收集 Cisco ISE 記錄

本文說明如何使用 Google Security Operations 轉送器收集 Cisco Identity Services Engine (ISE) 記錄。

詳情請參閱「將資料擷取至 Google Security Operations」。

擷取標籤會識別剖析器，該剖析器會將原始記錄資料正規化為具結構性的 UDM 格式。本文件中的資訊適用於具有 CISCO_ISE 攝入標籤的剖析器。

設定 Cisco ISE

1. 使用管理員憑證登入 Cisco ISE 控制台。
2. 在 Cisco ISE 控制台中，依序選取「Administration」>「System」>「Logging」>「Remote logging targets」。
3. 在「遠端記錄目標」視窗中，按一下「新增」。系統會顯示「New logging target」(新增記錄目標) 視窗。

4. 在「記錄目標」部分，為下列欄位指定值：

   欄位	說明
   名稱	Google Security Operations 轉送器的名稱。
   說明	Google Security Operations 轉送器說明。
   類型	遠端記錄目標的類型，例如系統記錄。
   IP 位址	Google Security Operations 轉寄端的 IP 位址。
   目標類型	選取 TCP 系統記錄檔或 UDP 系統記錄檔。
   通訊埠	使用高通訊埠，例如 10514。
   設施代碼	您可以指定下列其中一個值： LOCAL0 (代碼 = 16) LOCAL1 (代碼 = 17) LOCAL2 (代碼 = 18) LOCAL3 (代碼 = 19) LOCAL4 (代碼 = 20) LOCAL5 (代碼 = 21) LOCAL6 (代碼 = 22；預設) LOCAL7 (代碼 = 23)
   長度上限	建議值為 1024。

5. 按一下「提交」。「遠端記錄目標」視窗會隨即顯示，其中包含新的 Google Security Operations 轉送器設定。

6. 在 Cisco ISE 控制台中，依序選取「Administration」>「System」>「Logging」>「Logging categories」。

7. 在「記錄類別」視窗中，選取要設定遠端系統記錄目標的類別，然後新增遠端系統記錄目標。

   以下是範例類別：AAA 稽核、AAA 診斷、會計、行政和作業稽核、狀態和用戶端佈建稽核、狀態和用戶端佈建診斷、剖析器、系統診斷和系統統計資料。

設定 Google Security Operations 轉送器和系統記錄，以便擷取 Cisco Secure ACS 記錄

1. 依序前往「SIEM 設定」>「轉送器」。
2. 按一下「新增轉寄者」。
3. 在「轉送器名稱」欄位中，輸入轉送器的專屬名稱。
4. 按一下「提交」。轉送器新增完成後，系統會顯示「新增收集器設定」視窗。
5. 在「收集器名稱」欄位中輸入名稱。
6. 選取「Cisco ISE」做為「記錄類型」。
7. 選取「Syslog」做為「收集器類型」。
8. 設定下列必要輸入參數：
   • 「通訊協定」：指定通訊協定。
   • 地址：指定收集器所在的目標 IP 位址或主機名稱，以及 Syslog 資料的地址。
   • 通訊埠：指定收集器所在位置的目標通訊埠，並監聽系統記錄資料。
9. 按一下「提交」。

如要進一步瞭解 Google Security Operations 轉送器，請參閱 Google Security Operations 轉送器說明文件。 如要瞭解各轉送器類型的相關規定，請參閱「依類型設定轉送器」。 如果在建立轉寄者時遇到問題，請與 Google Security Operations 支援團隊聯絡。

欄位對應參考資料

這個剖析器會從系統記錄訊息中擷取 Cisco ISE 記錄，將資料正規化為 UDM 格式，並透過額外背景資訊擴充事件。可處理各種 ISE 記錄類別，包括驗證成功和失敗、管理稽核、系統統計資料等，並將相關欄位對應至 UDM 結構定義，以及新增特定標籤以進行詳細分析。

UDM 對應表

還有其他問題嗎？向社群成員和 Google SecOps 專業人員尋求答案。