1. はじめに

tkitahar · ‎2018-03-30

※ 2023 年 1 月 26 日現在の情報をもとに作成しています

本記事では、Umbrella Dashboard の管理 > ログ管理 (Log Management) で利用可能な機能について説明します。

2. Data Storage

Data Storage では、Umbrella Dashboard のレポートメニューにある各種レポート画面で使われている実際のデータの保存先 (ロケーション) を指定できます。

デフォルトでは、カリフォルニアにあるデータセンターが設定されていますが、データ保持に関する法令などに順守する目的で、データのロケーションをヨーロッパのデータセンターに変更することが可能です。

※ ポリシーの設定情報など、レポート以上の組織固有の情報については、常にカリフォルニアに保存されます

※ データの保存先を日本にすることはできません

なお、設定の変更を行っても、元のロケーションに既に保存されたデータが移動されることはありません。あくまで、これから保存されるデータのロケーションが変わる機能となります。

また、別のロケーションに保存されたデータは、Umbrella Dashboard のレポートには表示されないため、切り替えを頻繁に行うと、データが分散してしまい、レポート機能を活用する上での支障となります。

Amazon S3 機能は、アクティビティ検索レポート (および管理者監査ログ) のログを Cisco の外部サーバー (Amazon S3) にも保存する機能です。

この機能を使うと、直近 10 分間のログが CSV に変換され、gzip 形式で圧縮されてから Amazon S3 に送信されます。

そもそも、なぜこのような機能が用意されたかというと、主に以下 2 つの理由があります。

特に後者は重要で、現時点においてアクティビティログを他製品に送るには、Amazon S3 を受け渡し場所として使う必要があります。

なお、Amazon S3 機能は、以前は組織が所有する Amazon S3 の契約 (Company-managed と呼ばれる) のみを使用することが可能でした。Company-managed の設定方法は以下の公開文書に記載があります。

Enable Logging to Your Own S3 Bucket

現在は、Cisco-managed の Amazon S3 機能を利用できるようになりました。次項で詳しく説明します。

Cisco-managed というのは、Cisco が契約している Amazon S3 にログを保存するという意味で、Umbrella の契約があれば、無料で利用することが可能です。

こちらを選択するメリットは以下の 2 点です。

実際の設定方法については、以下の公開文書に記載があります。

Enable Logging to a Cisco-managed S3 Bucket

ただし、以下のようなデメリットがありますので、注意が必要です。

特に 1 つ目については、Amazon S3 との連携のメリットの 1 つである「長期間のログの保持」がなくなってしまいますので、定期的に SIEM やその他のストレージにログを転送するなど、導入にあたっては十分な検討が必要です。

以上のことから、このオプションは「SIEM とのログの連携をノーコストで試す手段」と割り切って考えていただければと思います。

なお、実際にログの連携を行う方法については、以下のサポート記事が参考になるものと思います。

Configuring Splunk for use with Cisco Umbrella Log Management in AWS S3

Configuring QRadar for use with Cisco Umbrella Log Management in AWS S3

また、連携をする上で、CSV のフォーマットの詳細を知りたい場合、以下の公開文書に記載があります。

Log Formats and Versioning