Recoger registros de Cisco Secure ACS

En este documento se describe cómo puede recoger registros de Cisco Secure Access Control Server (ACS) mediante un reenviador de Google Security Operations.

Para obtener más información, consulta Ingestión de datos en Google Security Operations.

Una etiqueta de ingestión identifica el analizador que normaliza los datos de registro sin procesar en formato UDM estructurado. La información de este documento se aplica al analizador con la etiqueta de ingestión CISCO_ACS.

Configurar Cisco Secure ACS

1. Inicia sesión en la consola de Cisco Secure ACS con las credenciales de administrador.
2. En la consola de Cisco Secure ACS, selecciona Administración del sistema > Configuración > Configuración de registros > Destinos de registros remotos.
3. Haz clic en Crear.

4. En la ventana Crear, especifique los valores de los siguientes campos:

   Campo	Descripción
   Nombre	Nombre del reenviador de Google Security Operations.
   Descripción	Descripción del reenviador de Google Security Operations.
   Dirección IP	Dirección IP del reenviador de Google Security Operations.
   Usar opciones avanzadas de syslog	Selecciona esta opción para habilitar las opciones avanzadas de syslog.
   Tipo de destino	Selecciona Syslog TCP o Syslog UDP.
   Puerto	Usa un puerto alto, como 10514.
   Código de centro	LOCAL6 (código = 22; valor predeterminado).
   Longitud máxima	El valor recomendado es 1024.

5. Haz clic en Enviar. Aparecerá la ventana Destinos de registro remotos con la nueva configuración del destino de registro remoto.

6. En la consola de Cisco Secure ACS, seleccione Administración del sistema > Configuración > Configuración de registro > Categorías de registro > Por instancia.

7. Selecciona ACS y, a continuación, haz clic en Configurar.

8. En la ventana Por instancia, selecciona una categoría de registro y haz clic en Editar.

   En la pestaña General, en algunas categorías de registro, la gravedad del registro debe ser la predeterminada o la que proporcione el proveedor.

   En Cisco Secure ACS, la gravedad predeterminada es Advertencia para todas las categorías de registro, excepto para aquellas cuya gravedad no se puede cambiar, como las de auditoría de AAA, aviso de contabilidad, aviso de auditoría administrativa y operativa, y aviso de estadísticas del sistema.

9. Haga clic en la pestaña Destino syslog remoto y mueva el destino remoto que acaba de crear de Destinos disponibles a Destinos seleccionados.

10. Haz clic en Enviar.

11. Para configurar destinos remotos para otras categorías de registro, repite los pasos del 8 al 10.

Configurar el reenviador de Google Security Operations y syslog para ingerir registros de Cisco Secure ACS

1. Ve a Configuración de SIEM > Reenviadores.
2. Haz clic en Añadir nuevo remitente.
3. En el campo Nombre del reenviador, introduce un nombre único para el reenviador.
4. Haz clic en Enviar. Se añade el reenviador y se muestra la ventana Añadir configuración de recopilador.
5. En el campo Nombre del recolector, escribe un nombre.
6. Seleccione Cisco ACS como Tipo de registro.
7. Seleccione Syslog como Tipo de recogida.
8. Configure los siguientes parámetros de entrada obligatorios:
   • Protocolo: especifica el protocolo.
   • Dirección: especifica la dirección IP o el nombre de host de destino donde reside el recolector y las direcciones de los datos de syslog.
   • Puerto: especifica el puerto de destino en el que reside el recopilador y escucha los datos de syslog.
9. Haz clic en Enviar.

Para obtener más información sobre los reenviadores de Google Security Operations, consulta la documentación de los reenviadores de Google Security Operations. Para obtener información sobre los requisitos de cada tipo de reenviador, consulta Configuración de reenviadores por tipo. Si tienes problemas al crear reenviadores, ponte en contacto con el equipo de Asistencia de Google Security Operations.

Referencia de asignación de campos

Este analizador gestiona los registros de Cisco ACS, incluidos los de autenticación, contabilidad, diagnóstico y estadísticas del sistema. Usa patrones grok para extraer campos de varios formatos de registro (SYSLOG + KV, LEEF), normaliza las marcas de tiempo y las zonas horarias, y asigna campos clave al modelo de datos unificado. Además, gestiona diferentes tipos de registros con una lógica específica para los éxitos o fallos de autenticación, la contabilidad de TACACS+ y los eventos de RADIUS. También enriquece el UDM con campos adicionales, como información del dispositivo y detalles de autenticación.

Tabla de asignación de UDM

¿Necesitas más ayuda? Recibe respuestas de los miembros de la comunidad y de los profesionales de Google SecOps.