Configuración de la integración de Data Connect de ISE 3.2 con Splunk

Introducción

Este documento describe cómo configurar la integración de Cisco Identity Services Engine (ISE) 3.2 con Splunk over Data Connect para recuperar directamente los datos de informes de la base de datos de ISE. Puede crear sus propias consultas y crear sus propios informes gracias a él.

Prerequisites

Requirements

Cisco recomienda que tenga conocimiento sobre estos temas:

1. Cisco ISE 3.2
2. Conocimientos básicos sobre consultas de Oracle
3. Desplomarse

Componentes Utilizados

La información que contiene este documento se basa en las siguientes versiones de software y hardware.

1. Cisco ISE 3.2
2. Splunk 9.0.0

The information in this document was created from the devices in a specific lab environment. All of the devices used in this document started with a cleared (default) configuration. Si tiene una red en vivo, asegúrese de entender el posible impacto de cualquier comando.

Configurar

Configuraciones

Paso 1. Configuración de los parámetros de conexión de datos de ISE

1. Activar la conexión de datos

En ISE, navegue hasta Administration > System > Settings > Data Connecty activar el botón Data Connect. Introduzca la contraseña y haga clic en Save .

Tome nota de la configuración de conexión de datos, que incluye User Name, Hostname, Port, and Service Name .La conexión de datos está activada de forma predeterminada en MNT secundaria en una implementación distribuida. Encontrará más información sobre los escenarios de conmutación por fallo en la Guía del administrador.

2. Exportar certificado de conexión de datos

Funcionamiento en Step 1.desencadenó la creación del certificado de conexión de datos. Los clientes que consultan ISE sobre Data Connect deben confiar en él.

Para exportar el certificado, vaya a Administration > System > Settings > Cetificate Management > Trusted Certificates,seleccione Certificado con Data Connect Certificate Nombre descriptivo y haga clic en Export .

El certificado se exporta en formato PEM.

Paso 2. Configuración de Splunk

Nota: La instalación de Splunk está fuera del alcance de este documento.

1. Instale la aplicación Splunk DB Connect

Haga clic en + Find More Apps en el menú principal.

ingrese Splunk DB Connect en el menú de búsqueda y haga clic en Installen contra Splunk DB Connect Aplicación como se muestra en la imagen.

Ingrese las credenciales de Splunk para instalar la aplicación. Haga clic en Agree and Install como se muestra en la imagen.

La instalación de la aplicación requiere reiniciar, haga clic en Restart Now.

2. Instalación de Controladores de Oracle

Según la documentación de Splunk, los controladores JDBC deben estar instalados. Instale el controlador Oracle a través de los complementos Splunk para DB Connect. Haga clic en Login to Download como se muestra en la imagen.

Haga clic en Download.

En el menú Inicio, haga clic en el icono Engranaje situado junto a Apps como se muestra en la imagen.

Haga clic en Install App from File.

Seleccione Archivo descargado anteriormente y haga clic en Uploadcomo se muestra en la imagen.

Vaya a Apps > Splunk DB Connect > Configuration > Settings > Drivershaga clic en Reload.Oracle el controlador debe aparecer como Installed.

3. Configuración de la identidad de la aplicación Splunk DB Connect

Nota: Para que la aplicación Splunk DB Connect funcione, Java (SE) debe estar instalado. A efectos de esta aplicación Java (SE), se ha instalado 11.

C:\Users\Administrator>java --version
java 11.0.15.1 2022-04-22 LTS
Java(TM) SE Runtime Environment 18.9 (build 11.0.15.1+2-LTS-10)
Java HotSpot(TM) 64-Bit Server VM 18.9 (build 11.0.15.1+2-LTS-10, mixed mode)

C:\Users\Administrator>

Vaya a Apps > Splunk DB Connect > Configuration > Databases > Identities y haga clic en New Identity.

Configure el Identity Name (valor arbitrario), Username (dataconnect) y Password desde Step 1. y haga clic en Save.

4. Configuración de Splunk DB Connect App Connection

Vaya a Apps > Splunk DB Connect > Configuration > Databases > Connections y, a continuación, haga clic en New Connection.

Configure el Connection Name (valor arbitrario). Seleccionar Identity desde Configure Splunk DB Connect App Identitypaso. Seleccionar Connection Type como Oracle. Marque la casilla de verificación en el Edit JDBC URL y pegue el valor:

jdbc:oracle:thin:@(DESCRIPTION=(ADDRESS=(PROTOCOL=tcps)(HOST=10.48.17.20)(PORT=2484))(CONNECT_DATA=(SID=cpm10)))

El HOST se debe reemplazar con la dirección IP del nodo MNT del paso Enable Data Connect como se muestra en la imagen.

Desplácese hasta la sección Certificado y pegue el contenido de DataConnectCertificate.pem archivo de certificado y haga clic en Save como se muestra en la imagen.

5. Configurar las entradas de conexión de Splunk DB

Vaya a Apps > Splunk DB Connect > Data Lab > Inputs  andclic New Input.

Seleccione Connection configurado en el paso Configure Splunk DB Connect App Connection .Introduzca la consulta que desea utilizar para el sondeo. En este ejemplo, se utiliza la consulta Autenticación por nodo ISE:

select access_service as allowed_protocol, sum(passed_count) as passed, sum(failed_count) as failed, sum(passed_count) + sum(failed_count) as total, round(to_char(((sum(failed_count) / (sum(passed_count) + sum(failed_count))) * 100)), 2) as failed_percentage, round(to_char(sum(total_response_time)/(sum(passed_count) + sum(failed_count))), 2) as total_response_time, max(max_response_time) as max_response_time from radius_authentication_summary group by access_service;

Haga clic Execute SQL para garantizar que la consulta funcione, también es necesario continuar. Haga clic en Next como se muestra en la imagen.

Configurar la entrada Name(valor arbitrario). Seleccionar Application como Splunk DB Connect. Establezca el Execution Frequency (con qué frecuencia se envía la consulta a ISE).

Configure el Source Type y Input.

Verificación

Utilize esta sección para confirmar que su configuración funcione correctamente.

Para verificar y visualizar los datos de las respuestas, navegue hasta Apps > Splunk DB Connect > Data Lab > Inputs. Haga clic en Find Events.

Desde Events menú, puede desplazarse hasta Visualization.

Puede ajustar el menú Buscar y seleccionar la visualización que desee. La consulta del ejemplo utiliza un gráfico de tiempo y genera el gráfico basándose en el número máximo de intentos de autenticación pasados.

index=summary sourcetype=custom source=AuthenticationsbyISENode OR source=mi_input://AuthenticationsbyISENode| timechart span=5m max(PASSED)

Troubleshoot

Actualmente, no hay información específica de troubleshooting disponible para esta configuración.