Azure-Sentinel中处理Cisco ISE多行Syslog的解析优化

背景介绍

在网络安全监控领域，Cisco ISE(Identity Services Engine)是一个重要的网络访问控制解决方案。当将其日志集成到Azure Sentinel时，管理员可能会遇到一个常见问题：ISE生成的超长日志消息会被自动分割成多个Syslog消息发送。

问题现象

Cisco ISE在配置了"最大长度"限制的外部Syslog服务器时，对于超过该长度的日志会自动进行分割。原始设计中，Azure Sentinel的CiscoISEEvent解析器无法正确处理这种被分割的多行Syslog消息，导致：

1. 只有每条ISE日志的第一部分能被正确解析
2. 后续部分因格式不完整而被错误处理
3. 关键安全信息可能丢失或显示不完整

技术原理分析

Cisco ISE的多行Syslog具有以下特征结构：

1. 每条分割后的消息开头包含唯一标识符：[ISE消息ID]
2. 包含该日志被分割的总块数：[总Syslog数]
3. 包含当前块的序号：[序列号]

例如格式为："[ISE message ID] [number of syslogs] [sequence number] [message content]"

解决方案实现

通过对原始解析器的优化，我们实现了对多行Syslog的完整处理：

1. 消息重组：通过解析消息头部的元数据，识别属于同一日志的多个片段
2. 排序拼接：按照序列号对消息块进行排序后重新组合
3. 完整性检查：确保收集到所有片段后才进行解析

核心优化代码主要包含以下关键步骤：

| parse SyslogMessage with MessageID " " NumberOfSyslogs " " SequenceNo " " RestOfMessage
| order by MessageID, NumberOfSyslogs, SequenceNo asc 
| summarize count(), SyslogArray = make_set(RestOfMessage), TimeGenerated = arg_max(TimeGenerated, *) by MessageID
| extend SyslogMessage = strcat_array(SyslogArray, "")

方案演进

初始解决方案在处理非多行日志时存在兼容性问题。经过迭代优化后，当前方案：

1. 兼容处理单行ISE日志
2. 自动丢弃不完整的日志片段（当缺少某些数据包时）
3. 保持原有解析器对标准格式的处理能力

实施建议

对于Azure Sentinel管理员，建议：

1. 评估当前ISE日志的平均长度，合理设置Syslog服务器最大长度
2. 定期检查日志解析完整性，特别是关键安全事件
3. 考虑网络稳定性，避免因丢包导致日志片段丢失
4. 在测试环境验证解析器修改效果后再部署到生产环境

总结

通过对Azure Sentinel中Cisco ISE解析器的优化，有效解决了多行Syslog消息的处理难题。这一改进不仅提升了日志分析的完整性，也为处理其他类似设备的分段日志提供了参考方案。企业安全团队应当重视日志收集环节的数据完整性，确保安全监控系统能够获取完整的审计信息。