Inhoud

Inleiding

Voorwaarden

Vereisten

Gebruikte componenten

Achtergrondinformatie

ELK Stack

ELK Stack als log analyse

Loganalyse inschakelen

Navigation menu

Ingebouwde Dashboards

Nieuwe dashboards maken

Stap 1. Indexpatronen maken (gegevensbron)

Stap 2. Visualisaties maken

Stap 3. Een Dashboard maken

Probleemoplossing

Gerelateerde informatie

Inleiding

Dit document beschrijft de elk Stack-componenten die zijn ingebouwd in Cisco Identity Services Engine (ISE) 3.3 via System 360 Log Analytics.

Voorwaarden

Vereisten

Cisco raadt kennis van de volgende onderwerpen aan:

- Cisco Identity Service Engine

- ELK Stack

Gebruikte componenten

De informatie in dit document is gebaseerd op de volgende software- en hardware-versies:

- ISE-lijnkaart 3.3

De informatie in dit document is gebaseerd op de apparaten in een specifieke laboratoriumomgeving. Alle apparaten die in dit document worden beschreven, hadden een opgeschoonde (standaard)configuratie. Als uw netwerk live is, moet u zorgen dat u de potentiële impact van elke opdracht begrijpt.

Achtergrondinformatie

System 360 omvat bewaking en loganalyses.

Met de bewakingsfunctie kunt u een brede reeks toepassings- en systeemstatistieken en de belangrijkste prestatie-indicatoren (KPI) van alle knooppunten in een implementatie vanuit een gecentraliseerde console bewaken. KPI’s zijn nuttig om inzicht te krijgen in de algehele gezondheid van de knoopomgeving. Statistieken bieden een vereenvoudigde weergave van de systeemconfiguraties en gebruiksspecifieke gegevens.

Log Analytics biedt een flexibel analysesysteem voor diepgaande analyse van endpointverificatie, autorisatie en accounting (AAA) en profilering van syslog-gegevens. U kunt ook de gezondheidssamenvatting en de processtatus van Cisco ISE analyseren. U kunt rapporten genereren die vergelijkbaar zijn met het Cisco ISE-tellers en het rapport met gezondheidsoverzichten.

ELK Stack

De ELK Stack is een populaire opensourcesoftware die wordt gebruikt voor het verzamelen, verwerken en visualiseren van grote hoeveelheden gegevens. Het staat voor Elasticsearch, Logstash en Kibana.

- Elasticsearch: Elasticsearch is een gedistribueerde zoek- en analytics-engine. Het is ontworpen om grote hoeveelheden gegevens snel en in bijna real-time op te slaan, te zoeken en te analyseren. Het maakt gebruik van een op JSON gebaseerde query taal en is zeer schaalbaar.

- Logstash: Logstash is een dataverwerkingspijplijn die gegevens uit meerdere bronnen opneemt, verwerkt en transformeert. Het kan gegevens ontleden en verrijken, waardoor het meer gestructureerd en geschikt voor analyse. Logstash ondersteunt een breed scala aan invoerbronnen en uitvoerbestemmingen.

- Kibana: Kibana is een datavisualisatieplatform dat werkt met Elasticsearch. Het stelt gebruikers in staat om interactieve dashboards, grafieken, grafieken en visualisaties te maken om gegevens te verkennen en te begrijpen die zijn opgeslagen in Elasticsearch. De interface van Kibana maakt het gemakkelijk om gegevens te vragen en te visualiseren.

In combinatie vormen deze componenten een krachtige stack voor het beheer en de analyse van verschillende soorten gegevens, van logbestanden tot metriek en meer, terwijl ze visualisatiemogelijkheden bieden om de informatie te begrijpen.

ELK Stack flow

ELK Stack als log analyse

- Een afzonderlijk geval van ElasticSearch+LogStash+Kibana stack wordt uitgevoerd op alleen MnT knooppunten.

- Dit heeft geen correlatie met de Elasticsearch of Context-Visibility.

- Operatie ELK 7,17

- Primaire en secundaire MNT's hebben hun eigen afzonderlijke voorbeelden van ELK.

- Kibana is alleen ingeschakeld op secundaire MNT indien deze beschikbaar is, waarbij alleen gegevens van dit knooppunt worden weergegeven.

- Log Analytics is standaard uitgeschakeld.

- Verbruikt Oracle-bronnen.

- Slaat maximaal 7 dagen gegevens op.

- De totale grootte van de gegevens die worden verbruikt door Log Analytics is beperkt tot 100GB.

- Zodra een van de limieten is bereikt, worden de gegevens door ElasticSearch verwijderd.

ELK-stroom als loganalyse

Stroomschema van ELK in ISE

Loganalyse inschakelen

Log analytics is standaard uitgeschakeld op ISE om te kunnen navigeren naar Operations>System360>Instellingen.

Loganalyse inschakelen

ISE duurt ongeveer een minuut om ELK stack te initialiseren, u kunt de status controleren met behulp van show app stat ise.

Daarnaast kunt u de containerstatus vanaf root controleren.

admin#show application status ise

ISE PROCESS NAME STATE PROCESS ID

--------------------------------------------------------------------

Database Listener running 7708

Database Server running 132 PROCESSES

Application Server running 551493

Profiler Database running 14281

ISE Indexing Engine running 553168

AD Connector running 41413

M&T Session Database running 26017

M&T Log Processor running 33547

Certificate Authority Service running 41230

EST Service running 659568

SXP Engine Service disabled

TC-NAC Service disabled

PassiveID WMI Service disabled

PassiveID Syslog Service disabled

PassiveID API Service disabled

PassiveID Agent Service disabled

PassiveID Endpoint Service disabled

PassiveID SPAN Service disabled

DHCP Server (dhcpd) disabled

DNS Server (named) disabled

ISE Messaging Service running 10937

ISE API Gateway Database Service running 13294

ISE API Gateway Service running 586762

ISE pxGrid Direct Service running 637606

Segmentation Policy Service disabled

REST Auth Service disabled

SSE Connector disabled

Hermes (pxGrid Cloud Agent) disabled

McTrust (Meraki Sync Service) disabled

ISE Node Exporter running 44422

ISE Prometheus Service running 47890

ISE Grafana Service running 51094

ISE MNT LogAnalytics Elasticsearch running 611684

ISE Logstash Service running 614339

ISE Kibana Service running 616064

ISE Native IPSec Service running 75883

MFC Profiler running 651910

Navigation menu

Zodra ELK services beginnen, hebt u nu toegang tot het Elastic navigatie menu.

Navigation menu

Ingebouwde Dashboards

- ISE heeft standaard ingebouwde dashboards met gegevens van Radius, TACAC’s, systeemprestaties en ISE-waarneembaarheid.

- Deze dashboards zijn toegankelijk via navigatie naar Operations>Log Analytics.

- Klik na het openen van de elastische gebruikersinterface op sandwichmenu >Analytics>Dashboards.

Ingebouwde dashboards

- Beschikbare dashboards op ISE 3.3

ISE 3.3 log analytics dashboards

Nieuwe dashboards maken

Stap 1. Indexpatronen maken (gegevensbron)

In Kibana zijn "indexpatronen" configuraties die u in staat stellen te definiëren hoe Kibana moet interageren met een of meer Elasticsearch-indices.

Navigeer naar Beheer>Stackbeheer>Kibana>Index-patronen en klik op "Index-patroon maken"

Indexpatroon maken

Het volgende venster toont een lijst van alle beschikbare indexen op ISE.

- Typ de naam van de index die u geïnteresseerd bent, het kan exact overeenkomen of wildcard met *.

- Selecteer het veld Tijdstempel, gelogd_at, gelogd_at_timezone of "Ik wil geen tijdfilter gebruiken".

- Klik vervolgens op "Indexpatroon maken".

Index selecteren

Eenmaal gemaakt, geeft de index een lijst van alle variabelen die later gebruikt kunnen worden om visualisaties aan te maken.

Indexvariabelen

Stap 2. Visualisaties maken

In Kibana zijn "visualisaties" grafische voorstellingen van je gegevens. Ze stellen u in staat om de gegevens die zijn opgeslagen in Elasticsearch te gebruiken en om te zetten in zinvolle grafieken, grafieken en diagrammen voor een beter begrip en analyse. Dit zijn een aantal veelvoorkomende visualisaties die u kunt maken:

- Lens: Creëert visualisaties met een drag and drop editor. Aanbevolen.

- Grafieken: Deze tonen gegevens in verticale balken, waardoor het gemakkelijk is om waarden over categorieën of tijdintervallen te vergelijken.

- Lijnkaarten: Lijnkaarten geven gegevens weer als een reeks gegevenspunten verbonden door lijnen. Ze zijn handig om trends door de tijd heen te visualiseren.

- Taartgrafieken: Taartgrafieken vertegenwoordigen gegevens in een cirkelvormige grafiek, waarbij elk segment van de taart een categorie en de grootte van het segment vertegenwoordigt en de verhouding aangeeft.

- Gebiedskaarten: Net als lijnkaarten, tonen gebiedskaarten ook trends in de tijd, maar ze vullen het gebied onder de lijnen, waardoor het gemakkelijker wordt om de omvang van veranderingen te zien.

- Warmtekaarten: Warmtekaarten gebruiken kleuren om gegevenswaarden in een matrix of raster weer te geven. Zij zijn nuttig om concentraties of variaties in gegevens te tonen.

- Metrische visualisaties: Deze geven enkele numerieke waarden weer, zoals tellingen of gemiddelden. Zij worden vaak gebruikt om essentiële prestatie-indicatoren (KPI's) te tonen.

- Datatabellen: Datatabellen presenteren ruwe gegevens in tabelvorm, zodat u gedetailleerde informatie kunt zien en de gegevens kunt sorteren of filteren.

- Histogrammen: Histogrammen verdelen gegevens in bins of intervallen en tonen de frequentie of de telling van gegevenspunten in elke bak. Zij zijn nuttig om gegevensdistributies te begrijpen.

- Coördinaat Kaarten: Deze visualiseren georuimtelijke gegevens, zodat u gegevens op een kaart kunt weergeven en verschillende markeringen, kleuren of groottes kunt gebruiken om datakenmerken weer te geven.

- Tag Clouds: Tag clouds tonen woordfrequenties, waarbij de grootte van elk woord het belang of de frequentie van elk woord aangeeft in een dataset.

Navigeer naar Analytics>Visaulize Library en klik op "Creëer visualisatie".

Creëer visualisatie

Selecteer de visualisatie van uw voorkeur, op dit voorbeeld Lens is de voorkeur voor praktische uitvoerbaarheid.

Selecteer het type visualisatie

Kibana Lens, navigatie items bestaat uit:

- Selectie van gegevensbronnen: In het linker paneel kunt u de gegevensbron of het indexpatroon van Elasticsearch selecteren dat u voor uw visualisatie wilt gebruiken.

- Visualisatiekantoor: Het centrale gebied is waar u uw visualisatie opbouwt door velden te slepen en te laten vallen, grafiektypes te selecteren en grafiekinstellingen te configureren.

- Visualization Toolbar: Boven het canvas vindt u mogelijk een werkbalk waarmee u uw visualisatie kunt aanpassen, inclusief opties voor het wijzigen van grafiektypes, het toevoegen van filters en het configureren van grafiekinstellingen.

- Datapaneel: Aan de rechterkant hebt u toegang tot het 'Data'-paneel, waarmee u uw gegevenstransformatie, aggregatie en veldinstellingen kunt beheren.

- Layer Management: Afhankelijk van het type visualisatie dat u maakt (bijvoorbeeld gelaagde diagrammen), kunt u een Layer Management Area hebben voor het configureren van meerdere lagen in uw visualisatie.

- Voorbeeld: als u wijzigingen in uw visualisatie aanbrengt, wordt er meestal een realtime voorbeeld gegeven, zodat u kunt zien hoe uw tabel er uitziet met de huidige instellingen.

- Visualisatie-instellingen: Afhankelijk van het geselecteerde kaarttype kunt u specifieke instellingen voor dat visualisatietype openen, zoals asconfiguratie, kleurenschema's en labels.

- Interactiviteit-instellingen: U kunt interacties en acties toevoegen aan uw visualisatie, zodat gebruikers gegevens kunnen filteren of naar andere delen van uw Kibana-dashboards kunnen navigeren.

- Opslaan en delen: Bovenaan de Lens-interface staan meestal opties om uw visualisatie op te slaan, toe te voegen aan een dashboard of het met anderen te delen.

Lensvisualisatie

Vanwege Cisco-bug-id CSCwh48057 worden in het linkerpaneel geen beschikbare velden voor gebruik weergegeven. Aan de rechterkant kunt u echter de gewenste velden en diagramstijl selecteren. Op dit voorbeeld, aangezien auth latency een onderwerp van gemeenschappelijk belang is wordt de grafiek gebouwd om authentificatie latentie versus endpoint id te visualiseren.

Endpoint ID vs latency

Nadat u dit hebt gedaan, kunt u op de knop Opslaan in de rechterhoek klikken.

Visualisatie opslaan

Stap 3. Een Dashboard maken

Het voegt automatisch de nieuwe visualisatie toe aan een nieuw Dashboard. Houd in gedachten dat Kibana Dashboards gebruikers in staat stellen om interactieve visualisaties en rapporten te maken, aan te passen en te delen op basis van gegevens die zijn opgeslagen in Elasticsearch indices.

Nieuw Dashboard

Probleemoplossing

- Controleer of de ELK stack services op de MNT draaien.

- Aangezien Kibana, Logstash en Elasticsearch op containers lopen, zijn de logboeken te vinden op:

admin#show logging application ise-kibana/kibana.log

admin#show logging application ise-logstash/logstash.log

admin#show logging application mnt-la-elasticsearch/mnt-la-elasticsearch.log

Gerelateerde informatie

ISE 3.3 beheerdershandleiding

Kibana-documentatie