收集 Cisco ISE 日志

本文档介绍了如何使用 Google Security Operations 转送器收集 Cisco Identify Services Engine (ISE) 日志。

如需了解详情，请参阅将数据注入 Google Security Operations。

注入标签用于标识将原始日志数据标准化为结构化 UDM 格式的解析器。本文档中的信息适用于具有 CISCO_ISE 注入标签的解析器。

配置 Cisco ISE

1. 使用管理员凭据登录 Cisco ISE 控制台。
2. 在 Cisco ISE 控制台中，依次选择管理 > 系统 > 日志记录 > 远程日志记录目标。
3. 在远程日志记录目标窗口中，点击添加。系统随即会显示新建日志记录目标窗口。

4. 在日志记录目标部分中，为以下字段指定值：

   字段	说明
   名称	Google Security Operations 转发器的名称。
   说明	Google Security Operations 转发器的说明。
   类型	远程日志目标的类型，例如 syslog。
   IP 地址	Google Security Operations 转发器的 IP 地址。
   目标类型	选择 TCP syslog 或 UDP syslog。
   端口	使用高端口，例如 10514。
   设施代码	您可以指定以下某个值： LOCAL0（代码 = 16） LOCAL1（代码 = 17） LOCAL2（代码 = 18） LOCAL3（代码 = 19） LOCAL4（代码 = 20） LOCAL5（代码 = 21） LOCAL6（代码 = 22；默认） LOCAL7（代码 = 23）
   密码长度上限	建议值为 1,024。

5. 点击提交。系统会显示“远程日志目标”窗口，其中包含新的 Google Security Operations 转发器配置。

6. 在 Cisco ISE 控制台中，依次选择 Administration（管理）> System（系统）> Logging（日志记录）> Logging categories（日志记录类别）。

7. 在日志记录类别窗口中，选择要为其设置远程 syslog 目标的类别，然后添加远程 syslog 目标。

   以下是示例类别：AAA 审核、AAA 诊断、会计、管理和运营审核、姿态和客户端配置审核、姿态和客户端配置诊断、分析器、系统诊断和系统统计信息。

配置 Google Security Operations 转发器和 syslog 以注入 Cisco Secure ACS 日志

1. 依次前往 SIEM 设置 > 转发器。
2. 点击添加新转发器。
3. 在 Forwarder Name（转发器名称）字段中，输入转发器的唯一名称。
4. 点击提交。系统会添加转发器，并显示添加收集器配置窗口。
5. 在收集器名称字段中，输入一个名称。
6. 选择 Cisco ISE 作为日志类型。
7. 选择 Syslog 作为收集器类型。
8. 配置以下必需的输入参数：
   • 协议：指定协议。
   • 地址：指定收集器所在的 syslog 数据目标 IP 地址或主机名。
   • 端口：指定收集器所在的并监听 syslog 数据的目标端口。
9. 点击提交。

如需详细了解 Google Security Operations 转发器，请参阅 Google Security Operations 转发器文档。 如需了解每种转发器类型的要求，请参阅按类型划分的转发器配置。 如果您在创建转发器时遇到问题，请与 Google 安全运营支持团队联系。

字段映射参考

此解析器从 syslog 消息中提取 Cisco ISE 日志，将数据标准化为 UDM 格式，并使用其他上下文信息丰富事件。它可处理各种 ISE 日志类别，包括身份验证成功和失败、管理审核、系统统计信息等，将相关字段映射到 UDM 架构，并添加特定标签以进行详细分析。

UDM 映射表

需要更多帮助？从社区成员和 Google SecOps 专业人士那里获得解答。