收集 Cisco Secure Email Gateway 記錄

本文說明如何使用 Google Security Operations 轉送器收集 Cisco Secure Email Gateway 記錄。

詳情請參閱「將資料擷取至 Google SecOps」。

擷取標籤會識別剖析器，該剖析器會將原始記錄資料正規化為結構化 UDM 格式。本文件中的資訊適用於具有 CISCO-EMAIL-SECURITY 攝入標籤的剖析器。

設定 Cisco Secure Email Gateway

1. 在 Cisco Secure Email Gateway 控制台中，依序選取「System administration」>「Log subscriptions」。
2. 在「New log subscription」(新增記錄訂閱項目) 視窗中，執行下列操作來新增記錄訂閱項目：
   1. 在「記錄類型」欄位中，選取「合併事件記錄」。
   2. 在「Available log fields」(可用的記錄檔欄位) 部分，選取所有可用的欄位，然後按一下「Add」(新增)，將這些欄位移至「Selected log fields」(選取的記錄檔欄位)。
   3. 如要為記錄訂閱項目選取記錄擷取方法，請選取「Syslog push」(系統記錄推送)，然後執行下列操作：
      1. 在「主機名稱」欄位中，指定 Google SecOps 轉寄程式 IP 位址。
      2. 在「Protocol」(通訊協定) 欄位中，選取「TCP」核取方塊。
      3. 在「設施」欄位中，使用預設值。
3. 如要儲存設定變更，請按一下「提交」。

設定 Google SecOps 轉寄器，擷取 Cisco Secure Email Gateway

1. 依序前往「SIEM 設定」>「轉送器」。
2. 按一下「新增轉送站」
3. 在「轉送器名稱」欄位中，輸入轉送器的專屬名稱。
4. 按一下「提交」。轉送器新增完成後，系統會顯示「新增收集器設定」視窗。
5. 在「收集器名稱」欄位中輸入名稱。
6. 選取「Cisco Email Security」做為「記錄類型」。
7. 在「收集器類型」欄位中，選取「Syslog」。
8. 設定下列必要輸入參數：
   • 通訊協定：指定收集器用來監聽系統記錄資料的連線通訊協定。
   • 地址：指定收集器所在位置的目標 IP 位址或主機名稱，並監聽系統記錄資料。
   • 通訊埠：指定收集器所在位置的目標通訊埠，並監聽系統記錄資料。
9. 按一下「提交」。

如要進一步瞭解 Google SecOps 轉送器，請參閱「透過 Google SecOps 使用者介面管理轉送器設定」。

如果在建立轉寄者時遇到問題，請與 Google SecOps 支援團隊聯絡。

欄位對應參考資料

這個剖析器會處理結構化 (JSON、鍵/值組合) 和非結構化 (系統記錄) 的 Cisco Email Security 記錄。這項功能會根據 grok 欄位，運用 grok 模式、鍵值擷取和條件式邏輯，將各種記錄檔格式正規化為 UDM，並將相關的 Cisco ESA 欄位對應至 UDM。product_event此外，這項服務也會執行資料擴充作業，例如轉換時間戳記及處理重複訊息。

UDM 對應表

還有其他問題嗎？向社群成員和 Google SecOps 專業人員尋求答案。