Configuración de un Sistema FireSIGHT para Enviar Alertas a un Servidor Syslog Externo

Introducción

Aunque FireSIGHT System proporciona varias vistas de los eventos dentro de su interfaz web, es posible que desee configurar la notificación de eventos externos para facilitar la supervisión constante de los sistemas críticos. Puede configurar un sistema FireSIGHT para generar alertas que le notifiquen por correo electrónico, trampa SNMP o syslog cuando se genere una de las siguientes. En este artículo se describe cómo configurar un FireSIGHT Management Center para enviar alertas en un servidor Syslog externo.

Prerequisites

Requirements

Cisco recomienda que conozca Syslog y FireSIGHT Management Center. Además, se debe permitir el puerto syslog (el valor predeterminado es 514) en el firewall.

Componentes Utilizados

La información de este documento se basa en la versión de software 5.2 o posterior.

Precaución: La información de este documento se crea a partir de un dispositivo en un entorno de laboratorio específico y se inicia con una configuración despejada (predeterminada). If your network is live, make sure that you understand the potential impact of any command.

Envío de alertas de intrusión

1. Inicie sesión en la interfaz de usuario web de su FireSIGHT Management Center.

2. Vaya a Políticas > Intrusión > Política de intrusiones.

3. Haga clic en Editar junto a la política que desea aplicar.

4. Haga clic en Advanced Settings.

5. Localice Alertas de Syslog en la lista y establézcalo en Habilitado.

6. Haga clic en Edit junto a la derecha de Syslog Alerting.

7. Escriba la dirección IP de su servidor syslog en el campo Logging Hosts.

8. Elija una Instalación adecuada y Gravedad en el menú desplegable.  Estos se pueden dejar en los valores predeterminados a menos que se configure un servidor syslog para aceptar alertas para una determinada función o gravedad.

9. Haga clic en Información de política cerca de la parte superior izquierda de esta pantalla.

10. Haga clic en el botón Registrar cambios.

11. Vuelva a aplicar la política de intrusiones.

Nota: Para que se generen las alertas, utilice esta política de intrusión en la regla de control de acceso.  Si no hay ninguna regla de control de acceso configurada, establezca esta política de intrusión para que se utilice como acción predeterminada de la política de control de acceso y vuelva a aplicar la política de control de acceso.

Ahora, si se activa un evento de intrusión en esa política, también se enviará una alerta al servidor syslog configurado en la política de intrusión.

Envío de alertas de estado

Parte 1: Creación de una alerta de registro del sistema

1. Inicie sesión en la interfaz de usuario web de su FireSIGHT Management Center.

2. Navegue hasta Políticas > Acciones > Alertas.

3. Seleccione Crear alerta, que se encuentra en el lado derecho de la interfaz web. 

4. Haga clic en Crear alerta de Syslog. Aparece una ventana emergente de configuración.

5. Proporcione un nombre para la alerta.

6. Rellene la dirección IP de su servidor syslog en el campo Host.

7. Cambie el puerto si lo necesita el servidor syslog (el puerto predeterminado es 514).

8. Seleccione una Instalación y Gravedad adecuadas.

9. Haga clic en el botón Guardar. Volverá a la página Políticas > Acciones > Alertas.

10. Habilite la configuración de Syslog.

Parte 2: Creación de alertas de supervisión de estado

La siguiente instrucción describe los pasos para configurar Alertas de supervisión de estado que utiliza la alerta de registro del sistema que acaba de crear (en la sección anterior):

1. Vaya a la página Policies > Actions > Alerts y elija Health Monitor Alerts, que se encuentra cerca de la parte superior de la página.

 

2. Asigne un nombre a la alerta de estado.

3. Elija una gravedad (mantenga presionada la tecla CTRL mientras hace clic para seleccionar más de un tipo de gravedad).

4. Desde la columna Module elija los módulos de estado para los que desea enviar alertas al servidor syslog (por ejemplo, Uso de disco).

5. Seleccione una alerta syslog creada previamente en la columna Alertas.

6. Haga clic en el botón Guardar.

Envío de indicadores de impacto, detección de eventos y alertas de malware

También puede configurar un FireSIGHT Management Center para enviar alertas de syslog para eventos con un indicador de impacto específico, un tipo específico de eventos de detección y eventos de malware. Para ello, tiene que formar parte 1: Cree una alerta Syslog y luego configure el tipo de eventos que desea enviar a su servidor syslog. Para ello, vaya a la página Políticas > Acciones > Alertas y, a continuación, seleccione una ficha para el tipo de alerta deseado.

Historial de revisiones