收集 Cisco Secure ACS 日志

本文档介绍了如何使用 Google Security Operations 转发器收集 Cisco Secure Access Control Server (ACS) 日志。

如需了解详情，请参阅将数据注入 Google Security Operations。

注入标签用于标识将原始日志数据标准化为结构化 UDM 格式的解析器。本文档中的信息适用于具有 CISCO_ACS 注入标签的解析器。

配置 Cisco Secure ACS

1. 使用管理员凭据登录 Cisco Secure ACS 控制台。
2. 在 Cisco Secure ACS 控制台中，依次选择系统管理 > 配置 > 日志配置 > 远程日志目标。
3. 点击创建。

4. 在创建窗口中，为以下字段指定值：

   字段	说明
   名称	Google Security Operations 转发器的名称。
   说明	Google Security Operations 转发器的说明。
   IP 地址	Google Security Operations 转发器的 IP 地址。
   使用高级 syslog 选项	选择此选项可启用高级 syslog 选项。
   目标类型	选择 TCP syslog 或 UDP syslog。
   端口	使用高端口，例如 10514。
   设施代码	LOCAL6（代码 = 22；默认）。
   密码长度上限	建议值为 1,024。

5. 点击提交。系统会显示“远程日志目标”窗口，其中包含新的远程日志目标配置。

6. 在 Cisco Secure ACS 控制台中，依次选择系统管理 > 配置 > 日志配置 > 日志记录类别 > 按实例。

7. 选择 ACS，然后点击配置。

8. 在按实例窗口中，选择一个日志记录类别，然后点击修改。

   在常规标签页中，对于某些日志记录类别，日志记录严重程度必须设置为默认值或由供应商提供的值。

   对于 Cisco Secure ACS，除了无法更改严重程度的日志记录类别（例如 AAA 审核通知、结算通知、管理和运营审核通知以及系统统计信息通知）之外，所有日志记录类别的默认严重程度均为 Warn。

9. 点击远程 syslog 目标标签页，然后将新创建的远程目标从可用目标移至所选目标。

10. 点击提交。

11. 如需为其他日志记录类别配置远程目标，请重复执行第 8 步到第 10 步。

配置 Google Security Operations 转发器和 syslog 以注入 Cisco Secure ACS 日志

1. 依次前往 SIEM 设置 > 转发器。
2. 点击添加新转发器。
3. 在 Forwarder Name（转发器名称）字段中，输入转发器的唯一名称。
4. 点击提交。转发器已添加，系统会显示添加收集器配置窗口。
5. 在收集器名称字段中，输入一个名称。
6. 选择 Cisco ACS 作为日志类型。
7. 选择 Syslog 作为收集器类型。
8. 配置以下必需的输入参数：
   • 协议：指定协议。
   • 地址：指定收集器所在的 syslog 数据目标 IP 地址或主机名。
   • 端口：指定收集器所在的并监听 syslog 数据的目标端口。
9. 点击提交。

如需详细了解 Google Security Operations 转发器，请参阅 Google Security Operations 转发器文档。 如需了解每种转发器类型的要求，请参阅按类型划分的转发器配置。 如果您在创建转发器时遇到问题，请与 Google 安全运营支持团队联系。

字段映射参考

此解析器可处理 Cisco ACS 日志，包括身份验证、统计、诊断和系统统计信息。它使用 grok 模式从各种日志格式 (SYSLOG + KV、LEEF) 中提取字段，对时间戳和时区进行归一化处理，并将关键字段映射到 UDM，通过特定逻辑处理不同的日志类型，以实现身份验证成功/失败、TACACS+ 结算和 RADIUS 事件。它还会使用设备信息和身份验证详细信息等其他字段来丰富 UDM。

UDM 映射表

需要更多帮助？从社区成员和 Google SecOps 专业人士那里获得解答。