Transferência de Log do WSA para um Servidor SCP Remoto

Introdução

Este documento descreve como transferir logs do Cisco Web Security Appliance (WSA) para um servidor remoto Secure Copy (SCP). Você pode configurar os logs do WSA, como os logs de acesso e autenticação, para que eles sejam encaminhados a um servidor externo com o protocolo SCP quando os logs são transferidos ou finalizados.

As informações neste documento descrevem como configurar as regras de rotação de log, bem como as chaves Secure Shell (SSH) necessárias para uma transferência bem-sucedida para um servidor SCP.

Pré-requisitos

Requisitos

Não existem requisitos específicos para este documento.

Componentes Utilizados

Este documento não se restringe a versões de software e hardware específicas.

As informações neste documento foram criadas a partir de dispositivos em um ambiente de laboratório específico. Todos os dispositivos utilizados neste documento foram iniciados com uma configuração (padrão) inicial. Se a sua rede estiver ativa, certifique-se de que entende o impacto potencial de qualquer comando.

Configurar

Conclua estas etapas para configurar os logs WSA para que eles possam ser recuperados com SCP em um servidor remoto:

1. Faça login na GUI da Web do WSA.
   
   
2. Navegue até System Administration > Log Subscriptions.
   
   
3. Selecione o nome do(s) log(s) para o(s) qual(is) você deseja configurar esse método de recuperação, como logs de acesso.
   
   
4. No campo Método de recuperação, escolha SCP no servidor remoto.
   
   
5. Insira o nome de host SCP ou o endereço IP do servidor SCP.
   
   
6. Insira o número da porta SCP.
   

   Observação: a configuração padrão é a porta 22.

7. Insira o nome do caminho completo do diretório de destino do servidor SCP para o qual os logs serão transferidos.
   
   
8. Insira o nome de usuário do usuário autenticado do servidor SCP.
   
   
9. Se você quiser fazer a varredura automática da chave do host ou inserir manualmente a chave do host, habilite a Verificação da Chave do Host.
   
   
10. Clique em Submit. A chave SSH que você colocará no arquivo authorized_keys do servidor SCP agora deve aparecer perto da parte superior da página Editar inscrição de log. Aqui está um exemplo de uma mensagem bem-sucedida do WSA:
    
    
    
    
11. Clique em Confirmar alterações.
    
    
12. Se o servidor SCP for um servidor Linux ou Unix ou uma máquina Macintosh, cole as chaves SSH do WSA no arquivo authorized_keys localizado no diretório SSH:
    
    
    1. Navegue até o diretório Users > <username> > .ssh.
       
       
    2. Cole a chave SSH do WSA no arquivo authorized_keys e salve as alterações.
       

    Observação: você deve criar manualmente um arquivo authorized_keys se não houver um no diretório SSH.

Verificar

Conclua estas etapas para verificar se os registros foram transferidos com êxito para o servidor SCP:

1. Navegue até a página Inscrições de log do WSA.
   
   
2. Na coluna Rollover, escolha o log que você configurou para recuperação SCP.
   
   
3. Localize e clique em Rollover Agora.
   
   
4. Navegue até a pasta do servidor SCP que você configurou para recuperação de log e verifique se os logs são transferidos para esse local.

Conclua estas etapas para monitorar a transferência de log do WSA para o servidor SCP:

1. Faça login na CLI do WSA via SSH.
   
   
2. Digite o comando grep.
   
   
3. Digite o número apropriado para o log que você deseja monitorar. Por exemplo, digite 31 na lista de grep para os logs_do_sistema.
   
   
4. Insira scp no prompt Enter the regular expression to grep para filtrar os logs para que você possa monitorar somente as transações SCP.
   
   
5. Digite Y no prompt Deseja que esta pesquisa não diferencie maiúsculas de minúsculas?.
   
   
6. Digite Y no prompt Deseja encerrar os logs?.
   
   
7. Digite N no prompt Deseja paginar a saída?. Em seguida, o WSA lista as transações SCP em tempo real. Aqui está um exemplo de transações SCP bem-sucedidas a partir dos logs_do_sistema do WSA:
   

   Wed Jun 11 15:06:14 2014 Info: Push success for subscription <the name of the log>:
   Log aclog@20140611T145613.s pushed to remote host <IP address of the SCP Server>:22

Troubleshooting

Atualmente, não existem informações disponíveis específicas sobre Troubleshooting para esta configuração.