Cisco Secure ACS のログを収集する

このドキュメントでは、Google Security Operations フォワーダーを使用して Cisco Secure Access Control Server（ACS）ログを収集する方法について説明します。

詳細については、Google Security Operations　へのデータの取り込みの概要をご覧ください。

取り込みラベルによって、未加工のログデータを構造化 UDM 形式に正規化するパーサーが識別されます。このドキュメントの情報は、取り込みラベル CISCO_ACS が付加されたパーサーに適用されます。

Cisco Secure ACS を構成する

1. 管理者認証情報を使用して Cisco Secure ACS コンソールにログインします。
2. Cisco Secure ACS コンソールで、[System administration] > [Configuration] > [Log configuration] > [Remote log targets] を選択します。
3. [作成] をクリックします。

4. [作成] ウィンドウで、次のフィールドの値を指定します。

   フィールド	説明
   名前	Google Security Operations フォワーダーの名前。
   説明	Google Security Operations フォワーダーの説明。
   IP アドレス	Google Security Operations フォワーダーの IP アドレス。
   高度な syslog オプションを使用する	高度な syslog オプションを有効にするには、このオプションを選択します。
   ターゲット タイプ	[TCP syslog] または [UDP syslog] を選択します。
   ポート	ハイポート（たとえば 10514）を使用します。
   ファシリティ コード	LOCAL6（コード = 22、デフォルト）。
   最大の長さ	推奨値は 1024 です。

5. [送信] をクリックします。新しいリモートログ ターゲット構成を含む [リモートログ ターゲット] ウィンドウが表示されます。

6. Cisco Secure ACS コンソールで、[System administration] > [Configuration] > [Log configuration] > [Logging categories] > [Per-Instance] を選択します。

7. [ACS] を選択し、[構成] をクリックします。

8. [インスタンスごと] ウィンドウで、ロギング カテゴリを選択し、[編集] をクリックします。

   [全般] タブで、一部のロギング カテゴリについては、ロギング重大度がデフォルトに、またはベンダーから提供されたとおりに設定されている必要があります。

   Cisco Secure ACS の場合、重大度を変更できないログカテゴリ（AAA 監査通知、アカウンティング通知、管理および運用監査通知、システム統計情報通知など）を除くすべてのログカテゴリのデフォルトの重大度は [警告] です。

9. [Remote syslog target] タブをクリックし、新しく作成したリモート ターゲットを [Available targets] から [Selected targets] に移動します。

10. [送信] をクリックします。

11. 他のロギング カテゴリのリモート ターゲットを構成するには、手順 8 ～ 10 を繰り返します。

Cisco Secure ACS のログを取り込むように Google Security Operations フォワーダーと syslog を構成する

1. [SIEM 設定] > [フォワーダー] に移動します。
2. [新しいフォワーダーの追加] をクリックします。
3. [フォワーダーの名前] フィールドに、フォワーダーの一意の名前を入力します。
4. [送信] をクリックします。フォワーダーが追加され、[コレクタの構成を追加する] ウィンドウが表示されます。
5. [コレクタ名] フィールドに名前を入力します。
6. [Log type] として [Cisco ACS] を選択します。
7. [コレクタタイプ] として [Syslog] を選択します。
8. 次の必須入力パラメータを構成します。
   • Protocol: プロトコルを指定します。
   • アドレス: コレクタが存在し、Syslog データを待ち受けるターゲット IP アドレスまたはホスト名を指定します。
   • ポート: コレクタが存在し、syslog データをリッスンするターゲット ポートを指定します。
9. [送信] をクリックします。

Google Security Operations フォワーダーの詳細については、Google Security Operations フォワーダーのドキュメントをご覧ください。各フォワーダ タイプの要件については、タイプ別のフォワーダー構成をご覧ください。フォワーダーの作成時に問題が発生した場合は、Google Security Operations　サポートにお問い合わせください。

フィールド マッピング リファレンス

このパーサーは、認証、アカウンティング、診断、システム統計情報など、Cisco ACS ログを処理します。Grok パターンを使用してさまざまなログ形式（SYSLOG + KV、LEEF）からフィールドを抽出し、タイムスタンプとタイムゾーンを正規化し、キーフィールドを UDM にマッピングします。さまざまなログタイプを扱うことができ、認証の成功/失敗、TACACS+ アカウンティング、RADIUS イベントに固有のロジックを備えています。また、デバイス情報や認証の詳細などの追加フィールドで UDM を拡充します。

UDM マッピング テーブル

さらにサポートが必要な場合 コミュニティ メンバーや Google SecOps のプロフェッショナルから回答を得ることができます。