Cisco Umbrella-Audit-Logs erfassen

Unterstützt in:

In diesem Dokument wird beschrieben, wie Sie Cisco Umbrella-Audit-Logs in einem Google Security Operations-Feed mithilfe eines AWS S3-Buckets erfassen. Der Parser normalisiert die CSV-Rohprotokolldaten und berücksichtigt dabei verschiedene Trennzeichen und potenzielle Formatierungsabweichungen. Anschließend werden die extrahierten Felder basierend auf dem Logtyp (DNS oder Audit) dem entsprechenden UDM-Schema zugeordnet. Die Daten werden mit zusätzlichem Kontext angereichert und die Darstellung wird für die weitere Analyse standardisiert.

Hinweise

  • Prüfen Sie, ob Sie eine Google SecOps-Instanz haben.
  • Prüfen Sie, ob Sie privilegierten Zugriff auf AWS IAM und S3 haben.
  • Prüfen Sie, ob Sie privilegierten Zugriff auf Cisco Umbrella haben.

Von Cisco verwalteten Amazon S3-Bucket konfigurieren

  1. Melden Sie sich im Cisco Umbrella-Dashboard an.
  2. Klicken Sie auf Verwaltung > Protokollverwaltung.
  3. Wählen Sie die Option Use a Cisco-managed Amazon S3 bucket (Von Cisco verwalteten Amazon S3-Bucket verwenden) aus.
  4. Geben Sie die folgenden Konfigurationsdetails an:
    • Region auswählen: Wählen Sie eine Region in der Nähe Ihres Standorts aus, um die Latenz zu verringern.
    • Aufbewahrungsdauer auswählen: Wählen Sie den Zeitraum aus. Die Aufbewahrungsdauer beträgt 7, 14 oder 30 Tage. Nach dem ausgewählten Zeitraum werden die Daten gelöscht und können nicht wiederhergestellt werden. Wenn Ihr Aufnahmerhythmus regelmäßig ist, sollten Sie einen kürzeren Zeitraum verwenden. Sie können die Aufbewahrungsdauer später ändern.
  5. Klicken Sie auf Speichern.
  6. Klicken Sie auf Weiter, um Ihre Auswahl zu bestätigen und eine Aktivierungsbenachrichtigung zu erhalten.
    Im Fenster Aktivierung abgeschlossen werden die Werte für Zugriffsschlüssel und Geheimer Schlüssel angezeigt.
  7. Kopieren Sie die Werte für Access key (Zugriffsschlüssel) und Secret key (geheimer Schlüssel). Wenn Sie diese Schlüssel verlieren, müssen Sie sie neu generieren.
  8. Klicken Sie auf Ok > Weiter.
  9. Auf einer Übersichtsseite werden die Konfiguration und der Name Ihres Buckets angezeigt. Sie können das Logging nach Bedarf für Ihre Organisation deaktivieren oder aktivieren. Logs werden jedoch unabhängig davon, ob neue Daten hinzugefügt werden, auf Grundlage der Aufbewahrungsdauer gelöscht.

Optional: Nutzerzugriffsschlüssel für selbstverwalteten AWS S3-Bucket konfigurieren

  1. Melden Sie sich bei der AWS Management Console an.
  2. Erstellen Sie einen Nutzer gemäß dieser Anleitung: IAM-Nutzer erstellen.
  3. Wählen Sie den erstellten Nutzer aus.
  4. Wählen Sie den Tab Sicherheitsanmeldedaten aus.
  5. Klicken Sie im Abschnitt Zugriffsschlüssel auf Zugriffsschlüssel erstellen.
  6. Wählen Sie als Anwendungsfall Drittanbieterdienst aus.
  7. Klicken Sie auf Weiter.
  8. Optional: Fügen Sie ein Beschreibungstag hinzu.
  9. Klicken Sie auf Zugriffsschlüssel erstellen.
  10. Klicken Sie auf CSV-Datei herunterladen, um den Access Key (Zugriffsschlüssel) und den Secret Access Key (geheimer Zugriffsschlüssel) für die spätere Verwendung zu speichern.
  11. Klicken Sie auf Fertig.
  12. Wählen Sie den Tab Berechtigungen aus.
  13. Klicken Sie im Bereich Berechtigungsrichtlinien auf Berechtigungen hinzufügen.
  14. Wählen Sie Berechtigungen hinzufügen aus.
  15. Wählen Sie Richtlinien direkt anhängen aus.
  16. Suchen Sie nach der Richtlinie AmazonS3FullAccess und wählen Sie sie aus.
  17. Klicken Sie auf Weiter.
  18. Klicken Sie auf Berechtigungen hinzufügen.

Optional: Selbstverwalteten Amazon S3-Bucket konfigurieren

  1. Melden Sie sich bei der AWS Management Console an.

  2. Rufen Sie S3 auf.

  3. Klicken Sie auf Bucket erstellen.

  4. Geben Sie die folgenden Konfigurationsdetails an:

    • Bucket-Name: Geben Sie einen Namen für den Amazon S3-Bucket an.
    • Region: Wählen Sie eine Region aus.

  5. Klicken Sie auf Erstellen.

Optional: Bucket-Richtlinie für selbstverwalteten AWS S3-Bucket konfigurieren

  1. Klicken Sie auf den neu erstellten Bucket, um ihn zu öffnen.
  2. Wählen Sie Eigenschaften > Berechtigungen aus.
  3. Klicken Sie in der Liste Berechtigungen auf Bucket-Richtlinie hinzufügen.

  4. Geben Sie die vorkonfigurierte Bucket-Richtlinie wie folgt ein:

    {
  "Version": "2008-10-17",
  "Statement": [
    {
      "Sid": "",
      "Effect": "Allow",
      "Principal": {
        "AWS": "arn:aws:iam::568526795995:user/logs"
      },
      "Action": "s3:PutObject",
      "Resource": "arn:aws:s3:::BUCKET_NAME/*"
    },
    {
      "Sid": "",
      "Effect": "Deny",
      "Principal": {
        "AWS": "arn:aws:iam::568526795995:user/logs"
      },
      "Action": "s3:GetObject",
      "Resource": "arn:aws:s3:::BUCKET_NAME/*"},
    {
      "Sid": "",
      "Effect": "Allow",
      "Principal": {
        "AWS": "arn:aws:iam::568526795995:user/logs"
      },
      "Action": "s3:GetBucketLocation",
      "Resource": "arn:aws:s3:::BUCKET_NAME"
    },
    {
      "Sid": "",
      "Effect": "Allow",
      "Principal": {
        "AWS": "arn:aws:iam::568526795995:user/logs"
      },
      "Action": "s3:ListBucket",
      "Resource": "arn:aws:s3:::BUCKET_NAME"
    }
  ]
}
    • Ersetzen Sie BUCKET_NAME durch den von Ihnen angegebenen Amazon S3-Bucket-Namen.

  5. Klicken Sie auf Speichern.

Optional: Erforderliche Bestätigung für selbstverwalteten Amazon S3-Bucket

  1. Wählen Sie im Cisco Umbrella-Dashboard Admin > Log management > Amazon S3 aus.
  2. Geben Sie im Feld Bucket name (Bucket-Name) den genauen Namen Ihres Amazon S3-Buckets an und klicken Sie dann auf Verify (Bestätigen).
  3. Im Rahmen der Überprüfung wird eine Datei mit dem Namen README_FROM_UMBRELLA.txt von Cisco Umbrella in Ihren Amazon S3-Bucket hochgeladen. Möglicherweise müssen Sie Ihren Browser aktualisieren, damit die Readme-Datei nach dem Hochladen angezeigt wird.
  4. Laden Sie die Datei README_FROM_UMBRELLA.txt herunter und öffnen Sie sie mit einem Texteditor.
  5. Kopieren und speichern Sie das eindeutige Cisco Umbrella-Token aus der Datei.
  6. Rufen Sie das Cisco Umbrella-Dashboard auf.
  7. Geben Sie im Feld Tokennummer das Token an und klicken Sie auf Speichern.
  8. Wenn der Vorgang erfolgreich war, erhalten Sie in Ihrem Dashboard eine Bestätigungsnachricht, dass der Bucket bestätigt wurde. Wenn Sie eine Fehlermeldung erhalten, dass Ihr Bucket nicht überprüft werden kann, prüfen Sie noch einmal die Syntax des Bucket-Namens und die Konfiguration.

Feed in Google SecOps konfigurieren, um die Cisco Umbrella-Audit-Logs aufzunehmen

  1. Rufen Sie die SIEM-Einstellungen> Feeds auf.
  2. Klicken Sie auf Neu hinzufügen.
  3. Geben Sie im Feld Feed name (Feedname) einen Namen für den Feed ein, z. B. Cisco Umbrella Audit Logs (Cisco Umbrella-Prüfprotokolle).
  4. Wählen Sie Amazon S3 V2 als Quelltyp aus.
  5. Wählen Sie Cisco Umbrella Audit als Logtyp aus.
  6. Klicken Sie auf Weiter.

  7. Geben Sie Werte für die folgenden Eingabeparameter an:

    • S3-URI: Der Bucket-URI.
      • s3:/BUCKET_NAME
        • Ersetzen Sie BUCKET_NAME durch den tatsächlichen Namen des Buckets.
    • Optionen zum Löschen von Quellen: Wählen Sie die gewünschte Option aus.

  8. Klicken Sie auf Weiter.

  9. Prüfen Sie die neue Feedkonfiguration auf dem Bildschirm Abschließen und klicken Sie dann auf Senden.

UDM-Zuordnungstabelle

Logfeld UDM-Zuordnung Logik
action_type security_result.action_details Direkt aus dem Rohlogfeld action_type zugeordnet.
action_type security_result.action Wenn action_type allow enthält (Groß- und Kleinschreibung wird nicht berücksichtigt), legen Sie ALLOW fest. Wenn action_type block enthält (Groß- und Kleinschreibung wird nicht berücksichtigt), legen Sie BLOCK fest.
additionalValue additional.fields{}.key Legen Sie Additional Value fest.
additionalValue additional.fields{}.value.string_value Direkt aus dem Rohlogfeld additionalValue zugeordnet.
blocked_categories additional.fields{}.key Legen Sie blocked_categories fest.
blocked_categories additional.fields{}.value.string_value Direkt aus dem Rohlogfeld blocked_categories zugeordnet.
Kategorien security_result.category_details Direkt aus dem Rohlogfeld categories abgeleitet, nachdem es durch Komma getrennt wurde.
Spalte1 metadata.product_log_id Wird aus dem Rohlogfeld column1 zugeordnet, wenn es sich beim Log um ein Audit-Log handelt.
Spalte1 date_time Wird aus dem Rohlogfeld column1 zugeordnet, wenn es sich um ein DNS-Log handelt.
column10 Kategorien Direkt aus dem Rohlogfeld column10 zugeordnet.
column11 most_granular_identity_type Direkt aus dem Rohlogfeld column11 zugeordnet.
column12 identity_types Direkt aus dem Rohlogfeld column12 zugeordnet.
column13 blocked_categories Direkt aus dem Rohlogfeld column13 zugeordnet.
Spalte2 date_time Wird aus dem Rohlogfeld column2 zugeordnet, wenn es sich beim Log um ein Audit-Log handelt.
Spalte2 most_granular_identity Wird aus dem Rohlogfeld column2 zugeordnet, wenn es sich um ein DNS-Log handelt.
Spalte3 principal.user.email_addresses Wird aus dem Rohlogfeld column3 zugeordnet, wenn es sich beim Log um ein Audit-Log handelt.
Spalte3 Identitäten Wird aus dem Rohlogfeld column3 zugeordnet, wenn es sich um ein DNS-Log handelt.
Spalte4 principal.user.userid Wird aus dem Rohlogfeld column4 zugeordnet, wenn es sich beim Log um ein Audit-Log handelt.
Spalte4 internal_ip Wird aus dem Rohlogfeld column4 zugeordnet, wenn es sich um ein DNS-Log handelt.
column5 security_result.rule_name Wird aus dem Rohlogfeld column5 zugeordnet, wenn es sich beim Log um ein Audit-Log handelt.
column5 external_ip Wird aus dem Rohlogfeld column5 zugeordnet, wenn es sich um ein DNS-Log handelt.
column6 action_type Direkt aus dem Rohlogfeld column6 zugeordnet.
column7 principal.ip Wird aus dem Rohlogfeld column7 zugeordnet, wenn es sich beim Log um ein Audit-Log handelt.
column7 dns_query_type Wird aus dem Rohlogfeld column7 zugeordnet, wenn es sich um ein DNS-Log handelt.
column8 additionalValue Wird aus dem Rohlogfeld column8 zugeordnet, wenn es sich beim Log um ein Audit-Log handelt.
column8 dns_response_code Wird aus dem Rohlogfeld column8 zugeordnet, wenn es sich um ein DNS-Log handelt.
column9 Domain Direkt aus dem Rohlogfeld column9 zugeordnet.
date_time metadata.event_timestamp.seconds Der aus dem Feld date_time extrahierte Epoch-Zeitstempel.
dns_query_type network.dns.questions.type Wird aus dem Feld dns_query_type mit einem regulären Ausdruck extrahiert und in eine Ganzzahl umgewandelt.
dns_response_code network.dns.response_code Wird aus dem Feld dns_response_code zugeordnet und basierend auf den DNS-Antwortcode-Werten in eine Ganzzahl umgewandelt.
Domain network.dns.questions.name Direkt aus dem Feld domain zugeordnet.
external_ip principal.ip Wird aus dem Feld external_ip zugeordnet, wenn es nicht leer ist und sich von internal_ip unterscheidet.
Identitäten principal.location.name Wird aus dem Feld identities zugeordnet, wenn das entsprechende Feld identity_types Networks ist.
Identitäten principal.hostname Wird aus dem Feld identities zugeordnet, wenn das entsprechende Feld identity_types AD Computers, Roaming Computers oder Anyconnect Roaming Client ist.
Identitäten principal.asset.hostname Wird aus dem Feld identities zugeordnet, wenn das entsprechende Feld identity_types AD Computers, Roaming Computers oder Anyconnect Roaming Client ist.
Identitäten principal.location.city Wird aus dem Feld identities zugeordnet, wenn das entsprechende Feld identity_types Sites ist.
identity_types additional.fields{}.key Legen Sie identities_types fest.
identity_types additional.fields{}.value.string_value Direkt aus dem Rohlogfeld identity_types zugeordnet.
internal_ip principal.ip Wird aus dem Feld internal_ip zugeordnet, wenn es nicht leer ist.
most_granular_identity additional.fields{}.key Legen Sie most_granular_identity fest.
most_granular_identity additional.fields{}.value.string_value Direkt aus dem Rohlogfeld most_granular_identity zugeordnet.
most_granular_identity_type additional.fields{}.key Legen Sie most_granular_identity_type fest.
most_granular_identity_type additional.fields{}.value.string_value Direkt aus dem Rohlogfeld most_granular_identity_type zugeordnet.
metadata.event_type Wird auf NETWORK_DNS gesetzt, wenn es sich beim Log um ein DNS-Log handelt.
metadata.event_type Wird auf STATUS_UPDATE gesetzt, wenn das Log ein Audit-Log ist und principal_ip nicht leer ist.
metadata.event_type Auf GENERIC_EVENT festgelegt, wenn das Log ein Audit-Log ist und principal_ip leer ist.
metadata.vendor_name Legen Sie CISCO UMBERLLA fest.
metadata.product_name Legen Sie CISCO UMBERLLA fest.
metadata.log_type Legen Sie AUDITD fest.
network.application_protocol Wird auf DNS gesetzt, wenn es sich beim Log um ein DNS-Log handelt.

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten