收集 Cisco Umbrella Web Proxy 記錄

支援的國家/地區：

Google SecOps SIEM

注意： 這項功能受《Google Security Operations 服務專屬條款》的《正式發布前產品條款》規範。正式發布前的功能或許只提供部分支援，而且這類功能的變更可能與其他正式發布前版本不相容。詳情請參閱《Google SecOps 技術支援服務指南》和《Google SecOps 服務專屬條款》。

本文說明如何使用 AWS S3 bucket，將 Cisco Umbrella Web Proxy 記錄收集到 Google Security Operations 資訊串流。剖析器會從 CSV 記錄中擷取欄位，重新命名欄位以求清楚明瞭，並處理輸入資料中可能出現的變化。然後使用內含的檔案 (umbrella_proxy_udm.include 和 umbrella_handle_identities.include)，將擷取的欄位對應至 UDM，並根據 identityType 欄位處理身分資訊。

事前準備

• 確認您擁有 Google SecOps 執行個體。
• 確認您有權存取 AWS IAM 和 S3。
• 確認您具備 Cisco Umbrella 的特殊權限。

設定 Cisco 管理的 Amazon S3 儲存空間

注意： 在 Cisco 管理的 bucket 中，Cisco Umbrella 稽核會擁有 bucket 並自動設定。

1. 登入 Cisco Umbrella 資訊主頁。
2. 依序前往「管理」>「記錄管理」。
3. 選取「Use a Cisco-managed Amazon S3 bucket」(使用 Cisco 管理的 Amazon S3 bucket) 選項。
4. 提供下列設定詳細資料：
   • 選取區域：選取離您較近的區域，以降低延遲。
   • 選取保留期限：選取時間範圍。保留時間為 7 天、14 天或 30 天。超過所選時間範圍後，系統就會刪除資料，且無法復原。如果擷取週期規律，請使用較短的時間範圍。您日後可以變更保留期限。
5. 按一下 [儲存]。
6. 按一下「繼續」，確認所選項目並接收啟用通知。
   在隨即顯示的「Activation complete」(啟用完成) 視窗中，會顯示「Access key」(存取金鑰) 和「Secret key」(私密金鑰) 值。
7. 複製「存取金鑰」和「私密金鑰」值。如果遺失這些金鑰，就必須重新產生。
8. 依序點選「我知道了」>「繼續」。
9. 摘要頁面會顯示設定和 bucket 名稱。您可以視貴機構的需求開啟或關閉記錄功能。不過，系統會根據保留期限清除記錄，不會因為新增資料而有所不同。

注意： 如要進一步瞭解如何設定裝置來收集記錄，請參閱「啟用記錄功能，將記錄傳送至 Cisco 管理的 S3 值區」一文。

選用：為自行管理的 AWS S3 值區設定使用者存取金鑰

1. 登入 AWS 管理主控台。
2. 請按照這份使用者指南建立使用者：建立 IAM 使用者。
3. 選取建立的「使用者」。
4. 選取「安全憑證」分頁標籤。
5. 在「Access Keys」部分中，按一下「Create Access Key」。
6. 選取「第三方服務」做為「用途」。
7. 點選「下一步」。
8. 選用：新增說明標記。
9. 按一下「建立存取金鑰」。
10. 按一下「下載 CSV 檔案」，儲存「存取金鑰」和「私密存取金鑰」，以供日後使用。
11. 按一下 [完成]。
12. 選取 [權限] 分頁標籤。
13. 在「Permissions policies」(權限政策) 區段中，按一下「Add permissions」(新增權限)。
14. 選取「新增權限」。
15. 選取「直接附加政策」。
16. 搜尋並選取 AmazonS3FullAccess 政策。
17. 點選「下一步」。
18. 按一下「Add permissions」。

選用：設定自行管理的 Amazon S3 值區

1. 登入 AWS 管理主控台。

   注意： 如要進一步瞭解如何建立 S3 值區，請參閱「建立值區」。

2. 前往 S3。

3. 點選「建立值區」。

4. 請提供下列設定詳細資料：

   • 「Bucket name」(儲存桶名稱)：提供 Amazon S3 儲存桶的名稱。
   • 「Region」(區域)：選取區域。

5. 點選「建立」。

選用：為自行管理的 AWS S3 值區設定值區政策

1. 按一下新建立的 bucket 開啟。
2. 依序選取「內容」> 權限。
3. 在「Permissions」(權限) 清單中，按一下「Add bucket policy」(新增 bucket 政策)。

4. 輸入預先設定的值區政策，如下所示：

   {
     "Version": "2008-10-17",
     "Statement": [
       {
         "Sid": "",
         "Effect": "Allow",
         "Principal": {
           "AWS": "arn:aws:iam::568526795995:user/logs"
         },
         "Action": "s3:PutObject",
         "Resource": "arn:aws:s3:::BUCKET_NAME/*"
       },
       {
         "Sid": "",
         "Effect": "Deny",
         "Principal": {
           "AWS": "arn:aws:iam::568526795995:user/logs"
         },
         "Action": "s3:GetObject",
         "Resource": "arn:aws:s3:::BUCKET_NAME/*"},
       {
         "Sid": "",
         "Effect": "Allow",
         "Principal": {
           "AWS": "arn:aws:iam::568526795995:user/logs"
         },
         "Action": "s3:GetBucketLocation",
         "Resource": "arn:aws:s3:::BUCKET_NAME"
       },
       {
         "Sid": "",
         "Effect": "Allow",
         "Principal": {
           "AWS": "arn:aws:iam::568526795995:user/logs"
         },
         "Action": "s3:ListBucket",
         "Resource": "arn:aws:s3:::BUCKET_NAME"
       }
     ]
   }
   

   • 將 BUCKET_NAME 替換成您提供的 Amazon S3 bucket 名稱。

5. 按一下 [儲存]。

選用：自行管理的 Amazon S3 儲存貯體必須通過驗證

1. 在 Cisco Umbrella 資訊主頁中，依序選取「Admin」>「Log management」>「Amazon S3」。
2. 在「Bucket name」欄位中，指定確切的 Amazon S3 值區名稱，然後按一下「Verify」。
3. 在驗證過程中，系統會將名為 README_FROM_UMBRELLA.txt 的檔案從 Cisco Umbrella 上傳至 Amazon S3 值區。上傳讀我檔案後，可能需要重新整理瀏覽器才能看到。
4. 下載 README_FROM_UMBRELLA.txt 檔案，然後使用文字編輯器開啟。
5. 複製並儲存檔案中的專屬 Cisco Umbrella 權杖。
6. 前往 Cisco Umbrella 資訊主頁。
7. 在「權杖號碼」欄位中指定權杖，然後按一下「儲存」。
8. 如果驗證成功，資訊主頁會顯示確認訊息，指出儲存空間已通過驗證。如果收到錯誤訊息，指出無法驗證儲存空間，請重新檢查儲存空間名稱的語法，並檢查設定。

在 Google SecOps 中設定動態饋給，擷取 Cisco Umbrella Web Proxy 記錄

1. 依序前往「SIEM 設定」>「動態饋給」。
2. 按一下「新增」。
3. 在「動態饋給名稱」欄位中，輸入動態饋給的名稱，例如「Cisco Umbrella Web Proxy Logs」。
4. 選取「Amazon S3 V2」做為「來源類型」。
5. 將「記錄類型」設為「Cisco Umbrella Web Proxy」。
6. 點選「下一步」。

7. 指定下列輸入參數的值：

   • S3 URI：值區 URI。
     • s3:/BUCKET_NAME
       • 請將 BUCKET_NAME 替換為實際值區名稱。
   • 來源刪除選項：根據偏好設定選取刪除選項。
   注意： 如果選取 Delete transferred files 或 Delete transferred files and empty directories 選項，請務必授予服務帳戶適當權限。 * 檔案存在時間上限：包含在過去天數內修改的檔案。預設值為 180 天。 * 存取金鑰 ID：輸入有權存取 S3 值區的使用者存取金鑰。 * 私密存取金鑰：輸入有權存取 S3 bucket 的使用者私密金鑰。 * 選用：資產命名空間：提供資產命名空間。 * 選用：擷取標籤：提供要套用至這個動態饋給事件的標籤。

8. 點選「下一步」。

9. 在「Finalize」畫面上檢查新的動態饋給設定，然後按一下「Submit」。

UDM 對應表

記錄欄位	UDM 對應	邏輯
ampDisposition	security_result.detection_fields[].value	原始記錄中的 ampDisposition 值。
ampMalware	security_result.detection_fields[].value	原始記錄中的 ampMalware 值。
ampScore	security_result.detection_fields[].value	原始記錄中的 ampScore 值。
avDetections	security_result.detection_fields[].value	原始記錄中的 avDetections 值。
blockedCategories	security_result.threat_name	原始記錄中的 blockedCategories 值。
certificateErrors	security_result.detection_fields[].value	原始記錄中的 certificateErrors 值。
contentType	security_result.detection_fields[].value	原始記錄中的 contentType 值。
destinationIp	target.ip	原始記錄中的 destinationIp 值。
destinationListID	security_result.detection_fields[].value	原始記錄中的 destinationListID 值。
dlpstatus	security_result.detection_fields[].value	原始記錄中的 dlpstatus 值。
externalIp	principal.ip	原始記錄中的 externalIp 值。
fileAction	security_result.detection_fields[].value	原始記錄中的 fileAction 值。
fileName	target.file.names	原始記錄中的 fileName 值。
identitiesV8	principal.hostname	原始記錄中的 identitiesV8 值。
identity	principal.location.name	原始記錄中的 identity 值。
internalIp	principal.ip	原始記錄中的 internalIp 值。
isolateAction	security_result.detection_fields[].value	原始記錄中的 isolateAction 值。
referer	network.http.referral_url	原始記錄中的 referer 值。
requestMethod	network.http.method	原始記錄中的 requestMethod 值。
requestSize	security_result.detection_fields[].value	原始記錄中的 requestSize 值。
responseBodySize	security_result.detection_fields[].value	原始記錄中的 responseBodySize 值。
responseSize	security_result.detection_fields[].value	原始記錄中的 responseSize 值。
ruleID	security_result.rule_id	原始記錄中的 ruleID 值。
rulesetID	security_result.detection_fields[].value	原始記錄中的 rulesetID 值。
sha	security_result.about.file.sha256	原始記錄中的 sha 值。
statusCode	network.http.response_code	原始記錄中的 statusCode 值。
ts	timestamp	從原始記錄剖析 ts 的值，並轉換為時間戳記。
url	target.url	原始記錄中的 url 值。
userAgent	network.http.user_agent	原始記錄中的 userAgent 值。
verdict	security_result.detection_fields[].value	原始記錄中的 verdict 值。
warnstatus	security_result.detection_fields[].value	原始記錄中的 warnstatus 值。原始記錄中的 collection_time 值。硬式編碼為 NETWORK_HTTP。硬式編碼為 Cisco。硬式編碼為 Umbrella。硬式編碼為 UMBRELLA_WEBPROXY。衍生自網址欄位的架構 (http 或 https)。使用 User-Agent 剖析程式庫從 userAgent 欄位剖析。原始記錄中的 requestSize 值，已轉換為整數。原始記錄中的 responseSize 值，已轉換為整數。如果 identityType (或 identityTypeV8 搭配 identitiesV8) 指出使用者，系統會從 identity 欄位衍生出這個值。進一步剖析，擷取使用者詳細資料，例如顯示名稱、名字、姓氏和電子郵件地址。從 verdict 欄位對應：allowed 或 allowed -> ALLOW，其他值 -> BLOCK。如果 categories 不為空白，請設為 NETWORK_CATEGORIZED_CONTENT。原始記錄中的 categories 值。依據 verdict 和其他欄位 (如有)。通常是 Traffic allowed 或 Traffic blocked。如果 verdict 不是 allowed 或 blocked，且 statusCode 存在，則摘要為 Traffic %{statusCode}。

還有其他問題嗎？向社群成員和 Google SecOps 專業人員尋求答案。