Configuration de l'intégration Data Connect ISE 3.2 avec Splunk

Introduction

Ce document décrit comment configurer l'intégration de Cisco Identity Services Engine (ISE) 3.2 avec Splunk over Data Connect pour récupérer directement les données de rapport de la base de données ISE. Vous pouvez créer vos propres requêtes et créer vos propres rapports grâce à elle.

Conditions préalables

Conditions requises

Cisco vous recommande de prendre connaissance des rubriques suivantes :

1. Cisco ISE 3.2
2. Connaissances de base sur les requêtes Oracle
3. Splunk

Components Used

Les informations contenues dans ce document sont basées sur les versions de matériel et de logiciel suivantes :

1. Cisco ISE 3.2
2. Splunk 9.0.0

The information in this document was created from the devices in a specific lab environment. All of the devices used in this document started with a cleared (default) configuration. Si votre réseau est en ligne, assurez-vous de bien comprendre l’incidence possible des commandes.

Configuration

Configurations

Étape 1 : configuration des paramètres de connexion de données ISE

1. Activer Data Connect

Sur ISE, accédez à Administration > System > Settings > Data Connectet activez le bouton sur Data Connect. Saisissez le mot de passe et cliquez sur Save .

Notez les paramètres de connexion de données, notamment : User Name, Hostname, Port, and Service Name .Data Connect est activé par défaut sur le MNT secondaire dans un déploiement distribué. Pour plus d'informations sur les scénarios de basculement, reportez-vous au Guide de l'administrateur.

2. Exporter le certificat Data Connect

Fonctionnement en Step 1.a déclenché la création du certificat de connexion de données. Il doit être approuvé par les clients qui interrogent ISE sur Data Connect.

Pour exporter le certificat, accédez à Administration > System > Settings > Cetificate Management > Trusted Certificates, sélectionnez Certificat avec Data Connect Certificate Nom convivial et cliquez sur Export .

Le certificat est exporté au format PEM.

Étape 2 : configuration du Splunk

Note: L'installation du Splunk sort du cadre de ce document.

1. Installer l'application Splunk DB Connect

Cliquez sur + Find More Apps dans le menu principal.

Saisissez  Splunk DB Connect dans le menu de recherche et cliquez sur Installcontre Splunk DB Connect App comme illustré dans l'image.

Entrez les identifiants Splunk afin d'installer l'application. Cliquez sur Agree and Install comme illustré dans l'image.

L'installation de l'application nécessite le redémarrage, cliquez sur Restart Now.

2. Installer les pilotes Oracle

Selon la documentation Splunk, les pilotes JDBC doivent être installés. Installez le pilote Oracle via les modules complémentaires Splunk pour DB Connect. Cliquez sur Login to Download comme illustré dans l'image.

Cliquez sur Download.

Dans le menu Accueil, cliquez sur l'icône Engrenage en regard de Apps comme illustré dans l'image.

Cliquez sur Install App from File.

Sélectionnez Fichier téléchargé précédemment et cliquez sur Uploadcomme illustré dans l'image.

Naviguez jusqu'à Apps > Splunk DB Connect > Configuration > Settings > Driverscliquez sur Reload.Oracle le pilote doit apparaître comme Installed.

3. Configurer l'identité de l'application Splunk DB Connect

Note: Pour que l'application Splunk DB Connect fonctionne, Java (SE) doit être installé. Dans le cadre de cette application Java (SE), 11 est installé.

C:\Users\Administrator>java --version
java 11.0.15.1 2022-04-22 LTS
Java(TM) SE Runtime Environment 18.9 (build 11.0.15.1+2-LTS-10)
Java HotSpot(TM) 64-Bit Server VM 18.9 (build 11.0.15.1+2-LTS-10, mixed mode)

C:\Users\Administrator>

Naviguez jusqu'à Apps > Splunk DB Connect > Configuration > Databases > Identities et cliquez sur New Identity.

Configurez le Identity Name (valeur arbitraire), Username (connexion de données) et Password expéditeur Step 1. et cliquez sur Save.

4. Configurer la connexion d'application Splunk DB Connect

Naviguez jusqu'à Apps > Splunk DB Connect > Configuration > Databases > Connections puis cliquez sur New Connection.

Configurez le Connection Name (valeur arbitraire). Sélectionner Identity expéditeur Configure Splunk DB Connect App Identityétape. Sélectionner Connection Type comme Oracle. Cochez la case en regard de Edit JDBC URL et collez la valeur :

jdbc:oracle:thin:@(DESCRIPTION=(ADDRESS=(PROTOCOL=tcps)(HOST=10.48.17.20)(PORT=2484))(CONNECT_DATA=(SID=cpm10)))

L'hôte doit être remplacé par l'adresse IP du noeud MNT de l'étape Enable Data Connect comme illustré dans l'image.

Faites défiler jusqu'à la section Certificate et collez le contenu de DataConnectCertificate.pem fichier de certificat et cliquez sur Save comme illustré dans l'image.

5. Configuration des entrées de connexion de base de données Splunk

Naviguez jusqu'à Apps > Splunk DB Connect > Data Lab > Inputs  andcliquet New Input.

Sélectionnez Connexion configurée à l'étape Configure Splunk DB Connect App Connection .Entrez la requête que vous souhaitez utiliser pour l'interrogation. Dans cet exemple, la requête Authentication by ISE Node est utilisée :

select access_service as allowed_protocol, sum(passed_count) as passed, sum(failed_count) as failed, sum(passed_count) + sum(failed_count) as total, round(to_char(((sum(failed_count) / (sum(passed_count) + sum(failed_count))) * 100)), 2) as failed_percentage, round(to_char(sum(total_response_time)/(sum(passed_count) + sum(failed_count))), 2) as total_response_time, max(max_response_time) as max_response_time from radius_authentication_summary group by access_service;

Cliquer Execute SQL pour garantir le bon fonctionnement de la requête, il est également nécessaire de poursuivre. Cliquez sur Next comme illustré dans l'image.

Configuration de l'entrée Name(valeur arbitraire). Sélectionner Application comme Splunk DB Connect. Définissez la Execution Frequency (fréquence à laquelle la requête est envoyée à ISE).

Configurez le Source Type et Input.

Vérification

Utilisez cette section pour confirmer que votre configuration fonctionne correctement.

Pour vérifier et visualiser les données des réponses, accédez à Apps > Splunk DB Connect > Data Lab > Inputs. Cliquez sur Find Events.

A partir des versions Events , vous pouvez accéder à Visualization.

Vous pouvez ajuster le menu Rechercher et sélectionner la Visualisation de votre choix. La requête de l'exemple utilise un graphique de temps et crée le graphique en fonction du nombre maximal de tentatives d'authentification réussies.

index=summary sourcetype=custom source=AuthenticationsbyISENode OR source=mi_input://AuthenticationsbyISENode| timechart span=5m max(PASSED)

Dépannage

Il n'existe actuellement aucune information de dépannage spécifique pour cette configuration.