Inhalt

Einleitung

Voraussetzungen

Anforderungen

Verwendete Komponenten

Hintergrundinformationen

Konfigurieren

Korrelationsregeln konfigurieren

Warnmeldungen konfigurieren

Korrelationsrichtlinie konfigurieren

Einleitung

In diesem Dokument wird das Verfahren zur Konfiguration einer Korrelationsrichtlinie beschrieben, um Ereignisse zu verbinden und Anomalien in Ihrem Netzwerk zu erkennen.

Voraussetzungen

Anforderungen

Cisco empfiehlt, dass Sie mit den folgenden Produkten vertraut sind:

- Secure Firewall Management Center (FMC)

- Sichere Firewall-Bedrohungsabwehr (FTD)

Verwendete Komponenten

Die Informationen in diesem Dokument basierend auf folgenden Software- und Hardware-Versionen:

- Firepower Threat Defense für VMware Version 7.6.0

Die Informationen in diesem Dokument beziehen sich auf Geräte in einer speziell eingerichteten Testumgebung. Alle Geräte, die in diesem Dokument benutzt wurden, begannen mit einer gelöschten (Nichterfüllungs) Konfiguration. Wenn Ihr Netzwerk in Betrieb ist, stellen Sie sicher, dass Sie die möglichen Auswirkungen aller Befehle kennen.

Hintergrundinformationen

Korrelationsrichtlinien werden verwendet, um potenzielle Sicherheitsbedrohungen in Ihrem Netzwerk zu identifizieren, indem verschiedene Ereignistypen konfiguriert werden. Sie werden für die Behebung, für bedingte Warnungen und für Datenverkehrsrichtlinien verwendet.

Konfigurieren

Korrelationsregeln konfigurieren

Schritt 1: Navigieren Sie zu Policies > Correlation (Richtlinien > Korrelation), und wählen Sie Rule Management (Regelverwaltung).

Image 1. Navigation zum Menü "Korrelationsrichtlinie"

Schritt 2: Erstellen Sie eine neue Regel, indem Sie Regel erstellen auswählen.

Image 2. Regelerstellung im Menü "Regelverwaltung"

Schritt 3: Wählen Sie einen Ereignistyp und die Bedingungen aus, die der Regel entsprechen sollen.

Wenn die Regel mehrere Bedingungen enthält, müssen Sie diese mit AND oder einem OR-Operator verknüpfen.

Image 3. Menü "Regelerstellung"

Hinweis: Korrelationsregeln dürfen nicht allgemein gehalten werden. Wenn die Regel ständig durch normalen Datenverkehr ausgelöst wird, kann dies zusätzliche CPU-Ressourcen verbrauchen und die FMC-Leistung beeinträchtigen.

Warnmeldungen konfigurieren

Schritt 1: Navigieren Sie zu Richtlinien > Aktionen > Warnmeldungen.

Image 4. Navigation zum Menü "Warnmeldungen"

Schritt 2: Wählen Sie Warnmeldung erstellen und erstellen Sie entweder ein Syslog, SNMP oder eine E-Mail-Warnmeldung.

Image 5. Warnung erstellen

Schritt 3: Überprüfen Sie, ob die Warnmeldung aktiviert ist.

Korrelationsrichtlinie konfigurieren

Schritt 1: Navigieren Sie zu Policys > Korrelation.

Navigation zum Menü "Korrelationsrichtlinie"

Image 6. Navigation zum Menü "Korrelationsrichtlinie"

Schritt 2: Erstellen Sie eine neue Korrelationsrichtlinie. Wählen Sie die Standardpriorität aus. Verwenden Sie None, um die Prioritäten der spezifischen Regeln zu verwenden.

Image 7. Neue Korrelationsrichtlinie erstellen

Schritt 3: Fügen Sie der Richtlinie Regeln hinzu, indem Sie Regeln hinzufügen auswählen.

Image 8. Regeln hinzufügen und Priorität für Korrelationsrichtlinie auswählen

Image 9. Wählen Sie die Regeln aus, die der Korrelationsrichtlinie hinzugefügt werden sollen.

Schritt 4: Weisen Sie der Regel eine Antwort aus den von Ihnen erstellten Warnungen zu, sodass bei jeder Auslösung der ausgewählte Warnentyp gesendet wird.

Image 10. Schaltfläche Antworten hinzufügen

Image 11. Antworten der Korrelationsregel zuweisen

Schritt 5: Speichern und aktivieren Sie Ihre Korrelationsrichtlinie.

Image 12. Die Antwort wurde der Korrelationsregel richtig hinzugefügt.

Image 13. Korrelationsrichtlinie aktivieren