Recopila registros de Cisco Secure ACS

En este documento, se describe cómo recopilar registros de Cisco Secure Access Control Server (ACS) con un reenvío de Google Security Operations.

Para obtener más información, consulta Transferencia de datos a Google Security Operations.

Una etiqueta de transferencia identifica el analizador que normaliza los datos de registro sin procesar al formato UDM estructurado. La información de este documento se aplica al analizador con la etiqueta de transferencia CISCO_ACS.

Configura Cisco Secure ACS

1. Accede a la consola de Cisco Secure ACS con las credenciales de administrador.
2. En la consola de Cisco Secure ACS, selecciona Administración del sistema > Configuración > Configuración de registros > Destinos de registros remotos.
3. Haz clic en Crear.

4. En la ventana Crear, especifica valores para los siguientes campos:

   Campo	Descripción
   Nombre	Nombre del reenvío de Google Security Operations.
   Descripción	Es la descripción del agente de reenvío de Google Security Operations.
   Dirección IP	Es la dirección IP del reenviador de Google Security Operations.
   Cómo usar opciones avanzadas de syslog	Selecciona esta opción para habilitar las opciones avanzadas de syslog.
   Tipo de objetivo	Selecciona Syslog TCP o Syslog UDP.
   Puerto	Usa un puerto alto, como 10514.
   Código de la instalación	LOCAL6 (código = 22; predeterminado)
   Longitud máxima	El valor recomendado es de 1024.

5. Haz clic en Enviar. Aparecerá la ventana Destinos de registro remotos con la nueva configuración del destino de registro remoto.

6. En la consola de Cisco Secure ACS, selecciona Administración del sistema > Configuración > Configuración de registros > Categorías de registros > Por instancia.

7. Selecciona ACS y, luego, haz clic en Configurar.

8. En la ventana Por instancia, selecciona una categoría de registro y, luego, haz clic en Editar.

   En la pestaña General, para algunas categorías de registro, la gravedad del registro debe establecerse como predeterminada o según lo proporcione el proveedor.

   En el caso de Cisco Secure ACS, la gravedad predeterminada es Advertencia para todas las categorías de registro, excepto para aquellas en las que no se puede cambiar la gravedad, como AAA audit-notice, accounting-notice, administrative and operational audit-notice y system statistics-notice.

9. Haz clic en la pestaña Destino de syslog remoto y mueve el destino remoto recién creado de Destinos disponibles a Destinos seleccionados.

10. Haz clic en Enviar.

11. Para configurar destinos remotos para otras categorías de registro, repite los pasos del 8 al 10.

Configura el reenvío y el syslog de Google Security Operations para transferir los registros de Cisco Secure ACS

1. Ve a Configuración del SIEM > Reenviadores.
2. Haz clic en Agregar un nuevo reenvío.
3. En el campo Nombre del reenviador, ingresa un nombre único para el reenviador.
4. Haz clic en Enviar. Se agregará el reenvío y aparecerá la ventana Add collector configuration.
5. En el campo Nombre del recopilador, escribe un nombre.
6. Selecciona Cisco ACS como el Tipo de registro.
7. Selecciona Syslog como el Tipo de recopilador.
8. Configura los siguientes parámetros de entrada obligatorios:
   • Protocolo: Especifica el protocolo.
   • Dirección: Especifica la dirección IP o el nombre de host de destino en el que reside el recopilador y al que se dirigen los datos de syslog.
   • Puerto: Especifica el puerto de destino en el que reside el recopilador y escucha los datos de syslog.
9. Haz clic en Enviar.

Para obtener más información sobre los retransmisores de Google Security Operations, consulta la documentación de los retransmisores de Google Security Operations. Para obtener información sobre los requisitos de cada tipo de reenvío, consulta Configuración del reenvío por tipo. Si tienes problemas para crear reenvíos, comunícate con el equipo de asistencia de Operaciones de seguridad de Google.

Referencia de la asignación de campos

Este analizador controla los registros de Cisco ACS, incluidas las estadísticas de autenticación, contabilidad, diagnóstico y sistema. Utiliza patrones de Grok para extraer campos de varios formatos de registro (SYSLOG + KV, LEEF), normaliza las marcas de tiempo y las zonas horarias, y asigna campos clave al UDM, controlando diferentes tipos de registros con lógica específica para los éxitos o errores de autenticación, la contabilidad de TACACS+ y los eventos de RADIUS. También enriquece el UDM con campos adicionales, como información del dispositivo y detalles de autenticación.

Tabla de asignación de UDM

¿Necesitas más ayuda? Obtén respuestas de miembros de la comunidad y profesionales de Google SecOps.