值。
`responseSize`	`security_result.detection_fields[].value`	原始記錄中的 `responseSize` 值。
`ruleID`	`security_result.rule_id`	原始記錄中的 `ruleID` 值。
`rulesetID`	`security_result.detection_fields[].value`	原始記錄中的 `rulesetID` 值。
`sha`	`security_result.about.file.sha256`	原始記錄中的 `sha` 值。
`statusCode`	`network.http.response_code`	原始記錄中的 `statusCode` 值。
`ts`	`timestamp`	從原始記錄剖析出的 `ts` 值，並轉換為時間戳記。
`url`	`target.url`	原始記錄中的 `url` 值。
`userAgent`	`network.http.user_agent`	原始記錄中的 `userAgent` 值。
`verdict`	`security_result.detection_fields[].value`	原始記錄中的 `verdict` 值。
`warnstatus`	`security_result.detection_fields[].value`	原始記錄中的 `warnstatus` 值。原始記錄中的 `collection_time` 值。硬式編碼為 `NETWORK_HTTP`。硬式編碼為 `Cisco`。硬式編碼為 `Umbrella`。硬式編碼為 `UMBRELLA_WEBPROXY`。衍生自網址欄位 (`http` 或 `https`) 的架構。使用 User-Agent 解析程式庫從 `userAgent` 欄位解析。原始記錄中的 `requestSize` 值，已轉換為整數。原始記錄中的 `responseSize` 值，已轉換為整數。當 `identityType` (或 `identityTypeV8` 與 `identitiesV8`) 指出使用者時，系統會從 `identity` 欄位衍生出這個值。進一步剖析，擷取使用者詳細資料，例如顯示名稱、名字、姓氏和電子郵件地址。從 `verdict` 欄位對應：`allowed` 或 `allowed` -> `ALLOW`，其他值 -> `BLOCK`。如果 `categories` 不為空白，請設為 `NETWORK_CATEGORIZED_CONTENT`。原始記錄中的 `categories` 值。依據 `verdict` 和其他欄位 (如有)。通常是 `Traffic allowed` 或 `Traffic blocked`。如果 `verdict` 不是 `allowed` 或 `blocked`，且 `statusCode` 存在，則摘要為 `Traffic %{statusCode}`。

變更記錄

查看這個剖析器的變更記錄

還有其他問題嗎？向社群成員和 Google SecOps 專業人員尋求解答。