Recolha registos do Cisco Secure ACS

Este documento descreve como pode recolher registos do Cisco Secure Access Control Server (ACS) através de um encaminhador do Google Security Operations.

Para mais informações, consulte o artigo Ingestão de dados no Google Security Operations.

Uma etiqueta de carregamento identifica o analisador que normaliza os dados de registo não processados para o formato UDM estruturado. As informações neste documento aplicam-se ao analisador com a etiqueta de carregamento CISCO_ACS.

Configure o Cisco Secure ACS

1. Inicie sessão na consola do Cisco Secure ACS com as credenciais de administrador.
2. Na consola do Cisco Secure ACS, selecione Administração do sistema > Configuração > Configuração do registo > Alvos de registo remoto.
3. Clique em Criar.

4. Na janela Criar, especifique valores para os seguintes campos:

   Campo	Descrição
   Nome	Nome do encaminhador do Google Security Operations.
   Descrição	Descrição do encaminhador do Google Security Operations.
   Endereço IP	Endereço IP do encaminhador do Google Security Operations.
   Use opções de syslog avançadas	Selecione esta opção para ativar as opções avançadas de syslog.
   Tipo de segmentação	Selecione TCP syslog ou UDP syslog.
   Porta	Use uma porta elevada, como 10514.
   Código da instalação	LOCAL6 (código = 22; predefinição).
   Comprimento máximo	O valor recomendado é 1024.

5. Clique em Enviar. A janela Destinos de registo remoto é apresentada com a nova configuração do destino de registo remoto.

6. Na consola do Cisco Secure ACS, selecione Administração do sistema > Configuração > Configuração de registos > Categorias de registos > Por instância.

7. Selecione ACS e, de seguida, clique em Configurar.

8. Na janela Por instância, selecione uma categoria de registo e, de seguida, clique em Editar.

   No separador Geral, para algumas categorias de registo, a gravidade do registo tem de ser definida como predefinição ou conforme fornecido pelo fornecedor.

   Para o Cisco Secure ACS, a gravidade predefinida é Aviso para todas as categorias de registo, exceto para aquelas cuja gravidade não pode ser alterada, como AAA audit-notice, accounting-notice, administrative e operational audit-notice, e system statistics-notice.

9. Clique no separador Destino syslog remoto e mova o destino remoto recém-criado de Destinos disponíveis para Destinos selecionados.

10. Clique em Enviar.

11. Para configurar destinos remotos para outras categorias de registo, repita os passos 8 a 10.

Configure o encaminhador e o syslog do Google Security Operations para carregar registos do Cisco Secure ACS

1. Aceda a Definições do SIEM > Encaminhadores.
2. Clique em Adicionar novo encaminhador.
3. No campo Nome do encaminhador, introduza um nome exclusivo para o encaminhador.
4. Clique em Enviar. O encaminhador é adicionado e é apresentada a janela Adicionar configuração do coletor.
5. No campo Nome do coletor, introduza um nome.
6. Selecione Cisco ACS como o Tipo de registo.
7. Selecione Syslog como o tipo de coletor.
8. Configure os seguintes parâmetros de entrada obrigatórios:
   • Protocolo: especifique o protocolo.
   • Endereço: especifique o endereço IP ou o nome de anfitrião de destino onde o coletor reside e se dirige aos dados do syslog.
   • Porta: especifique a porta de destino onde o coletor reside e ouve dados syslog.
9. Clique em Enviar.

Para mais informações sobre os encaminhadores do Google Security Operations, consulte a documentação dos encaminhadores do Google Security Operations. Para obter informações sobre os requisitos de cada tipo de encaminhador, consulte o artigo Configuração do encaminhador por tipo. Se tiver problemas ao criar encaminhamentos, contacte o apoio técnico das Operações de segurança da Google.

Referência de mapeamento de campos

Este analisador processa registos do Cisco ACS, incluindo autenticação, contabilidade, diagnósticos e estatísticas do sistema. Usa padrões grok para extrair campos de vários formatos de registo (SYSLOG + KV, LEEF), normaliza as datas/horas e os fusos horários, e mapeia os campos principais para o UDM, processando diferentes tipos de registos com lógica específica para sucessos/falhas de autenticação, contabilidade TACACS+ e eventos RADIUS. Também enriquece a UDM com campos adicionais, como informações do dispositivo e detalhes de autenticação.

Tabela de mapeamento da UDM

Precisa de mais ajuda? Receba respostas de membros da comunidade e profissionais da Google SecOps.