Fehlerbehebung bei ISE und FirePOWER-Integration für Identity Services
Inhalt
Einleitung
- Problembehebung - ermöglicht FMC die Quarantäne des Angreifers über die ISE, die den Autorisierungsstatus auf dem Zugriffsgerät mit eingeschränktem Netzwerkzugriff dynamisch ändert. Es gibt zwei Generationen dieser Lösung:
- Älteres Perl-Skript mit Endpoint Protection Service (EPS) API-Aufruf an ISE.
- Neuere Module mit pxGrid-Protokollaufruf an ISE (dieses Modul wird nur in Version 5.4 unterstützt - in 6.0 nicht unterstützt, native Unterstützung in 6.1 geplant).
- Richtlinie - Ermöglicht FMC die Konfiguration von Richtlinien auf Basis von TrustSec Security Group Tags (SGT).
Dieser Artikel konzentriert sich auf die zweite Funktionalität. Beispiel zur Problembehebung: Lesen Sie den Abschnitt "Referenzen".
Netzwerkdiagramm
FMC wird mit einer Zugriffskontrollrichtlinie konfiguriert, die zwei Regeln enthält:
- HTTP-Datenverkehr mit benutzerdefinierter URL (Angriff-URL) ablehnen
- HTTP-Datenverkehr mit benutzerdefinierter URL (Angriffs-URL) zulassen, jedoch nur, wenn der Benutzer von ISE dem Audit (9) SGT-Tag zugewiesen wird
Die ISE beschließt, allen Active Directory-Benutzern, die zur Administratorgruppe gehören, Audit-Tags zuzuweisen und verwendet das ASA-VPN-Gerät für den Netzwerkzugriff.
Der Benutzer greift auf das Netzwerk über eine VPN-Verbindung auf der ASA zu. Der Benutzer versucht dann, über die URL-Angriffs-URL auf den überwachten Server zuzugreifen, schlägt jedoch fehl, da er nicht der Audit SGT-Gruppe zugewiesen wurde. Sobald dies behoben ist, ist die Verbindung erfolgreich.
ISE
Active Directory
Die AD-Integration muss konfiguriert werden, und die richtigen Gruppen müssen abgerufen werden (die Administratorgruppe wird für die Autorisierungsregelbedingung verwendet):
Netzwerkzugriffsgerät
ASA wird als Netzwerkgerät hinzugefügt. Die folgende Abbildung zeigt die Verwendung der benutzerdefinierten Gruppe ASA-VPN-Audit:
Zertifikate für pxGrid und MnT
FMC verwendet beide Services auf der ISE:
- pxGrid für SGT und Profildatenabfrage
- Monitoring und Reporting (MnT) für Massen-Sitzungsdownload
Die MnT-Verfügbarkeit ist sehr wichtig, da auf diese Weise das FMC über die IP-Adresse der authentifizierten Sitzung, den Benutzernamen und den SGT-Tag informiert wird. Auf dieser Grundlage können die richtigen Richtlinien angewendet werden. Bitte beachten Sie, dass NGIPS keine nativen SGT-Tags (Inline-Tagging) wie die ASA unterstützt. Im Gegensatz zu ASA unterstützt es jedoch nur SGT-Namen anstelle von Zahlen.
Aufgrund dieser Anforderungen müssen sich ISE und FMC gegenseitig vertrauen (Zertifikat). MnT verwendet nur das serverseitige Zertifikat, pxGrid verwendet sowohl das client- als auch das serverseitige Zertifikat.
Die Microsoft-Zertifizierungsstelle wird zum Signieren aller Zertifikate verwendet.
Für MnT (Admin-Rolle) muss die ISE eine Zertifikatssignierungsanforderung (Certificate Signing Request, CSR) generieren, wie in diesem Bild gezeigt:
Die automatische Genehmigung muss aktiviert sein:
Autorisierungsrichtlinie
Es wird eine Standardauthentifizierungsrichtlinie verwendet (eine AD-Suche wird durchgeführt, wenn kein lokaler Benutzer gefunden wird).
Die Autorisierungsrichtlinie wurde so konfiguriert, dass Benutzern, die sich über ASA-VPN authentifizieren und zu Active Directory-Gruppenadministratoren gehören, vollständiger Netzwerkzugriff (Permission: PermitAccess) ermöglicht wird. Für diese Benutzer werden SGT-Tag-Auditoren zurückgegeben:
FMC
Active Directory-Bereich
Für die ISE-Integration ist eine Bereichskonfiguration erforderlich (um Identitätsrichtlinien zu verwenden und Gruppenmitgliedschaften für passiv authentifizierte Benutzer abzurufen). Der Bereich kann für Active Directory oder Lightweight Directory Access Protocol (LDAP) konfiguriert werden. In diesem Beispiel wird AD verwendet. Von System > Integration > Bereich:
Es werden die Standardverzeichniseinstellungen verwendet:
Einige der AD-Gruppen werden abgerufen (als zusätzliche Bedingung in den Zugriffskontrollregeln zu verwenden):
Zertifikate für Admin und pxGrid
Dies ist zwar nicht erforderlich, bietet jedoch eine bewährte Methode zum Generieren von CSR für den Administratorzugriff. Signieren Sie diesen CSR mit vertrauenswürdiger AD, und importieren Sie das signierte Zertifikat zurück, wie in diesem Bild gezeigt:
ISE-Integration
Wenn alle Zertifikate installiert sind, konfigurieren Sie die ISE-Integration über System > Integration:
Verwenden Sie die importierte Zertifizierungsstelle für die Validierung von pxGrid- und MnT-Dienstzertifikaten. Verwenden Sie für die Management Console (MC) das interne Zertifikat, das für pxGrid generiert wurde.
Identitätsrichtlinie
Konfigurieren Sie die Identitätsrichtlinie, die den zuvor konfigurierten AD-Bereich für die passive Authentifizierung verwendet:
Zugriffskontrollrichtlinie
Für dieses Beispiel wurde die benutzerdefinierte URL erstellt:
Überprüfung
Nachdem alles korrekt konfiguriert ist, sollte ISE sehen, wie der pxGrid-Client einen Sitzungsdienst abonniert (Status Online).
Aus den Protokollen können Sie auch bestätigen, dass FMC TrustSecMetaData (SGT-Tags) abonniert hat - alle Tags erhalten und abbestellt.
Einrichtung von VPN-Sitzungen
Der erste Test wird für ein Szenario durchgeführt, in dem die Autorisierung auf der ISE nicht den richtigen SGT-Tag zurückgibt (NGIPS ermöglicht keine Audit-Tests).
Sobald die VPN-Sitzung aktiv ist, kann die AnyConnect-Benutzeroberfläche weitere Details bereitstellen:
ASA kann den Sitzungsaufbau bestätigen:
asav# show vpn-sessiondb anyconnect
Session Type: AnyConnect
Username : Administrator Index : 1
Assigned IP : 172.16.50.50 Public IP : 192.168.10.67
Protocol : AnyConnect-Parent SSL-Tunnel DTLS-Tunnel
License : AnyConnect Essentials
Encryption : AnyConnect-Parent: (1)none SSL-Tunnel: (1)RC4 DTLS-Tunnel: (1)AES128
Hashing : AnyConnect-Parent: (1)none SSL-Tunnel: (1)SHA1 DTLS-Tunnel: (1)SHA1
Bytes Tx : 11428 Bytes Rx : 24604
Group Policy : POLICY Tunnel Group : SSLVPN
Login Time : 12:22:59 UTC Wed Dec 2 2015
Duration : 0h:01m:49s
Inactivity : 0h:00m:00s
VLAN Mapping : N/A VLAN : none
Audt Sess ID : ac101f6400001000565ee2a3
Beachten Sie, dass ASA für diese Authentifizierung keine SGT-Tags zurückgegeben sieht. ASA ist nicht für TrustSec konfiguriert - daher werden Informationen sowieso übersprungen.
Die ISE meldet außerdem eine erfolgreiche Autorisierung (das Protokoll ist um 23:36:19 Uhr) - es wurde kein SGT-Tag zurückgegeben:
FMC empfängt Sitzungsdaten von MnT
Zu diesem Zeitpunkt meldet das FMC in /var/log/messages eine neue Sitzung (als Abonnent für den pxGrid-Dienst empfangen) für den Administrator-Benutzernamen und führt eine AD-Suche für die Gruppenmitgliedschaft durch:
firepower SF-IMS[3554]: [17768] ADI:adi.LdapRealm [INFO] search
'(|(sAMAccountName=Administrator))' has the following DN:
'CN=Administrator,CN=Users,DC=example,DC=com'.
Unprivilegierter und privilegierter Netzwerkzugriff
Wenn der Benutzer zu diesem Zeitpunkt versucht, den Webbrowser zu öffnen und auf den überwachten Server zuzugreifen, wird die Verbindung beendet:
Dies kann durch die vom Client übernommenen Paketerfassungen bestätigt werden (TCP RST sendet gemäß FMC-Konfiguration):
Nach der Konfiguration der ISE für die Rückkehr meldet das Audit-Tag ASA-Sitzungen:
asav# show vpn-sessiondb anyconnect
Session Type: AnyConnect
Username : Administrator Index : 1
Assigned IP : 172.16.50.50 Public IP : 192.168.10.67
Protocol : AnyConnect-Parent SSL-Tunnel DTLS-Tunnel
License : AnyConnect Essentials
Encryption : AnyConnect-Parent: (1)none SSL-Tunnel: (1)RC4 DTLS-Tunnel: (1)AES128
Hashing : AnyConnect-Parent: (1)none SSL-Tunnel: (1)SHA1 DTLS-Tunnel: (1)SHA1
Bytes Tx : 11428 Bytes Rx : 24604
Group Policy : POLICY Tunnel Group : SSLVPN
Login Time : 12:22:59 UTC Wed Dec 2 2015
Duration : 0h:01m:49s
Inactivity : 0h:00m:00s
VLAN Mapping : N/A VLAN : none
Audt Sess ID : ac101f6400001000565ee2a3
Security Grp : 9
Die ISE meldet außerdem eine erfolgreiche Autorisierung (das Protokoll ist um 23:37:26 Uhr) - der SGT-Tag Auditor wird zurückgegeben:
Außerdem kann der Benutzer auf den genannten Service zugreifen:
FMC-Protokollierungszugriff
Diese Aktivität kann durch den Verbindungsereignisbericht bestätigt werden:
Dem Benutzer wurde zunächst kein SGT-Tag zugewiesen, und die Regel "DenyUnprivileged-HTTP" wurde ausgelöst. Sobald das Tag des Prüfers von der ISE-Regel zugewiesen (und von FMC abgerufen) wurde, wird "PermitPrivileged-HTTP" verwendet, und der Zugriff wird zugelassen.
Beachten Sie außerdem, dass zur Anzeige mehrere Spalten entfernt wurden, da normalerweise Zugriffskontrollregel und Sicherheitsgruppen-Tag als eine der letzten Spalten angezeigt werden (und die horizontale Bildlaufleiste verwendet werden muss). Diese angepasste Ansicht kann gespeichert und später wiederverwendet werden.
Fehlerbehebung
FMC-Debugging
Um die Protokolle der für die Identitätsdienste verantwortlichen Adi-Komponente zu überprüfen, überprüfen Sie die Datei /var/log/messages:
[23509] ADI_ISE_Test_Help:ADI_ISE_Test_Help [INFO] Parsing command line arguments...
[23509] ADI_ISE_Test_Help:adi.DirectoryTestHandler [INFO] test: ISE connection.
[23509] ADI_ISE_Test_Help:adi.ISEConnection [INFO] Preparing ISE Connection objects...
[23509] ADI_ISE_Test_Help:adi.ISEConnection [INFO] Preparing subscription objects...
[23509] ADI_ISE_Test_Help:adi.ISEConnection [INFO] subscribed successfully to EndpointProfileMetaDataCapability
[23509] ADI_ISE_Test_Help:adi.ISEConnection [INFO] registered callback for capability EndpointProfileMetaDataCapability
[23509] ADI_ISE_Test_Help:adi.ISEConnection [INFO] subscribed successfully to TrustSecMetaDataCapability
[23509] ADI_ISE_Test_Help:adi.ISEConnection [INFO] registered callback for capability TrustSecMetaDataCapability
[23509] ADI_ISE_Test_Help:adi.ISEConnection [INFO] subscribed successfully to SessionDirectoryCapability
[23509] ADI_ISE_Test_Help:adi.ISEConnection [INFO] registered callback for capability SessionDirectoryCapability
[23509] ADI_ISE_Test_Help:adi.ISEConnection [INFO] Connecting to ISE server...
[23509] ADI_ISE_Test_Help:adi.ISEConnection [INFO] Beginning to connect to ISE server...
[23510] ADI_ISE_Test_Help:adi.ISEConnection [INFO] Captured Jabberwerx log:2015-12-01T23:10:44 [ INFO]: _reconnection_thread started
[23510] ADI_ISE_Test_Help:adi.ISEConnection [INFO] Captured Jabberwerx log:2015-12-01T23:10:44 [ INFO]: pxgrid connection init done successfully
[23510] ADI_ISE_Test_Help:adi.ISEConnection [INFO] Captured Jabberwerx log:2015-12-01T23:10:44 [ INFO]: connecting to host lise20.example.com .......
[23511] ADI_ISE_Test_Help:adi.ISEConnection [INFO] Captured Jabberwerx log:2015-12-01T23:10:44 [ INFO]: stream opened
[23511] ADI_ISE_Test_Help:adi.ISEConnection [INFO] Captured Jabberwerx log:2015-12-01T23:10:44 [ INFO]: EXTERNAL authentication complete
[23511] ADI_ISE_Test_Help:adi.ISEConnection [INFO] Captured Jabberwerx log:2015-12-01T23:10:44 [ INFO]: authenticated successfully (sasl mechanism: EXTERNAL)
[23510] ADI_ISE_Test_Help:adi.ISEConnection [INFO] Captured Jabberwerx log:2015-12-01T23:10:45 [ INFO]: successfully subscribed
message repeated 2 times
[23510] ADI_ISE_Test_Help:adi.ISEConnection [INFO] Queried 1 bulk download hostnames:lise20.example.com:8910
[23509] ADI_ISE_Test_Help:adi.ISEConnection [INFO] ...successfully connected to ISE server.
[23509] ADI_ISE_Test_Help:adi.ISEConnection [INFO] Starting bulk download
[23514] ADI_ISE_Test_Help:adi.ISEConnection [INFO] Captured Jabberwerx log:2015-12-01T23:10:45 [ INFO]: curl_easy_setopt() for CURLOPT_URL: 'https://lise20.example.com:8910/pxgrid/mnt/sd/getSessionListByTime'
[8893] ADI:ADI [INFO] : sub command emits:'* Trying 172.16.31.210...'
[8893] ADI:ADI [INFO] : sub command emits:'* Connected to lise20.example.com (172.16.31.210) port 8910 (#0)'
[8893] ADI:ADI [INFO] : sub command emits:'* Cipher selection: ALL:!EXPORT:!EXPORT40:!EXPORT56:!aNULL:!LOW:!RC4:@STRENGTH'
[8893] ADI:ADI [INFO] : sub command emits:'* SSL connection using TLSv1.2 / DHE-RSA-AES256-SHA256'
[8893] ADI:ADI [INFO] : sub command emits:'* Server certificate:'
[8893] ADI:ADI [INFO] : sub command emits:'* ^I subject: CN=lise20.example.com'
[8893] ADI:ADI [INFO] : sub command emits:'* ^I start date: 2015-11-21 14:40:36 GMT'
[8893] ADI:ADI [INFO] : sub command emits:'* ^I expire date: 2017-11-20 14:40:36 GMT'
[8893] ADI:ADI [INFO] : sub command emits:'* ^I common name: lise20.example.com (matched)'
[8893] ADI:ADI [INFO] : sub command emits:'* ^I issuer: DC=com; DC=example; CN=example-WIN-CA'
[8893] ADI:ADI [INFO] : sub command emits:'* ^I SSL certificate verify ok.'
[8893] ADI:ADI [INFO] : sub command emits:'> POST /pxgrid/mnt/sd/getSessionListByTime HTTP/1.1^M'
[8893] ADI:ADI [INFO] : sub command emits:'Host: lise20.example.com:8910^M'
[8893] ADI:ADI [INFO] : sub command emits:'Accept: */*^M'
[8893] ADI:ADI [INFO] : sub command emits:'Content-Type: application/xml^M'
[8893] ADI:ADI [INFO] : sub command emits:'user:firesightisetest-firepower.example.com-0739edea820cc77e04cc7c44200f661e@xgrid.cisco.com^M'
[8893] ADI:ADI [INFO] : sub command emits:'Content-Length: 269^M'
[8893] ADI:ADI [INFO] : sub command emits:'^M'
[8893] ADI:ADI [INFO] : sub command emits:'* upload completely sent off: 269 out of 269 bytes'
[8893] ADI:ADI [INFO] : sub command emits:'< HTTP/1.1 200 OK^M'
[8893] ADI:ADI [INFO] : sub command emits:'< Date: Tue, 01 Dec 2015 23:10:45 GMT^M'
[8893] ADI:ADI [INFO] : sub command emits:'< Content-Type: application/xml^M'
[8893] ADI:ADI [INFO] : sub command emits:'< Content-Length: 1287^M'
[8893] ADI:ADI [INFO] : sub command emits:'< Server: ^M'
[8893] ADI:ADI [INFO] : sub command emits:'< ^M'
[8893] ADI:ADI [INFO] : sub command emits:'* Connection #0 to host lise20.example.com left intact'
[23509] ADI_ISE_Test_Help:adi.ISEConnection [INFO] bulk download processed 0 entries.
[23509] ADI_ISE_Test_Help:adi.ISEConnection [INFO] disconnecting pxgrid
[23509] ADI_ISE_Test_Help:adi.ISEConnection [INFO] Captured Jabberwerx log:2015-12-01T23:10:45 [ INFO]: Starting reconnection stop
[23510] ADI_ISE_Test_Help:adi.ISEConnection [INFO] Captured Jabberwerx log:2015-12-01T23:10:45 [ INFO]: _reconnection_thread exited
[23511] ADI_ISE_Test_Help:adi.ISEConnection [INFO] Captured Jabberwerx log:2015-12-01T23:10:45 [ INFO]: stream closed; err_dom=(null) 2015-12-01T23:10:45 [ INFO]: clientDisconnectedCb -> destroying client object
[23511] ADI_ISE_Test_Help:adi.ISEConnection [INFO] Captured Jabberwerx log:2015-12-01T23:10:45 [ INFO]: pxgrid connection shutdown done successfully
[23511] ADI_ISE_Test_Help:adi.ISEConnection [INFO] Captured Jabberwerx log:2015-12-01T23:10:45 [ INFO]: Exiting from event base loop
[23509] ADI_ISE_Test_Help:adi.ISEConnection [INFO] Captured Jabberwerx log:2015-12-01T23:10:45 [ INFO]: successfully disconnected
[23509] ADI_ISE_Test_Help:adi.ISEConnection [INFO] Captured Jabberwerx log:2015-12-01T23:10:45 [ INFO]: connection disconnect done .....
[23509] ADI_ISE_Test_Help:adi.ISEConnection [INFO] destroying pxgrid reconnection
[23509] ADI_ISE_Test_Help:adi.ISEConnection [INFO] destroying underlying pxgrid connection
[23509] ADI_ISE_Test_Help:adi.ISEConnection [INFO] destroying pxgrid config
[23509] ADI_ISE_Test_Help:adi.ISEConnection [INFO] ISE identity feed destructor called
[23509] ADI_ISE_Test_Help:ADI_ISE_Test_Help [INFO] /usr/local/sf/bin/adi_iseTestHelp cleanly exits.
[23509] ADI_ISE_Test_Help:adi.ISEConnection [INFO] Captured Jabberwerx log:2015-12-01T23:10:45 [ INFO]: pxgrid library has been uninitialized
[8893] ADI:ADI [INFO] Parent done waiting, child completed with integer status 0
Um detailliertere Debugs zu erhalten, ist es möglich, einen adi-Prozess (von root nach sudo) zu beenden und ihn mit dem debug-Argument auszuführen:
root@firepower:/var/log# ps ax | grep adi
24047 ? Sl 0:00 /usr/local/sf/bin/adi
24090 pts/0 S+ 0:00 grep adi
root@firepower:/var/log# kill -9 24047
root@firepower:/var/log# /usr/local/sf/bin/adi --debug
Dec 01 23:14:34 firepower SF-IMS[24106]: [24106] ADI:adi.Adi [DEBUG] adi.cpp:319:HandleLog(): ADI Created, awaiting config
Dec 01 23:14:34 firepower SF-IMS[24106]: [24106] ADI:config [DEBUG] config.cpp:289:ProcessConfigGlobalSettings(): Parsing global settings
<..........a lot of detailed output with data.......>
SGT-Abfrage über pxGrid
Der Vorgang wird ausgeführt, wenn im Abschnitt ISE Integration auf die Schaltfläche Test geklickt wird oder wenn die SGT-Liste aktualisiert wird, während die Regel in der Zugriffskontrollrichtlinie hinzugefügt wird.
Dec 01 23:14:38 firepower SF-IMS[24106]: [24139] ADI:adi.ISEConnection [DEBUG] adi.cpp:319:HandleLog(): Querying Security Group metaData...
Dec 01 23:14:38 firepower SF-IMS[24106]: [24139] ADI:adi.pxGridAdapter [DEBUG] adi.cpp:319:HandleLog(): pxgrid_connection_query(connection*:0x10c7da0, capability: 0x1064510, request:<getSecurityGroupListRequest xmlns='http://www.cisco.com/pxgrid/identity'/>)...
Dec 01 23:14:38 firepower SF-IMS[24106]: [24139] ADI:adi.pxGridAdapter [DEBUG] adi.cpp:319:HandleLog(): returns [OK|<ns5:getSecurityGroupListResponse xmlns:ns2='http://www.cisco.com/pxgrid' xmlns:ns3='http://www.cisco.com/pxgrid/net' xmlns:ns4='http://www.cisco.com/pxgrid/admin' xmlns:ns5='http://www.cisco.com/pxgrid/identity' xmlns:ns6='http://www.cisco.com/pxgrid/eps' xmlns:ns7='http://www.cisco.com/pxgrid/netcap' xmlns:ns8='http://www.cisco.com/pxgrid/anc'><ns5:SecurityGroups><ns5:SecurityGroup><ns5:id>fc6f9470-6d8f-11e5-978e-005056bf2f0a</ns5:id><ns5:name>Unknown</ns5:name><ns5:description>Unknown Security Group</ns5:description><ns5:tag>0</ns5:tag></ns5:SecurityGroup><ns5:SecurityGroup><ns5:id>fc7c8cc0-6d8f-11e5-978e-005056bf2f0a</ns5:id><ns5:name>ANY</ns5:name><ns5:description>Any Security Group</ns5:description><ns5:tag>65535</ns5:tag></ns5:SecurityGroup><ns5:SecurityGroup><ns5:id>fcf95de0-6d8f-11e5-978e-005056bf2f0a</ns5:id><ns5:name>Auditors</ns5:name><ns5:description>Auditor Security Group</ns5:description><ns5:tag>9</ns5:tag></ns5:SecurityGroup><ns5:SecurityGroup><ns5:id>fd14fc30-6d8f-11e5-978e-005056bf2f0a</ns5:id><ns5:name>BYOD</ns5:name><ns5:description>BYOD Security Group</ns5:description><ns5:tag>15</ns5:tag></ns5:SecurityGroup><ns5:SecurityGroup><ns5:id>fd2fb020-6d8f-11e5-978e-005056bf2f0a</ns5:id><ns5:name>Contractors</ns5:name><ns5:description>Contractor Security Group</ns5:description><ns5:tag>5</ns5:tag></ns5:SecurityGroup><ns5:SecurityGroup><ns5:id>fd4e34a0-6d8f-11e5-978e-005056bf2f0a</ns5:id><ns5:name>Developers</ns5:name><ns5:description>Developer Security Group</ns5:description><ns5:tag>8</ns5:tag></ns5:SecurityGroup><ns5:SecurityGroup><ns5:id>fd6d2e50-6d8f-11e5-978e-005056bf2f0a</ns5:id><ns5:name>Development_Servers</ns5:name><ns5:description>Development Servers Security Group</ns5:description><ns5:tag>12</ns5:tag></ns5:SecurityGroup><ns5:SecurityGroup><ns5:id>fda10f90-6d8f-11e5-978e-005056bf2f0a</ns5:id><ns5:name>Employees</ns5:name><ns5:description>Employee Security Group</ns5:description><ns5:tag>4</ns5:tag></ns5:SecurityGroup><ns5:SecurityGroup><ns5:id>fdbcd4f0-6d8f-11e5-978e-005056bf2f0a</ns5:id><ns5:name>Guests</ns5:name><ns5:description>Guest Security Group</ns5:description><ns5:tag>6</ns5:tag></ns5:SecurityGroup><ns5:SecurityGroup><ns5:id>fdd9abc0-6d8f-11e5-978e-005056bf2f0a</ns5:id><ns5:name>Network_Services</ns5:name><ns5:description>Network Services Security Group</ns5:description><ns5:tag>3</ns5:tag></ns5:SecurityGroup><ns5:SecurityGroup><ns5:id>fdf4d4e0-6d8f-11e5-978e-005056bf2f0a</ns5:id><ns5:name>PCI_Servers</ns5:name><ns5:description>PCI Servers Security Group</ns5:description><ns5:tag>14</ns5:tag></ns5:SecurityGroup><ns5:SecurityGroup><ns5:id>fe11abb0-6d8f-11e5-978e-005056bf2f0a</ns5:id><ns5:name>Point_of_Sale_Systems</ns5:name><ns5:description>Point of Sale Security Group</ns5:description><ns5:tag>10</ns5:tag></ns5:SecurityGroup><ns5:SecurityGroup><ns5:id>fe2d22f0-6d8f-11e5-978e-005056bf2f0a</ns5:id><ns5:name>Production_Servers</ns5:name><ns5:description>Production Servers Security Group</ns5:description><ns5:tag>11</ns5:tag></ns5:SecurityGroup><ns5:SecurityGroup><ns5:id>fe487320-6d8f-11e5-978e-005056bf2f0a</ns5:id><ns5:name>Production_Users</ns5:name><ns5:description>Production User Security Group</ns5:description><ns5:tag>7</ns5:tag></ns5:SecurityGroup><ns5:SecurityGroup><ns5:id>fe62d8f0-6d8f-11e5-978e-005056bf2f0a</ns5:id><ns5:name>Quarantined_Systems</ns5:name><ns5:description>Quarantine Security Group</ns5:description><ns5:tag>255</ns5:tag></ns5:SecurityGroup><ns5:SecurityGroup><ns5:id>fe7d3ec0-6d8f-11e5-978e-005056bf2f0a</ns5:id><ns5:name>Test_Servers</ns5:name><ns5:description>Test Servers Security Group</ns5:description><ns5:tag>13</ns5:tag></ns5:SecurityGroup><ns5:SecurityGroup><ns5:id>fe99c770-6d8f-11e5-978e-005056bf2f0a</ns5:id><ns5:name>TrustSec_Devices</ns5:name><ns5:description>TrustSec Devices Security Group</ns5:description><ns5:tag>2</ns5:tag></ns5:SecurityGroup></ns5:SecurityGroups></ns5:getSecurityGroupListResponse>]
Für eine bessere Ansicht XML-Inhalt aus diesem Protokoll kann in XML-Datei kopiert und durch einen Webbrowser geöffnet werden. Sie können bestätigen, dass ein bestimmtes SGT (Audit) sowie alle anderen auf der ISE definierten SGTs empfangen werden:
Sitzungsabfrage über REST-API an MnT
Dies ist auch Teil des Testvorgangs (bitte beachten Sie, dass MnT-Hostname und Port über pxGrid übergeben werden). Bulk-Session-Download wird verwendet:
Dec 01 23:14:39 firepower SF-IMS[24106]: [24143] ADI:adi.pxGridAdapter [DEBUG] adi.cpp:319:HandleLog(): returns [OK, p_node*:0x7f0ea6ffa8a8(<session xmlns='http://www.cisco.com/pxgrid/net'><gid xmlns='http://www.cisco.com/pxgrid'>ac101f6400007000565d597f</gid><lastUpdateTime xmlns='http://www.cisco.com/pxgrid'>2015-12-01T23:37:31.191+01:00</lastUpdateTime><extraAttributes xmlns='http://www.cisco.com/pxgrid'><attribute>UGVybWl0QWNjZXNzLEF1ZGl0b3Jz</attribute></extraAttributes><state>Started</state><RADIUSAttrs><attrName>Acct-Session-Id</attrName><attrValue>91200007</attrValue></RADIUSAttrs><interface><ipIntfID><ipAddress xmlns='http://www.cisco.com/pxgrid'>172.16.50.50</ipAddress></ipIntfID><macAddress>08:00:27:23:E6:F2</macAddress><deviceAttachPt><deviceMgmtIntfID><ipAddress xmlns='http://www.cisco.com/pxgrid'>172.16.31.100</ipAddress></deviceMgmtIntfID></deviceAttachPt></interface><user><name xmlns='http://www.cisco.com/pxgrid'>Administrator</name><ADUserDNSDomain>example.com</ADUserDNSDomain><ADUserNetBIOSName>EXAMPLE</ADUserNetBIOSName></user><assessedPostureEvent/><endpointProfile>Windows7-Workstation</endpointProfile><securityGroup>Auditors</securityGroup></session>)]
Dec 01 23:14:39 firepower SF-IMS[24106]: [24143] ADI:adi.ISEConnection [DEBUG] adi.cpp:319:HandleLog(): bulk download invoking callback on entry# 1
Dec 01 23:14:39 firepower SF-IMS[24106]: [24143] ADI:adi.ISESessionEntry [DEBUG] adi.cpp:319:HandleLog(): parsing Session Entry with following text:<session xmlns='http://www.cisco.com/pxgrid/net'><gid xmlns='http://www.cisco.com/pxgrid'>ac101f6400007000565d597f</gid><lastUpdateTime xmlns='http://www.cisco.com/pxgrid'>2015-12-01T23:37:31.191+01:00</lastUpdateTime><extraAttributes xmlns='http://www.cisco.com/pxgrid'><attribute>UGVybWl0QWNjZXNzLEF1ZGl0b3Jz</attribute></extraAttributes><state>Started</state><RADIUSAttrs><attrName>Acct-Session-Id</attrName><attrValue>91200007</attrValue></RADIUSAttrs><interface><ipIntfID><ipAddress xmlns='http://www.cisco.com/pxgrid'>172.16.50.50</ipAddress></ipIntfID><macAddress>08:00:27:23:E6:F2</macAddress><deviceAttachPt><deviceMgmtIntfID><ipAddress xmlns='http://www.cisco.com/pxgrid'>172.16.31.100</ipAddress></deviceMgmtIntfID></deviceAttachPt></interface><user><name xmlns='http://www.cisco.com/pxgrid'>Administrator</name><ADUserDNSDomain>example.com</ADUserDNSDomain><ADUserNetBIOSName>EXAMPLE</ADUserNetBIOSName></user><assessedPostureEvent/><endpointProfile>Windows7-Workstation</endpointProfile><securityGroup>Auditors</securityGroup></session>
Und geparstes Ergebnis (1 aktive Sitzung empfangen):
Dec 01 23:14:39 firepower SF-IMS[24106]: [24142] ADI:adi.ISESessionEntry [DEBUG]
adi.cpp:319:HandleLog(): Parsing incoming DOM resulted in following ISESessionEntry:
{gid = ac101f6400007000565d597f, timestamp = 2015-12-01T23:37:31.191+01:00,
state = Started, session_id = 91200007, nas_ip = 172.16.31.100,
mac_addr = 08:00:27:23:E6:F2, ip = 172.16.50.50, user_name = Administrator,
sgt = Auditors, domain = example.com, device_name = Windows7-Workstation}
Zu diesem Zeitpunkt versucht NGIPS, diesen Benutzernamen (und diese Domäne) mit dem Realm-AD-Benutzernamen zu korrelieren:
Dec 01 23:14:39 firepower SF-IMS[24106]: [24142] ADI:adi.RealmContainer [DEBUG] adi.cpp:319
:HandleLog(): findRealm: Found Realm for domain example.com
Dec 01 23:14:39 firepower SF-IMS[24106]: [24142] ADI:adi.ISEConnectionSub [DEBUG]
adi.cpp:319:HandleLog(): userName = 'Administrator' realmId = 2, ipAddress = 172.16.50.50
LDAP wird verwendet, um einen Benutzer und eine Gruppenmitgliedschaft zu finden:
Dec 01 23:14:39 firepower SF-IMS[24106]: [24142] ADI:adi.LdapRealm [INFO] adi.cpp:322:
HandleLog(): search '(|(sAMAccountName=Administrator))' has the following
DN: 'CN=Administrator,CN=Users,DC=example,DC=com'.
Dec 01 23:14:39 firepower SF-IMS[24106]: [24142] ADI:adi.LdapRealm [DEBUG] adi.cpp:319:
HandleLog(): getUserIdentifier: searchfield sAMAccountName has display naming attr:
Administrator.
ISE-Debugging
Nach der Aktivierung von TRACE level debug für die pxGrid-Komponente ist es möglich, jede Operation zu überprüfen (jedoch ohne Payload/Daten wie auf FMC).
Beispiel mit SGT-Tag-Abruf:
2015-12-02 00:05:39,352 DEBUG [pool-1-thread-14][] cisco.pxgrid.controller.query.CoreAuthorizationManager -::
:::- checking core authorization (topic=TrustSecMetaData, user=firesightisetest-firepower.example.com
-0739edea820cc77e04cc7c44200f661e@xgrid.cisco.com, operation=subscribe)...
2015-12-02 00:05:39,358 TRACE [pool-1-thread-14][] cisco.pxgrid.controller.common.
LogAdvice -:::::- args: [TrustSecMetaData, subscribe, firesightisetest-firepower.example.com-0739edea820cc77e04cc7c44200f661e@xg
rid.cisco.com]
2015-12-02 00:05:39,359 DEBUG [pool-1-thread-14][] cisco.pxgrid.controller.persistence.
XgridDaoImpl -:::::- groups [Any, Session] found for client firesightisetest-firepower.
example.com-0739edea820cc77e04cc7c44200f661e@xgrid.cisco.com
2015-12-02 00:05:39,360 DEBUG [pool-1-thread-14][] cisco.pxgrid.controller.persistence.
XgridDaoImpl -:::::- permitted rule found for Session TrustSecMetaData subscribe.
total rules found 1
Fehler
CSCuv32295 - ISE kann Domäneninformationen in Benutzernamenfeldern senden
CSCus53796 - FQDN des Hosts für REST-Massenabfrage konnte nicht abgerufen werden.
CSCuv43145 - PXGRID & Identity Mapping Service-Neustart, Import/Löschen von Trust Store
Revisionsverlauf
| Überarbeitung | Veröffentlichungsdatum | Kommentare |
|---|---|---|
1.0 |
11-Jan-2016 |
Erstveröffentlichung |
FeedbackCisco kontaktieren
- Eine Supportanfrage öffnen
- (Erfordert einen Cisco Servicevertrag)