Coletar registros do Cisco Secure Email Gateway

Neste documento, descrevemos como coletar os registros do Cisco Secure Email Gateway usando um encaminhador do Google Security Operations.

Para mais informações, consulte Ingestão de dados no Google SecOps.

Um rótulo de ingestão identifica o analisador que normaliza dados de registro brutos para o formato UDM estruturado. As informações neste documento se aplicam ao analisador com o rótulo de ingestão CISCO-EMAIL-SECURITY.

Configurar o Cisco Secure Email Gateway

1. No console do Cisco Secure Email Gateway, selecione Administração do sistema > Assinaturas de registros.
2. Na janela Nova assinatura de registro, faça o seguinte para adicionar uma assinatura de registro:
   1. No campo Tipo de registro, selecione Registros de eventos consolidados.
   2. Na seção Campos de registro disponíveis, selecione todos os campos disponíveis e clique em Adicionar para movê-los para Campos de registro selecionados.
   3. Para selecionar um método de recuperação de registros para a assinatura, escolha Push do Syslog e faça o seguinte:
      1. No campo Nome do host, especifique o endereço IP do encaminhador do Google SecOps.
      2. No campo Protocolo, marque a caixa de seleção TCP.
      3. No campo Unidade, use o valor padrão.
3. Para salvar as mudanças na configuração, clique em Enviar.

Configurar o encaminhador do Google SecOps para ingerir o Cisco Secure Email Gateway

1. Acesse Configurações do SIEM > Encaminhadores.
2. Clique em Adicionar novo encaminhador.
3. No campo Nome do encaminhador, insira um nome exclusivo para ele.
4. Clique em Enviar. O encaminhador é adicionado, e a janela Adicionar configuração do coletor aparece.
5. No campo Nome do coletor, digite um nome.
6. Selecione Cisco Email Security como o Tipo de registro.
7. No campo Tipo de coletor, selecione Syslog.
8. Configure os seguintes parâmetros de entrada obrigatórios:
   • Protocolo: especifique o protocolo de conexão que o coletor usa para ouvir dados do syslog.
   • Endereço: especifique o endereço IP ou o nome do host de destino em que o coletor reside e escuta os dados do syslog.
   • Porta: especifique a porta de destino em que o coletor reside e detecta dados do syslog.
9. Clique em Enviar.

Para mais informações sobre os encaminhadores do Google SecOps, consulte Gerenciar configurações de encaminhadores na interface do Google SecOps.

Se você tiver problemas ao criar encaminhadores, entre em contato com o suporte do Google SecOps.

Referência de mapeamento de campos

Esse analisador processa registros de segurança de e-mail da Cisco estruturados (JSON, pares de chave-valor) e não estruturados (syslog). Ele normaliza diversos formatos de registro no UDM usando padrões grok, extração de chave-valor e lógica condicional com base no campo product_event para mapear campos relevantes do Cisco ESA no UDM. Ele também realiza o enriquecimento de dados, como a conversão de carimbos de data/hora e o processamento de mensagens repetidas.

Tabela de mapeamento do UDM

Precisa de mais ajuda? Receba respostas de membros da comunidade e profissionais do Google SecOps.