收集 Cisco Secure Access 記錄

剖析器版本：4.0

本文說明如何使用 Amazon S3，將 Cisco Secure Access 記錄擷取至 Google Security Operations。

Cisco Secure Access 是透過雲端提供的安全服務邊緣 (SSE) 解決方案，可提供零信任網路存取、安全網頁閘道、雲端防火牆、DNS 層級安全防護和資料外洩防護。這項功能整合了多種安全防護機制，可保護使用者和裝置，讓他們從任何位置存取應用程式。

事前準備

請確認您已完成下列事前準備事項：

• Google SecOps 執行個體
• 具備「完整管理員」使用者角色，可存取 Cisco Secure Access 的所有功能
• AWS (S3、IAM) 的特殊存取權

為 Cisco Secure Access 設定 Amazon S3 值區

1. 登入 AWS 管理主控台。
2. 前往「Amazon S3」>「Buckets」。
3. 按一下「建立值區」。

4. 輸入不重複的值區名稱 (例如 cisco-secure-access-logs)。

5. 選取要建立值區的 AWS 區域。

6. 其餘設定請保留預設值，然後點選「建立值區」。

7. 選取新建立的 bucket。

8. 前往「Permissions」>「Bucket policy」。

9. 按一下「編輯」，然後貼上下列 JSON 政策，並將 bucketname 替換為實際的 bucket 名稱：

   {
       "Version": "2008-10-17",
       "Statement": [
           {
               "Sid": "",
               "Effect": "Allow",
               "Principal": {
                   "AWS": "arn:aws:iam::568526795995:user/logs"
               },
               "Action": "s3:PutObject",
               "Resource": "arn:aws:s3:::bucketname/*"
           },
           {
               "Sid": "",
               "Effect": "Deny",
               "Principal": {
                   "AWS": "arn:aws:iam::568526795995:user/logs"
               },
               "Action": "s3:GetObject",
               "Resource": "arn:aws:s3:::bucketname/*"
           },
           {
               "Sid": "",
               "Effect": "Allow",
               "Principal": {
                   "AWS": "arn:aws:iam::568526795995:user/logs"
               },
               "Action": "s3:GetBucketLocation",
               "Resource": "arn:aws:s3:::bucketname"
           },
           {
               "Sid": "",
               "Effect": "Allow",
               "Principal": {
                   "AWS": "arn:aws:iam::568526795995:user/logs"
               },
               "Action": "s3:ListBucket",
               "Resource": "arn:aws:s3:::bucketname"
           }
       ]
   }
   

10. 按一下 [儲存變更]。

為 Google SecOps 設定 AWS S3 IAM 使用者

1. 在 AWS 管理主控台中，依序前往「IAM」>「Users」。
2. 請按照這份使用者指南建立使用者：建立 IAM 使用者。
3. 選取建立的「使用者」。
4. 選取「安全憑證」分頁標籤。
5. 在「Access Keys」部分中，按一下「Create Access Key」。
6. 選取「第三方服務」做為「用途」。
7. 按一下「下一步」。
   • 選用：新增說明標記。
8. 按一下「建立存取金鑰」。
9. 按一下「Download .csv file」(下載 .csv 檔案)，儲存「Access Key」(存取金鑰) 和「Secret Access Key」(私密存取金鑰)，以供日後參考。
10. 按一下 [完成]。
11. 選取「權限」分頁標籤。
12. 在「權限政策」部分中，按一下「新增權限」。
13. 選取「新增權限」。
14. 選取「直接附加政策」。
15. 搜尋「AmazonS3FullAccess」AmazonS3FullAccess政策。
16. 選取政策。
17. 點選「下一步」。
18. 按一下「Add permissions」。

設定 Cisco Secure Access，將記錄匯出至 S3 儲存空間

1. 前往 https://dashboard.sse.cisco.com，登入 Cisco Secure Access 資訊主頁。
2. 依序前往「管理」>「記錄管理」。
3. 在「Amazon S3」區域中，選取「Use your company-managed Amazon S3 bucket」(使用公司管理的 Amazon S3 值區)。
4. 在「Amazon S3 Bucket」欄位中，輸入您建立的 S3 bucket 確切名稱 (例如 cisco-secure-access-logs)。

5. 按一下 [Verify]。

6. 開啟 Cisco Secure Access 儲存到 S3 bucket 的 README_FROM_UMBRELLA.txt 檔案。

7. 複製檔案中列出的符記。

8. 將權杖貼到 Cisco Secure Access 資訊主頁的「Token Number」(權杖號碼) 欄位。

9. 按一下 [儲存]。

在 Google SecOps 中設定資訊提供，擷取 Cisco Secure Access 記錄

1. 依序前往「SIEM 設定」>「動態饋給」。
2. 按一下「新增動態消息」。
3. 在下一個頁面中，按一下「設定單一動態饋給」。
4. 輸入專屬的動態饋給名稱 (例如 Cisco Secure Access Logs)。
5. 選取「Amazon S3 V2」做為「來源類型」。
6. 選取「Cisco Secure Access」做為「記錄類型」。
7. 依序點按「繼續」和「提交」。

8. 為下列欄位指定值：

   • S3 URI：s3://<BUCKET_NAME>/ 將 <BUCKET_NAME> 替換為 S3 bucket 的名稱 (例如 cisco-secure-access-logs)。
   • 來源刪除選項：根據偏好設定選取刪除選項
   • 檔案存在時間上限：包含在過去天數內修改的檔案 (預設為 180 天)
   • 存取金鑰 ID：具有 S3 值區存取權的使用者存取金鑰
   • 存取密鑰：具有 S3 bucket 存取權的使用者私密金鑰
   • 資產命名空間：資產命名空間
   • 擷取標籤：要套用至這個動態饋給事件的標籤

9. 依序點按「繼續」和「提交」。

UDM 對應表

變更記錄

查看這個剖析器的變更記錄

還有其他問題嗎？向社群成員和 Google SecOps 專業人員尋求答案。