Collecter les journaux Cisco Secure ACS

Ce document explique comment collecter les journaux Cisco Secure Access Control Server (ACS) à l'aide d'un transmetteur Google Security Operations.

Pour en savoir plus, consultez Ingestion de données dans Google Security Operations.

Une étiquette d'ingestion identifie l'analyseur qui normalise les données de journaux brutes au format UDM structuré. Les informations de ce document s'appliquent au parseur avec le libellé d'ingestion CISCO_ACS.

Configurer Cisco Secure ACS

1. Connectez-vous à la console Cisco Secure ACS à l'aide des identifiants administrateur.
2. Dans la console Cisco Secure ACS, sélectionnez System administration > Configuration > Log configuration > Remote log targets.
3. Cliquez sur Créer.

4. Dans la fenêtre Créer, spécifiez les valeurs des champs suivants :

   Champ	Description
   Nom	Nom du redirecteur Google Security Operations.
   Description	Description du transmetteur Google Security Operations.
   Adresse IP	Adresse IP du redirecteur Google Security Operations.
   Utiliser les options syslog avancées	Sélectionnez cette option pour activer les options syslog avancées.
   Type de cible	Sélectionnez "Syslog TCP" ou "Syslog UDP".
   Port	Utilisez un port élevé, tel que 10514.
   Code de l'établissement	LOCAL6 (code = 22 ; par défaut)
   Longueur maximale	La valeur recommandée est 1 024.

5. Cliquez sur Envoyer. La fenêtre Cibles de journaux à distance s'affiche avec la nouvelle configuration de la cible de journaux à distance.

6. Dans la console Cisco Secure ACS, sélectionnez System administration > Configuration > Log configuration > Logging categories > Per-Instance.

7. Sélectionnez ACS, puis cliquez sur Configurer.

8. Dans la fenêtre Par instance, sélectionnez une catégorie de journalisation, puis cliquez sur Modifier.

   Dans l'onglet Général, pour certaines catégories de journalisation, la gravité de la journalisation doit être définie sur la valeur par défaut ou sur celle fournie par le fournisseur.

   Pour Cisco Secure ACS, le niveau de gravité par défaut est Avertissement pour toutes les catégories de journaux, à l'exception de celles pour lesquelles le niveau de gravité ne peut pas être modifié, telles que les notifications d'audit AAA, les notifications de comptabilité, les notifications d'audit administratif et opérationnel, et les notifications de statistiques système.

9. Cliquez sur l'onglet Cible syslog distante, puis déplacez la cible distante que vous venez de créer de Cibles disponibles vers Cibles sélectionnées.

10. Cliquez sur Envoyer.

11. Pour configurer des cibles distantes pour d'autres catégories de journalisation, répétez les étapes 8 à 10.

Configurer le redirecteur Google Security Operations et Syslog pour ingérer les journaux Cisco Secure ACS

1. Accédez à Paramètres SIEM > Transférateurs.
2. Cliquez sur Ajouter un nouveau transfert.
3. Dans le champ Nom du transitaire, saisissez un nom unique pour le transitaire.
4. Cliquez sur Envoyer. Le redirecteur est ajouté et la fenêtre Ajouter une configuration de collecteur s'affiche.
5. Dans le champ Nom du collecteur, saisissez un nom.
6. Sélectionnez Cisco ACS comme Type de journal.
7. Sélectionnez Syslog comme type de collecteur.
8. Configurez les paramètres d'entrée obligatoires suivants :
   • Protocole : spécifiez le protocole.
   • Adresse : spécifiez l'adresse IP ou le nom d'hôte cibles où réside le collecteur et les adresses des données syslog.
   • Port : spécifiez le port cible sur lequel le collecteur réside et écoute les données syslog.
9. Cliquez sur Envoyer.

Pour en savoir plus sur les redirecteurs Google Security Operations, consultez la documentation sur les redirecteurs Google Security Operations. Pour en savoir plus sur les exigences de chaque type de redirecteur, consultez Configuration des redirecteurs par type. Si vous rencontrez des problèmes lors de la création de transferts, contactez l'assistance Google Security Operations.

Référence du mappage de champs

Ce parseur gère les journaux Cisco ACS, y compris l'authentification, la comptabilité, les diagnostics et les statistiques système. Il utilise des modèles Grok pour extraire des champs de différents formats de journaux (SYSLOG+KV, LEEF), normalise les codes temporels et les fuseaux horaires, et mappe les champs clés à l'UDM, en gérant différents types de journaux avec une logique spécifique pour les réussites/échecs d'authentification, la comptabilité TACACS+ et les événements RADIUS. Il enrichit également les données UDM avec des champs supplémentaires tels que les informations sur l'appareil et les détails d'authentification.

Table de mappage UDM

Vous avez encore besoin d'aide ? Obtenez des réponses de membres de la communauté et de professionnels Google SecOps.