收集 Cisco Secure Email Gateway 日志

本文档介绍了如何使用 Google Security Operations 转发器收集 Cisco Secure Email Gateway 日志。

如需了解详情，请参阅将数据提取到 Google SecOps。

注入标签用于标识将原始日志数据标准化为结构化 UDM 格式的解析器。本文档中的信息适用于具有 CISCO-EMAIL-SECURITY 注入标签的解析器。

配置 Cisco Secure Email Gateway

1. 在 Cisco Secure Email Gateway 控制台中，依次选择系统管理 > 日志订阅。
2. 在新建日志订阅窗口中，执行以下操作以添加日志订阅：
   1. 在日志类型字段中，选择整合的事件日志。
   2. 在可用日志字段部分中，选择所有可用字段，然后点击添加，将它们移至所选日志字段。
   3. 如需为日志订阅选择日志检索方法，请选择 Syslog 推送，然后执行以下操作：
      1. 在主机名字段中，指定 Google SecOps 转发器的 IP 地址。
      2. 在协议字段中，选中 TCP 复选框。
      3. 在设施字段中，使用默认值。
3. 如需保存配置更改，请点击提交。

配置 Google SecOps 转发器以注入 Cisco Secure Email Gateway

1. 依次前往 SIEM 设置 > 转发器。
2. 点击添加新转发器
3. 在 Forwarder Name（转发器名称）字段中，输入转发器的唯一名称。
4. 点击提交。系统会添加转发器，并显示添加收集器配置窗口。
5. 在收集器名称字段中，输入一个名称。
6. 选择 Cisco Email Security 作为日志类型。
7. 在收集器类型字段中，选择 Syslog。
8. 配置以下必需的输入参数：
   • 协议：指定收集器用于监听 syslog 数据的连接协议。
   • 地址：指定收集器所在并监听 syslog 数据的目标 IP 地址或主机名。
   • 端口：指定收集器所在的目标端口，以及收集器监听 syslog 数据的端口。
9. 点击提交。

如需详细了解 Google SecOps 转发器，请参阅通过 Google SecOps 界面管理转发器配置。

如果您在创建转发器时遇到问题，请与 Google SecOps 支持团队联系。

字段映射参考

此解析器可处理结构化（JSON、键值对）和非结构化 (syslog) Cisco Email Security 日志。它利用 grok 模式、键值提取和基于 product_event 字段的条件逻辑，将各种日志格式规范化为 UDM，以将相关的 Cisco ESA 字段映射到 UDM。它还执行数据扩充，例如转换时间戳和处理重复的消息。

UDM 映射表

需要更多帮助？从社区成员和 Google SecOps 专业人士那里获得解答。