Configuración que abre una sesión FTD vía FMC

Transcripción

1 Configuración que abre una sesión FTD vía FMC Contenido Introducción prerrequisitos Requisitos Componentes Utilizados Antecedentes Configurar Configuración de syslog global de la configuración Configuración de registración Listas de eventos de la configuración Tarifa que limita el Syslog Configuraciones del Syslog de la configuración Registro local de la configuración Configure el registro externo Configure el servidor del syslog remoto Configure el puesto para registrar Verificación Troubleshooting Información Relacionada Introducción Este documento describe la configuración de registro para una defensa de la amenaza de FirePOWER (FTD) vía el centro de administración de FirePOWER (FMC). Prerequisites Requisitos Cisco recomienda que tenga conocimiento sobre estos temas: Tecnología de FirePOWER Conocimiento básico del dispositivo de seguridad adaptante (ASA) Protocolo del Syslog Componentes Utilizados La información que contiene este documento se basa en las siguientes versiones de software y hardware. La imagen de la defensa de la amenaza ASA FirePOWER para ASA (5506X/5506H- X/5506W-X, ASA 5508-X, ASA 5516-X) ese funciona con la versión de software y

2 posterior La imagen de la defensa de la amenaza ASA FirePOWER para ASA (5515-X, ASA 5525-X, ASA 5545-X, ASA 5555-X, ASA 5585-X) ese funciona con la versión de software y posterior Versión y posterior del centro de administración de FirePOWER (FMC) La información que contiene este documento se creó a partir de los dispositivos en un ambiente de laboratorio específico. Todos los dispositivos usados en este documento comenzaron con una configuración (predeterminada) clara. Si la red está funcionando, asegúrese de haber comprendido el impacto que puede tener cualquier comando. Antecedentes Los registros del sistema FTD proveen de usted la información para monitorear y para resolver problemas el dispositivo FTD. Los registros son útiles en el troubleshooting rutinario y en la dirección del incidente. El dispositivo FTD soporta el registro local y externo. El registro local puede ayudarle a resolver problemas los problemas vivos. El registro externo es un método de obtención de registros del dispositivo FTD a un servidor Syslog externo. El registro a un servidor central ayuda en la agregación de los registros y de las alertas. El registro externo puede ayudar en la correlación del registro y la dirección del incidente. Para el registro local, el dispositivo FTD soporta la consola, la opción del búfer interno, y el registro de sesión del Secure Shell (SSH). Para el registro externo, el dispositivo FTD apoya el servidor Syslog externo y al servidor de retransmisión de correo electrónico. Configurar Todas las configuraciones relacionadas del registro pueden ser configuradas cuando usted navega a la lengueta de las configuraciones de la plataforma bajo dispositivos que cuadro elige los dispositivos > las configuraciones de la plataforma tal y como se muestra en de esta imagen. Cualquier tecleo el icono del lápiz para editar la directiva que existe o hace clic la nueva directiva y elige las configuraciones de la defensa de la amenaza para crear una nueva directiva FTD tal y como se muestra en de esta imagen. Elija el dispositivo FTD para aplicar esta directiva y para hacer clic la salvaguardia tal y como se

3 muestra en de esta imagen. Configure la configuración de syslog global Hay ciertas configuraciones que son aplicables para el registro local y externo. Esta sección se ocupa del obligatorio y de los parámetros optativos que se pueden configurar para el Syslog. Configuración de registración Las opciones de registración de la configuración son aplicables para el registro local y externo. Para configurar la configuración del registro, elija las configuraciones de los dispositivos > de la plataforma. Elija la configuración del Syslog > del registro. Configuración básica del registro Registro del permiso: Marque el checkbox del registro del permiso para habilitar el registro. Esto es opciones obligatorias. Permiso que abre una sesión la unidad en espera de la Conmutación por falla: Marque el permiso que abre una sesión el checkbox de la unidad en espera de la Conmutación por falla para configurar la apertura de sesión del FTD espera que es una parte de al cluster de gran

4 disponibilidad FTD. Envíe los Syslog en el formato del EMBLEMA: Marque los Syslog del envío en el checkbox del formato del EMBLEMA para habilitar el formato del Syslog como EMBLEMA para cada destino. El formato del EMBLEMA se utiliza sobre todo para el Analizador de Syslog de los CiscoWorks Resource Manager Essentials (RME). Este formato hace juego el formato del Syslog del Cisco IOS Software producido por el Routers y el Switches. Está disponible solamente para los servidores de Syslog UDP. Envíe los mensajes del debug como Syslog: Marque los mensajes del debug del envío como checkbox de los Syslog para enviar los registros del debug como mensajes de Syslog al servidor de Syslog. Tamaño de la memoria del búfer interno: Ingrese el tamaño de almacén intermedio de memoria interna donde FTD puede salvar los datos de registro. Se giran los datos de registro si se alcanza su límite de búfer. Información del servidor FTP (opcional) Especifique a los detalles del servidor FTP si usted quiere enviar los datos de registro al servidor FTP antes de que sobregrabe el búfer interno. Abrigo del buffer del servidor FTP: Marque el checkbox del abrigo del buffer del servidor FTP para enviar los datos de registro del buffer al servidor FTP. Dirección IP: Ingrese el IP Address del servidor FTP. Nombre de usuario: Ingrese el nombre de usuario del servidor FTP. Ruta: Ingrese el trayecto del directorio del servidor FTP. Contraseña Ingrese la contraseña del servidor FTP. Confirme: Ingrese la misma contraseña otra vez. Tamaño de Flash (opcional) Especifique el tamaño de Flash si usted quiere salvar los datos de registro para contellear una vez el búfer interno es lleno. Flash: Marque el checkbox de destello para enviar los datos de registro al Flash interno. Máxima memoria instantánea que se utilizará por Logging(KB): Ingrese el tamaño máximo en el KB de memoria flash que se puede utilizar para registrar. Espacio libre mínimo a ser preserved(kb): Ingrese el tamaño mínimo en el KB de memoria flash que las necesidades de ser preservado.

5 Haga clic la salvaguardia para salvar la configuración de la plataforma. Elija la opción del desplegar, elija el dispositivo FTD donde usted quiere aplicar los cambios, y el tecleo despliega para comenzar el despliegue de la configuración de la plataforma. Listas de eventos de la configuración Las Listas de eventos de la configuración que la opción permite que usted cree/que edita una Lista de eventos y que especifica qué datos de registro a incluir en la Lista de eventos filtre. Las Listas de eventos pueden ser utilizadas cuando usted configura los filtros del registro bajo destinos de registro. El sistema permite que dos opciones utilicen las funciones de las listas del evento personalizado. Clase y gravedad ID del mensaje Para configurar las listas del evento personalizado, elija la configuración del dispositivo > de la plataforma > la política en materia de defensa > el Syslog > la Lista de eventos y el haga click en Add de la amenaza Usted verá estas opciones: Nombre: Ingrese el nombre de la Lista de eventos. Clase de evento de la severidad: En la sección de la clase de evento de la severidad, haga click en Add Clase de evento: Elija la clase de evento de la lista desplegable para el tipo de datos de registro que usted quiera. Una clase de evento define un conjunto de las reglas del Syslog que representan las mismas características. Por ejemplo, hay una clase de evento para la sesión que incluye todos los Syslog que se relacionan con la sesión. Gravedad de Syslog: Elija la gravedad de la lista desplegable para la clase de evento elegida. La gravedad puede extenderse a partir de la 0 (emergencia) a 7 (debugging). ID del mensaje: Si usted está interesado en los datos de registro específicos relacionados

6 con un ID del mensaje, después haga clic agregan para poner un filtro basado sobre el ID del mensaje. ID del mensaje: Especifique el ID del mensaje como formato individual del rango. Haga Click en OK para salvar la configuración. Salvaguardia del tecleo para salvar la configuración de la plataforma. Elija despliegan, eligen el dispositivo FTD donde usted quiere aplicar los cambios, y el tecleo despliega para comenzar el despliegue de la configuración de la plataforma. Tarifa que limita el Syslog La opción del límite de velocidad define varios mensajes que se puedan enviar a todos los destinos configurados y define la gravedad del mensaje a la cual usted quiere asignar los límites de velocidad. Para configurar las listas del evento personalizado, elija la configuración del dispositivo > de la plataforma > la política en materia de defensa > el Syslog > el límite de velocidad de la amenaza. Usted tiene dos opciones basadas en cuál usted puede especificar el límite de velocidad: Nivel de registro Niveles del Syslog Para habilitar el nivel de registro basó el límite de velocidad, elige el nivel de registro y el haga click en Add Nivel de registro: De la lista desplegable del nivel de registro, elija el nivel de registro para el cual usted quiere realizar la limitación de la tarifa. Número de mensajes: Ingrese el número máximo de mensajes de Syslog que se recibirán

7 dentro del intervalo especificado. Interval(Second): De acuerdo con el número del parámetro de mensajes configurados previamente, ingrese el intervalo de tiempo en el cual un conjunto fijo de los mensajes de Syslog puede ser recibido. El índice de Syslog es número de mensajes/intervalo. Haga Click en OK para salvar la configuración del nivel de registro. Para habilitar el nivel de registro basó el límite de velocidad, elige el nivel de registro y el haga click en Add ID de syslog: Los ID de syslogs se utilizan para identificar únicamente los mensajes de Syslog. De la lista desplegable del ID de syslog, elija el ID de syslog. Número de mensajes: Ingrese el número máximo de mensajes de Syslog que se recibirán dentro del intervalo especificado. Interval(Second): De acuerdo con el número del parámetro de mensajes configurados previamente, ingrese el intervalo de tiempo en el cual un conjunto fijo de los mensajes de Syslog puede ser recibido. El índice de Syslog es número de mensajes/intervalo. Haga Click en OK para salvar la configuración del nivel del Syslog. Salvaguardia del tecleo para salvar la configuración de la plataforma. Elija despliegan, eligen el dispositivo FTD donde usted quiere aplicar los cambios, y el tecleo despliega para comenzar el

8 despliegue de la configuración de la plataforma. Configuraciones del Syslog de la configuración Las configuraciones del Syslog permiten que la configuración de los valores del recurso sea incluida en los mensajes de Syslog. Usted puede también incluir el grupo fecha/hora en los mensajes del registro y otros parámetros servidor-específicos del Syslog. Para configurar las listas del evento personalizado, elija la configuración del dispositivo > de la plataforma > la política en materia de defensa de la amenaza > el Syslog > las configuraciones del Syslog. Recurso: Un código de recurso se utiliza para especificar el tipo de programa que esté registrando el mensaje. Los mensajes con diversos recursos se pueden manejar diferentemente. De la lista desplegable del recurso, elija el valor del recurso. Habilite el grupo fecha/hora en cada mensaje de Syslog: Marque el grupo fecha/hora del permiso en cada checkbox del mensaje de Syslog para incluir el sello de fecha/hora en los mensajes de Syslog. Habilite el dispositivo syslog ID: Marque el checkbox del dispositivo syslog ID del permiso para incluir un ID del dispositivo en los mensajes de Syslog del NON-EMBLEMA-formato. Syslog equivalentes del Netflow: Marque el checkbox equivalente de los Syslog del Netflow para enviar los Syslog del equivalente del Netflow. Puede afectar al funcionamiento del dispositivo. Agregue el ID de syslog específico: Para especificar el ID de syslog adicional, el tecleo agrega y especifica el checkbox del nivel de registro identificación del Syslog. Salvaguardia del tecleo para salvar la configuración de la plataforma. Elija despliegan, eligen el dispositivo FTD donde usted quiere aplicar los cambios, y el tecleo despliega para comenzar el despliegue de la configuración de la plataforma. Registro local de la configuración La sección del destino de registro se puede utilizar para configurar el registro a los destinos específicos.

9 Los destinos de registro internos disponibles son: Búfer interno: Registros a memoria intermedia de registro interna (registro mitigado) Consola: Envía los registros a la consola (la consola de registro) Sesiones SSH: Syslog de los registros a las sesiones SSH (monitor terminal) Hay tres pasos para configurar el registro local. Paso 1. Elija la configuración del dispositivo > de la plataforma > los destinos >Logging de la política en materia de defensa > del Syslog de la amenaza. Paso 2. El tecleo agrega en el orderto agrega un filtro del registro para un destino de registro específico. Destino de registro: Elija el destino de registro requerido de la lista desplegable del destino de registro como el búfer interno, la consola, o sesiones SSH. Clase de evento: De la lista desplegable de la clase de evento, elija una clase de evento. Según lo descrito previamente, las clases de evento son un conjunto de los Syslog que representan las mismas características. Las clases de evento se pueden seleccionar de estas maneras: Filtro en la gravedad: Filtros de las clases de evento basados en la gravedad de los Syslog. Lista de eventos del usuario: Los administradores pueden crear las listas del evento específico (descritas previamente) con sus propias clases de evento personalizado y referirse a ellas a esta sección. Registro de la neutralización: Utilice esta opción para inhabilitar el registro para el destino de registro y el nivel de registro elegidos. Nivel de registro: Elija el nivel de registro de la lista desplegable. El rango del nivel de registro es a partir de la 0 (las emergencias) a 7 (debugging).

10 Paso 3: Para agregar una clase de evento separada a este filtro del registro, haga click en Add Clase de evento: Elija la clase de evento de la lista desplegable de la clase de evento. Gravedad de Syslog: Elija la gravedad de Syslog de la lista desplegable de la gravedad de Syslog. Haga Click en OK una vez que el filtro se configura para agregar el filtro para un destino de registro específico. Salvaguardia del tecleo para salvar la configuración de la plataforma. Elija despliegan, eligen el dispositivo FTD donde usted quiere aplicar los cambios, y el tecleo despliega para comenzar el despliegue la configuración de la plataforma. Configure el registro externo

11 Para configurar el registro externo, elija la configuración del dispositivo > de la plataforma > la política en materia de defensa > el Syslog > los destinos de registro de la amenaza. FTD apoya estos tipos de registro externo. Servidor de Syslog: Envía los registros al servidor del syslog remoto. SNMP trap: Envía termina la sesión como SNMP trap. Correo electrónico: Envía los registros vía el con un servidor de retransmisión preconfigurado del correo. La configuración para el registro externo y el registro interno son lo mismo. La selección de destinos de registro decide que implementan al tipo de registrar eso. Es posible configurar las clases de evento basadas en las listas del evento personalizado al servidor remoto. Servidor del syslog remoto de la configuración Los servidores de Syslog pueden ser configurados para analizar y para salvar los registros remotamente del FTD. Hay tres pasos para configurar los servidores del syslog remoto. Paso 1. Elija la configuración del dispositivo > de la plataforma > la política en materia de defensa > el Syslog > a los servidores de Syslog de la amenaza. Paso 2. Configure el parámetro relacionado del servidor de Syslog. Permita que el tráfico de usuarios pase cuando el servidor de Syslog TCP está abajo: Si han desplegado a un servidor de Syslog TCP en la red y no es accesible, después el tráfico de la red con el ASA se niega. Esto es aplicable solamente cuando el Transport Protocol entre el ASA y el servidor de Syslog es TCP. Marque el tráfico de usuarios de la permit para pasar cuando el servidor de Syslog TCP está abajo de checkbox para permitir que el tráfico pase a través de la interfaz cuando el servidor de Syslog está abajo. Tamaño de la cola de mensaje: El tamaño de la cola de mensaje es el número de mensajes que hace cola para arriba en el FTD cuando el servidor del syslog remoto está ocupado y no valida ningunos mensajes del registro. El valor por defecto es 512 mensajes y el mínimo es 1 mensaje. Si 0 se especifica en esta opción, el tamaño de la cola se considera ser ilimitado. Paso 3. Para agregar los servidores del syslog remoto, haga click en Add

12 Dirección IP: De la lista desplegable de la dirección IP, elija un objeto de red que tenga los servidores de Syslog enumerados. Si usted no ha creado un objeto de red después haga clic (+) el icono más para crear un nuevo se oponen. Protocolo: Haga clic el botón de radio TCP o UDP para la comunicación del Syslog. Puerto: Ingrese el número del puerto del servidor de Syslog. Por abandono, es 514. Mensajes del registro en el formato del EMBLEMA de Cisco (UDP solamente): Haga clic los mensajes del registro en el checkbox del formato del EMBLEMA de Cisco (UDP solamente) para habilitar esta opción si se requiere a los mensajes del registro en el formato del EMBLEMA de Cisco. Esto es aplicable para el Syslog basado en UDP solamente. Zonas disponibles: Ingrese las zonas de Seguridad sobre las cuales el servidor de Syslog es accesible y muévalas a la columna seleccionada de las interfaces de las zonas. Haga Click en OK y salvaguardia para salvar la configuración. Salvaguardia del tecleo para salvar la configuración de la plataforma. Elija despliegan, eligen el dispositivo FTD donde usted quiere aplicar los cambios, y el tecleo despliega para comenzar el

13 despliegue de la configuración de la plataforma. de la configuración puesto para registrar FTD permite que usted envíe el Syslog a una dirección de correo electrónico específica. El se puede utilizar como destino de registro solamente si un servidor de retransmisión del se ha configurado ya. Hay dos pasos para configurar las configuraciones del para los Syslog. Paso 1. Elija la configuración del dispositivo > de la plataforma > configuración del > de la política en materia de defensa > del Syslog de la amenaza. Dirección de correo electrónico de la fuente: Ingrese la dirección de la fuente que aparecerá en todos los enviados de los FTD que contienen los Syslog. Paso 2. Para configurar la dirección de correo electrónico y la gravedad de Syslog del destino, haga click en Add Dirección de correo electrónico del destino: Ingrese la dirección del destino en donde los mensajes de Syslog serán enviados. Gravedad de Syslog: Elija la gravedad de Syslog de la lista desplegable de la gravedad de Syslog. Haga Click en OK para salvar la configuración. Salvaguardia del tecleo para salvar la configuración de la plataforma. Elija despliegan, eligen el dispositivo FTD donde usted quiere aplicar los cambios, y el tecleo despliega para comenzar el

14 despliegue de la configuración de la plataforma. Verificación Actualmente, no hay un procedimiento de verificación disponible para esta configuración. Troubleshooting Esta sección proporciona la información que usted puede utilizar para resolver problemas su configuración. Verifique la configuración de syslog FTD en el FTD CLI, inicie sesión a la interfaz de administración del FTD, y utilice el comando del soporte de sistema de diagnóstico-cli para consolar en el CLI de diagnóstico > system support diagnostic-cli Attaching to ASA console... Press 'Ctrl+a then d' to detach. Type help or '?' for a list of available commands. ><Press Enter> firepower# sh run logging logging enable logging console emergencies logging buffered debugging logging host inside logging flash-minimum-free 1024 logging flash-maximum-allocation 3076 logging permit-hostdown Asegúrese de que el servidor de Syslog sea accesible del FTD. Inicie sesión a la interfaz de administración FTD vía SSH y verifique la Conectividad con el comando ping. Copyright , Cisco and/or its affiliates. All rights reserved. Cisco is a registered trademark of Cisco Systems, Inc. All other trademarks are property of their respective owners. Cisco Fire Linux OS v6.0.1 (build 37) Cisco Firepower Threat Defense for VMWare v6.0.1 (build 1213) > system support diagnostic-cli Attaching to ASA console... Press 'Ctrl+a then d' to detach. Type help or '?' for a list of available commands. firepower> en Password: firepower# ping Usted puede tomar a una captura de paquetes para verificar la Conectividad entre el FTD y el servidor de Syslog. Inicie sesión a la interfaz de administración FTD vía el SSH y ingrese el soporte de diagnóstico-cli del comando system. Para los comandos de la captura de paquetes, refiera a las capturas de paquetes ASA con el CLI y el ejemplo de la Configuración de ASDM.

15 Asegúrese de que la implementación de política esté aplicada con éxito. Información Relacionada Guía de inicio rápido de la defensa de la amenaza de Cisco FirePOWER para el ASA Soporte Técnico y Documentación - Cisco Systems