Recopila registros de la puerta de enlace de correo electrónico segura de Cisco

En este documento, se describe cómo puedes recopilar los registros de Cisco Secure Email Gateway con un agente de reenvío de Google Security Operations.

Para obtener más información, consulta Ingesta de datos en Google SecOps.

Una etiqueta de transferencia identifica el analizador que normaliza los datos de registro sin procesar al formato UDM estructurado. La información de este documento se aplica al analizador con la etiqueta de transferencia CISCO-EMAIL-SECURITY.

Configura la puerta de enlace de correo electrónico seguro de Cisco

1. En la consola de Cisco Secure Email Gateway, selecciona Administración del sistema > Suscripciones de registros.
2. En la ventana New log subscription, haz lo siguiente para agregar una suscripción al registro:
   1. En el campo Tipo de registro, selecciona Registros de eventos consolidados.
   2. En la sección Available log fields, selecciona todos los campos disponibles y, luego, haz clic en Add para moverlos a Selected log fields.
   3. Para seleccionar un método de recuperación de registros para la suscripción a registros, selecciona Envío de Syslog y haz lo siguiente:
      1. En el campo Nombre de host, especifica la dirección IP del reenviador de SecOps de Google.
      2. En el campo Protocolo, selecciona la casilla de verificación TCP.
      3. En el campo Instalación, usa el valor predeterminado.
3. Para guardar los cambios de configuración, haz clic en Enviar.

Configura el reenvío de Google SecOps para transferir Cisco Secure Email Gateway

1. Ve a Configuración del SIEM > Reenviadores.
2. Haz clic en Agregar un nuevo reenviador.
3. En el campo Nombre del reenviador, ingresa un nombre único para el reenviador.
4. Haz clic en Enviar. Se agregará el reenvío y aparecerá la ventana Add collector configuration.
5. En el campo Nombre del recopilador, escribe un nombre.
6. Selecciona Cisco Email Security como el Tipo de registro.
7. En el campo Tipo de recopilador, selecciona Syslog.
8. Configura los siguientes parámetros de entrada obligatorios:
   • Protocolo: Especifica el protocolo de conexión que usa el recopilador para escuchar los datos de syslog.
   • Dirección: Especifica la dirección IP o el nombre de host de destino en el que reside el recopilador y escucha los datos de syslog.
   • Puerto: Especifica el puerto de destino en el que reside el recopilador y escucha los datos de syslog.
9. Haz clic en Enviar.

Para obtener más información sobre los retransmisores de Google SecOps, consulta Administra la configuración de retransmisores a través de la IU de Google SecOps.

Si tienes problemas para crear reenvíos, comunícate con el equipo de asistencia de SecOps de Google.

Referencia de la asignación de campos

Este analizador controla los registros de Cisco Email Security estructurados (JSON, pares clave-valor) y no estructurados (syslog). Normaliza diversos formatos de registro en UDM aprovechando los patrones de grok, la extracción de clave-valor y la lógica condicional basada en el campo grok para asignar los campos relevantes de Cisco ESA al UDM.product_event También realiza el enriquecimiento de datos, como la conversión de marcas de tiempo y el control de mensajes repetidos.

Tabla de asignación de UDM

¿Necesitas más ayuda? Obtén respuestas de miembros de la comunidad y profesionales de Google SecOps.