Comprensión de Log Analytics-ELK Stack en ISE

Introducción

Este documento describe los componentes de la pila ELK incorporados desde Cisco Identity Services Engine (ISE) 3.3 hasta el análisis de registro de System 360.

Prerequisites

Requirements

Cisco recomienda que tenga conocimiento sobre estos temas:

• ISE de Cisco
• Pila ELK

Componentes Utilizados

La información de este documento se basa en Cisco ISE 3.3.

La información que contiene este documento se creó a partir de los dispositivos en un ambiente de laboratorio específico. Todos los dispositivos que se utilizan en este documento se pusieron en funcionamiento con una configuración verificada (predeterminada). Si tiene una red en vivo, asegúrese de entender el posible impacto de cualquier comando.

Antecedentes

System 360 incluye Monitoring y Log Analytics.

La función Supervisión permite supervisar una amplia gama de estadísticas de aplicaciones y sistemas, así como los indicadores clave de rendimiento (KPI) de todos los nodos de una implementación desde una consola centralizada. Los KPI son útiles para obtener información sobre el estado general del entorno de nodos. Las estadísticas ofrecen una representación simplificada de las configuraciones del sistema y los datos específicos de la utilización.

Log Analytics proporciona un sistema de análisis flexible para el análisis en profundidad de la autenticación, autorización y contabilidad (AAA) de terminales, y la creación de perfiles de los datos de syslog. También puede analizar el resumen de estado de Cisco ISE y los estados de los procesos. Puede generar informes similares a los informes de contadores y resumen de estado de Cisco ISE.

Pila ELK

La pila ELK es una popular pila de software de código abierto utilizada para recopilar, procesar y visualizar grandes volúmenes de datos. Significa Elasticsearch, Logstash y Kibana.

• Elasticsearch: Elasticsearch es un motor de búsqueda y análisis distribuido. Está diseñado para almacenar, buscar y analizar grandes volúmenes de datos de forma rápida y casi en tiempo real. Utiliza un lenguaje de consulta basado en JSON y es muy escalable.

• Logstash: Logstash es una canalización de procesamiento de datos que ingiere, procesa y transforma datos de varios orígenes. Puede analizar y enriquecer los datos, haciéndolos más estructurados y adecuados para el análisis. Logstash admite una amplia gama de fuentes de entrada y destinos de salida.

• Kibana: Kibana es una plataforma de visualización de datos que funciona con Elasticsearch. Permite a los usuarios crear paneles interactivos, gráficos y visualizaciones para explorar y comprender los datos almacenados en Elasticsearch. La interfaz de Kibana facilita la consulta y visualización de datos.

Cuando se combinan, estos componentes forman una potente pila para gestionar y analizar diversos tipos de datos, desde archivos de registro hasta métricas y mucho más, a la vez que proporcionan funciones de visualización para dar sentido a la información.

Flujo de pila ELK

Análisis de la pila ELK como registro

• Una instancia independiente de la pila ElasticSearch+LogStash+Kibana se está ejecutando sólo en nodos MnT.
  • Esto no tiene ninguna correlación con la Elastic Search of Context-Visibility.
  • Ejecución de ELK 7.17

• Los TMN primarios y secundarios tienen sus propias instancias separadas de ELK.
  • Kibana está habilitado solo en MNT secundario si está disponible, mostrando datos solo de este nodo.
• El análisis de registros está desactivado de forma predeterminada.
• Consume recursos de Oracle.
• Almacena un máximo de 7 días de datos.
• El tamaño total de los datos consumidos por Log Analytics está restringido a 10 GB.
  • Una vez alcanzado cualquiera de los límites, ElasticSearch purga los datos.

Flujo de ELK como análisis de registro

Diagrama de flujo de ELK en ISE

Habilitar análisis de registros

El análisis de registros está desactivado de forma predeterminada en ISE. Para activarlo, vaya a  Operations > System 360 > Settings  como se muestra en la imagen.

Habilitar análisis de registro

ISE tarda aproximadamente un minuto en inicializar la pila ELK. Puede comprobar el estado mediante  show app stat ise.

Además, puede verificar el estado del contenedor desde la raíz.

admin#show application status ise

ISE PROCESS NAME STATE PROCESS ID 
--------------------------------------------------------------------
Database Listener running 7708 
Database Server running 132 PROCESSES
Application Server running 551493 
Profiler Database running 14281 
ISE Indexing Engine running 553168 
AD Connector running 41413 
M&T Session Database running 26017 
M&T Log Processor running 33547 
Certificate Authority Service running 41230 
EST Service running 659568 
SXP Engine Service disabled 
TC-NAC Service disabled 
PassiveID WMI Service disabled 
PassiveID Syslog Service disabled 
PassiveID API Service disabled 
PassiveID Agent Service disabled 
PassiveID Endpoint Service disabled 
PassiveID SPAN Service disabled 
DHCP Server (dhcpd) disabled 
DNS Server (named) disabled 
ISE Messaging Service running 10937 
ISE API Gateway Database Service running 13294 
ISE API Gateway Service running 586762 
ISE pxGrid Direct Service running 637606 
Segmentation Policy Service disabled 
REST Auth Service disabled 
SSE Connector disabled 
Hermes (pxGrid Cloud Agent) disabled 
McTrust (Meraki Sync Service) disabled 
ISE Node Exporter running 44422 
ISE Prometheus Service running 47890 
ISE Grafana Service running 51094 
ISE MNT LogAnalytics Elasticsearch running 611684 
ISE Logstash Service running 614339 
ISE Kibana Service running 616064 
ISE Native IPSec Service running 75883 
MFC Profiler running 651910

Menú de navegación

Una vez iniciados los servicios de ELK, tendrá acceso al menú de navegación Elastic (Elástico).

Menú de navegación

Paneles integrados.

• ISE incorpora de forma predeterminada paneles con datos de Radius, TACACS, rendimiento del sistema y capacidad de observación de ISE.
• Para acceder a estos paneles, vaya a  Operations > Log Analytics .
  • Una vez que esté abierto Elastic UI, haga clic en  Sandwich Menu > Analytics > Dashboards .

Paneles integrados.

• Paneles disponibles en ISE 3.3.

Paneles de análisis de registro ISE 3.3

Crear nuevos paneles

Paso 1. Crear patrones de índice (origen de datos)

En Kibana, los "patrones de índice" son configuraciones que le permiten definir cómo Kibana interactúa con uno o más índices de búsqueda elástica.

Desplácese hasta  Management > Stack Management > Kibana > Index Patternsy haga clic en Create Index Pattern como se muestra en la imagen.

Crear patrón de índice

La siguiente ventana muestra una lista de todos los índices disponibles en ISE.

• Escriba el nombre del índice en el que está interesado; puede ser una coincidencia exacta o un comodín mediante *.
• Seleccione el campo Timestamp, logging_at, logging_at_timezone o "No quiero utilizar el filtro de tiempo".
• A continuación, haga clic en  Create index pattern.

Seleccionar índice

Una vez creado, el índice muestra todas las variables asociadas que se pueden utilizar más adelante para crear visualizaciones.

Variables de índice

Paso 2. Crear visualizaciones

En Kibana, las "visualizaciones" son representaciones gráficas de sus datos. Le permiten tomar los datos almacenados en Elasticsearch y convertirlos en gráficos significativos, gráficos y diagramas para una comprensión y análisis más sencillos. Estos son algunos tipos comunes de visualizaciones que puede crear:

• Lente: crea la visualización con un editor de arrastrar y soltar. Recomendado.
• Gráficos de barras: muestran datos en barras verticales, lo que facilita la comparación de valores entre categorías o intervalos de tiempo.
• Gráficos de líneas: los gráficos de líneas muestran los datos como una serie de puntos de datos conectados por líneas. Son útiles para visualizar tendencias a lo largo del tiempo.
• Gráficos circulares: los gráficos circulares representan datos en un gráfico circular, en el que cada segmento del gráfico circular representa una categoría y el tamaño del segmento indica su proporción.
• Gráficos de área: de forma similar a los gráficos de líneas, los gráficos de área también muestran tendencias a lo largo del tiempo, pero rellenan el área debajo de las líneas, lo que facilita la visualización de la magnitud de los cambios.
• Mapas de calor: Los mapas de calor utilizan colores para representar valores de datos en una matriz o cuadrícula. Son útiles para mostrar concentraciones o variaciones en los datos.
• Visualizaciones de Métricas: Muestran valores numéricos únicos, como recuentos o promedios. A menudo se utilizan para mostrar indicadores clave de rendimiento (KPI).
• Tablas de datos: las tablas de datos presentan datos sin formato en forma de tabla, lo que le permite ver información detallada y ordenar o filtrar los datos.
• Histogramas: Los histogramas dividen los datos en contenedores o intervalos y muestran la frecuencia o el recuento de puntos de datos en cada contenedor. Resultan útiles para comprender las distribuciones de datos.
• Mapas de coordenadas: visualizan datos geoespaciales, lo que le permite mostrar datos en un mapa y utilizar varios marcadores, colores o tamaños para representar atributos de datos.
• Nubes de etiquetas: las nubes de etiquetas muestran frecuencias de palabras, con el tamaño de cada palabra que indica su importancia o frecuencia en un conjunto de datos.

Desplácese hasta  Analytics > Visualize Library y, a continuación, haga clic en  Create Visualization como se muestra en la imagen.

Crear visualización

Seleccione la visualización de su preferencia, en este ejemplo se prefiere la lente para mayor practicidad.

Seleccionar tipo de visualización

Kibana Lens, artículos de navegación consisten en:

• Selección de origen de datos: en el panel izquierdo, puede seleccionar el origen de datos o el patrón de índice de Elastic Search que desea utilizar para la visualización.
• Lienzo de visualización: el área central es donde se crea la visualización arrastrando y soltando campos, seleccionando tipos de gráficos y configurando la configuración del gráfico.
• Barra de herramientas de visualización: en la parte superior del lienzo, puede encontrar una barra de herramientas que le permite personalizar su visualización, incluidas las opciones para cambiar los tipos de gráficos, agregar filtros y configurar las opciones del gráfico.

• Panel de datos: en el lado derecho, puede acceder al panel "Datos", que le permite administrar la transformación de datos, la agregación y la configuración de campo.

• Administración de capas: en función del tipo de visualización que esté creando (por ejemplo, gráficos de capas), puede disponer de un área de administración de capas para configurar varias capas en la visualización.

• Vista previa: A medida que realiza cambios en la visualización, normalmente se proporciona una vista previa en tiempo real para que pueda ver el aspecto del gráfico con la configuración actual.

• Configuración de visualización: en función del tipo de gráfico seleccionado, puede acceder a la configuración específica de ese tipo de visualización, como la configuración de ejes, las combinaciones de colores y las etiquetas.

• Configuración de interactividad: puedes añadir interacciones y acciones a tu visualización, permitiendo a los usuarios filtrar datos o navegar a otras partes de tus tableros de Kibana.

• Guardar y compartir: en la parte superior de la interfaz del objetivo, normalmente hay opciones para guardar la visualización, agregarla a un panel o compartirla con otros usuarios.

Visualización del objetivo

Debido al ID de bug de Cisco CSCwh48057, el panel izquierdo no muestra los campos disponibles para utilizar. Sin embargo, desde el lado derecho, puede seleccionar los campos requeridos más el estilo del diagrama. En este ejemplo, dado que la latencia de autenticación es un tema de interés común, el gráfico está diseñado para visualizar la latencia de autenticación frente al ID de terminal.

ID de terminal frente a latencia

Una vez hecho esto, puede hacer clic en el botón  Save en la esquina derecha, como se muestra en la imagen.

Guardar visualización

Paso 3. Crear un panel

Agrega automáticamente la nueva visualización a un nuevo panel. Tenga en cuenta que los paneles de Kibana permiten a los usuarios crear, personalizar y compartir visualizaciones interactivas e informes basados en datos almacenados en índices de búsqueda elástica.

Nuevo panel

Resolución de problemas

• Verifique que los servicios de pila ELK se estén ejecutando en el MNT.
• Dado que Kibana, Logstash y Elasticsearch se ejecutan en contenedores, los registros se encuentran en:

admin#show logging application ise-kibana/kibana.log
admin#show logging application ise-logstash/logstash.log
admin#show logging application mnt-la-elasticsearch/mnt-la-elasticsearch.log

Información Relacionada

• Guía de administración de ISE 3.3
• Documentación de Kibana
• Soporte técnico y descargas de Cisco