Cisco ISE ログを収集する

このドキュメントでは、Google Security Operations フォワーダーを使用して Cisco Identify Services Engine（ISE）ログを収集する方法について説明します。

詳細については、Google Security Operations　へのデータの取り込みの概要をご覧ください。

取り込みラベルによって、未加工のログデータを構造化 UDM 形式に正規化するパーサーが識別されます。このドキュメントの情報は、取り込みラベル CISCO_ISE が付加されたパーサーに適用されます。

Cisco ISE を構成する

1. 管理者認証情報を使用して Cisco ISE コンソールにログインします。
2. Cisco ISE コンソールで、[Administration] > [System] > [Logging] > [Remote logging targets] を選択します。
3. [リモート ロギング ターゲット] ウィンドウで、[追加] をクリックします。[新しいロギング ターゲット] ウィンドウが表示されます。

4. [ロギング ターゲット] セクションで、次のフィールドの値を指定します。

   フィールド	説明
   名前	Google Security Operations フォワーダーの名前。
   説明	Google Security Operations フォワーダーの説明。
   タイプ	syslog などのリモートログ ターゲットのタイプ。
   IP アドレス	Google Security Operations フォワーダーの IP アドレス。
   ターゲット タイプ	[TCP syslog] または [UDP syslog] を選択します。
   ポート	ハイポート（たとえば 10514）を使用します。
   ファシリティ コード	次のいずれかの値を指定できます。 LOCAL0（コード = 16） LOCAL1（コード = 17） LOCAL2（コード = 18） LOCAL3（コード = 19） LOCAL4（コード = 20） LOCAL5（コード = 21） LOCAL6（コード = 22、デフォルト） LOCAL7（コード = 23）
   Maximum length	推奨値は 1024 です。

5. [送信] をクリックします。[リモートログ ターゲット] ウィンドウに、新しい Google Security Operations フォワーダー構成が表示されます。

6. Cisco ISE コンソールで、[Administration] > [System] > [Logging] > [Logging categories] を選択します。

7. [ロギング カテゴリ] ウィンドウで、リモート syslog ターゲットを設定するカテゴリを選択し、リモート syslog ターゲットを追加します。

   カテゴリの例としては、AAA 監査、AAA 診断、アカウンティング、管理および運用監査、ポスチャーとクライアント プロビジョニング監査、ポスチャーとクライアント プロビジョニング診断、プロファイラ、システム診断、システム統計情報などがあります。

Cisco Secure ACS のログを取り込むように Google Security Operations フォワーダーと syslog を構成する

1. [SIEM 設定] > [フォワーダー] に移動します。
2. [新しいフォワーダーの追加] をクリックします。
3. [フォワーダーの名前] フィールドに、フォワーダーの一意の名前を入力します。
4. [送信] をクリックします。フォワーダーが追加され、[コレクタの構成を追加する] ウィンドウが表示されます。
5. [コレクタ名] フィールドに名前を入力します。
6. [ログタイプ] として [Cisco ISE] を選択します。
7. [コレクタ タイプ] として [Syslog] を選択します。
8. 次の必須入力パラメータを構成します。
   • Protocol: プロトコルを指定します。
   • アドレス: コレクタが存在し、Syslog データを待ち受けるターゲット IP アドレスまたはホスト名を指定します。
   • Port: コレクタが存在し、syslog データをリッスンするターゲット ポートを指定します。
9. [送信] をクリックします。

Google Security Operations フォワーダーの詳細については、Google Security Operations フォワーダーのドキュメントをご覧ください。各フォワーダ タイプの要件については、タイプ別のフォワーダー構成をご覧ください。フォワーダーの作成時に問題が発生した場合は、Google Security Operations　サポートにお問い合わせください。

フィールド マッピング リファレンス

このパーサーは、Syslog メッセージから Cisco ISE ログを抽出し、データを UDM 形式に正規化して、追加のコンテキストでイベントを拡充します。認証の成功と失敗、管理監査、システム統計など、さまざまな ISE ログカテゴリを処理し、関連するフィールドを UDM スキーマにマッピングして、詳細な分析用の特定のラベルを追加します。

UDM マッピング テーブル

さらにサポートが必要な場合 コミュニティ メンバーや Google SecOps のプロフェッショナルから回答を得ることができます。