FMC を介して FTD にロギングを設定
はじめに
このドキュメントでは、Firepower Management Center （FMC）から Firepower Threat Defense のロギングを設定する方法について説明します。
前提条件
要件
次の項目に関する知識があることが推奨されます。
- FirePOWER 技術
- 適応型セキュリティ アプライアンス（ASA）
- Syslogプロトコル
使用するコンポーネント
このドキュメントの情報は、次のソフトウェアとハードウェアのバージョンに基づいています。
- FMCバージョン6.0.1以降
- ソフトウェアバージョン6.0.1以降を実行するASA(5506X/5506H-X/5506W-X、ASA 5508-X、ASA 5516-X)用のASA Firepower Threat Defenseイメージ。
- ソフトウェアバージョン6.0.1以降を実行するASA(5515-X、ASA 5525-X、ASA 5545-X、ASA 5555-X、ASA 5585-X)用のASA Firepower Threat Defenseイメージ。
このドキュメントの情報は、特定のラボ環境にあるデバイスに基づいて作成されたものです。このドキュメントで使用するすべてのデバイスは、クリアな（デフォルト）設定で作業を開始しています。本稼働中のネットワークでは、各コマンドによって起こる可能性がある影響を十分確認してください。
バックグラウンド情報
FTDシステムログは、FTDアプライアンスを監視およびトラブルシューティングするための情報を提供します。これらのログは、日常的なトラブルシューティングとインシデント処理の両方で役立ちます。FTDアプライアンスは、ローカルと外部の両方のロギングをサポートします。
ローカルロギングは発生中の問題のトラブルシューティングに役立ちますが、外部ロギングはFTDアプライアンスから外部のsyslogサーバにログを収集する方法です。中央管理サーバへのロギングは、ログおよびアラートの集約に役立ちます。外部ログは、ログの相関およびインシデント処理に役立ちます。
ローカルロギングについては、FTDアプライアンスはコンソール、内部バッファオプション、およびセキュアシェル(SSH)セッションロギングをサポートしています。外部ロギングに関しては、FTDアプライアンスは外部syslogサーバおよび電子メールリレーサーバをサポートしています。
設定
1. ロギングに関連するすべての設定は、Devicesタブの下のPlatform Settingsタブに移動すると設定できます。次の図に示すように、Devices > Platform Settingsの順に選択します。
2. 鉛筆アイコンをクリックして既存のポリシーを編集するか、New Policyをクリックし、Threat Defense Settingsを選択して新しいFTDポリシーを作成します。
3. ポリシーを適用するFTDアプライアンスを選択し、Saveをクリックします。
グローバル syslog 設定の編集
ローカルおよび外部両方のロギングに適用される特定の設定があります。このセクションでは、syslogに設定できる必須パラメータとオプションパラメータについて詳しく説明します。
ロギングの設定
1. ロギング設定オプションは、ローカルおよび外部ロギングに適用されます。ロギング設定を設定するには、Devices > Platform Settingsの順に選択します。
2. Syslog > Logging Setupの順に選択します。
ロギングの基本的な設定
- Enable Logging：ロギングを有効にするには、Enable Loggingチェックボックスにチェックマークを入れます（これは必須オプションです）。
- Enable Logging on the Failover Standby Unit:Enable Logging on the failover standby unitチェックボックスをオンにして、FTDハイアベイラビリティ(HA)クラスタの一部であるスタンバイFTDのロギングを設定します。
- Send Syslog in EMBLEM Format:Send syslog in EMBLEM formatチェックボックスにチェックマークを入れて、各宛先でフォーマットSyslogをEMBLEMとして有効にします。EMBLEM 形式は、主に CiscoWorks Resource Manager Essentials（RME）の syslog アナライザに使用されます。この形式は、ルータとスイッチによって生成されるCisco IOSソフトウェアのSyslog形式と一致します。これは、UDP syslog サーバでのみ利用できます。
- Send Debug Messages as Syslog：デバッグログをSyslogメッセージとしてSyslogサーバに送信するには、Send debug messages as syslogチェックボックスをオンにします。
- 内部バッファのメモリサイズ:FTDがログデータを保存できる内部メモリバッファサイズを入力します。ログ データは、そのバッファの上限に達するとローテーションされます。
VPNロギング設定
FTDデバイスのsyslogをトラブルシューティングするVPNのロギングを有効にできます。すべてのVPN syslogは、デフォルトの重大度レベルであるerrorsまたは高い重大度（変更されていない限り）で表示されます。 VPNのロギングはFTDプラットフォームを設定して管理できます。また、対象のデバイスのVPNロギング設定を編集することで、メッセージの重大度を調整できます。 VPNログレベルをレベル4以上（警告、通知、情報、またはデバッグ）に設定すると、FMCが過負荷状態になる可能性があります。
注：デバイスにサイト間VPNまたはリモートアクセスVPNを設定すると、デフォルトでVPN syslogのFMCへの送信が自動的に有効になります。
FTP サーバ情報（オプション）
内部バッファを上書きする前にFTPサーバにログデータを送信する場合は、FTPサーバの詳細を指定します。
- FTP Server Buffer Wrap：バッファログデータをFTPサーバに送信するには、FTP Server Buffer Wrapチェックボックスをオンにします。
- IP Address:FTPサーバのIPアドレスを入力します。
- Username:FTPサーバのユーザ名を入力します。
- パス: FTPサーバのディレクトリパスを入力します。
- Password:FTPサーバのパスワードを入力します。
- 確認：同じパスワードをもう一度入力します。
フラッシュ サイズ（オプション）
内部バッファがいっぱいになった場合にログデータをフラッシュに保存するためのフラッシュサイズを指定します。
- Flash:Flashチェックボックスをオンにして、ログデータを内部フラッシュに送信します。
- Maximum Flash to be used by Logging (KB)：ロギングに使用するフラッシュメモリの最大サイズをKB単位で入力します。
- 保存する最小空き領域(KB)：保存するフラッシュメモリの最小サイズをKB単位で入力します。
Saveをクリックして、プラットフォーム設定を保存します。Deployオプションを選択してから、変更を適用するFTDアプライアンスを選択します。Deployをクリックして、プラットフォーム設定の導入を開始します。
イベントリスト
[イベントリストの構成]オプションを使用すると、イベントリストを作成/編集し、イベントリストフィルタに含めるログデータを指定できます。イベントリストは、ロギングの宛先でロギングフィルタを設定するときに使用できます。
カスタム イベント リストの機能を使用するには、2 つのオプションを使用できます。
- クラスと重大度
- メッセージ ID
1. カスタムイベントリストを設定するには、Device > Platform Setting > Threat Defense Policy > Syslog > Event Listの順に選択し、Addをクリックします。オプションは次のとおりです。
- 名前：イベントリストの名前を入力します。
- Severity/Event Class:Severity/Event ClassセクションでAddをクリックする。
- イベントクラス：ドロップダウンリストから、必要なログデータのタイプのイベントクラスを選択します。イベント クラスは、同じ機能を示す一連の syslog ルールを定義します。たとえば、セッションに関連するすべてのSyslogを含むセッションのイベントクラスがあります。
- Syslog Severity：選択したイベントクラスのドロップダウンリストから重大度を選択します。重大度は 0 （緊急）～ 7 （デバッグ）の範囲で指定できます。
- メッセージID：メッセージIDに関連する特定のログデータを調べるには、Addをクリックして、メッセージIDに基づくフィルタを適用します。
- メッセージID：メッセージIDを個別/範囲形式で指定します。
2. OKをクリックして設定を保存します。
3. 「保存」をクリックしてプラットフォーム設定を保存します。Deployを選択し、変更を適用するFTDアプライアンスを選択します。Deployをクリックして、プラットフォーム設定の導入を開始します。
レート制限 syslog
Rate limitオプションでは、設定されたすべての宛先に送信できるメッセージの数と、レート制限を割り当てるメッセージの重大度を定義します。
1. syslogのレート制限を設定するには、Device > Platform Setting > Threat Defense Policy > Syslog > Rate Limitの順に選択します。レート制限を指定するには、次の2つのオプションがあります。
- Logging level
- Syslog levels
2. ロギング・レベル・ベースのレート制限を有効にするには、Logging Levelを選択して、Addをクリックします。
- ログレベル:Logging Levelドロップダウンリストから、レート制限を追加するログレベルを選択します。
- メッセージ数：指定したインターバルの間に受信するSyslogメッセージの最大数を入力します。
- Interval(Second)：前に設定したNumber of Messagesパラメータに基づいて、時間間隔を入力し、受信するSyslogメッセージの固定セットを指定します。
Syslogのレートは、メッセージ数/間隔です。
3. OKをクリックして、ロギングレベルの設定を保存します。
4. Syslogレベルに基づくレート制限を有効にするには、Syslog Levelを選択してAddをクリックします。
- Syslog ID:Syslog IDは、Syslogメッセージを一意に識別するために使用されます。Syslog IDドロップダウンリストから、Syslog IDを選択します。
- メッセージ数：指定したインターバルの間に受信するsyslogメッセージの最大数を入力します。
- Interval(Second)：前に設定したNumber of Messagesパラメータに基づいて、時間間隔を入力し、受信するSyslogメッセージの固定セットを指定します。
Syslogのレートは、メッセージ数/間隔です。
5. OKをクリックして、Syslogレベルの設定を保存します。
6. Saveをクリックして、プラットフォーム設定を保存します。Deployを選択してから、変更を適用するFTDアプライアンスを選択します。Deployをクリックして、プラットフォーム設定の導入を開始します。
Syslog Settings
Syslog設定では、Facility値をSyslogメッセージに含めるように設定できます。ログメッセージおよび他のSyslogサーバ固有のパラメータにタイムスタンプを含めることができます。
1. カスタムイベントリストを設定するには、Device > Platform Setting > Threat Defense Policy > Syslog > Syslog Settingsの順に選択します。
- Facility：ファシリティコードは、メッセージをロギングするプログラムのタイプを指定するために使用されます。異なるファシリティを持つメッセージは、異なる方法で処理できます。Facilityドロップダウンリストから、ファシリティ値を選択します。
- Enable Timestamp on Syslog Messages:Syslogメッセージにタイムスタンプを含めるには、Enable Timestamp on Syslog Messagesボックスにチェックマークを入れます。このオプションを有効にした後で、タイムスタンプ形式を選択できます。
- Enable Syslog Device ID：非EMBLEM形式のsyslogメッセージにデバイスIDを含めるには、Enable Syslog Device IDチェックボックスをオンにします。
- Netflowと同等のSyslog:NetFlowと同等のSyslogを送信するには、Netflowと同等のSyslogのチェックボックスをオンにします。これは、アプライアンスのパフォーマンスに影響を与える可能性があります。
- 特定のsyslog IDの追加：追加のsyslog IDを指定するには、Addをクリックして、Syslog ID/ Logging Levelチェックボックスを指定します。
2. Saveをクリックして、プラットフォーム設定を保存します。Deployを選択してから、変更を適用するFTDアプライアンスを選択します。Deployをクリックして、プラットフォーム設定の導入を開始します。
ローカル ロギングの設定
「ロギングの宛先」セクションを使用して、特定の宛先へのロギングを設定できます。
利用可能な内部ロギングの宛先は次のとおりです。
- 内部バッファ：内部ロギングバッファ（ロギングバッファ）にログを記録します。
- コンソール：ログをコンソール（ロギングコンソール）に送信します。
- SSHセッション:SSHセッション（ターミナルモニタ）にSyslogを記録します。
ローカル ロギングの設定には、次の 3 つの手順があります。
1. Device > Platform Setting > Threat Defense Policy > Syslog > Logging Destinationsの順に選択します。
2. Addをクリックして、特定のロギング先のロギングフィルタを追加します。
3. ロギング宛先: ロギング宛先ドロップダウンリストから、内部バッファ、コンソール、またはSSHセッションとして必要なロギング宛先を選択します。
Event Class:Event Classドロップダウンリストから、イベントクラスを選択します。イベントクラスは、同じ機能を表すsyslogのセットです。イベントクラスは、次の3つの方法で選択できます。
- 重大度によるフィルタリング：イベントクラスは、Syslogの重大度に基づいてフィルタリングします。
- ユーザイベントリスト：管理者は、独自のカスタムイベントクラスを使用して特定のイベントリストを作成し、このセクションで参照できます。
- Disable Logging：このオプションを使用して、選択したロギング先およびログレベルのロギングを無効にします。
ログレベル：ドロップダウンリストからログレベルを選択します。ログレベルの範囲は0（緊急）から7（デバッグ）です。
4. このロギングフィルタに個別のイベントクラスを追加するには、Addをクリックします。
イベント区分: 「イベント区分」ドロップダウン・リストからイベント区分を選択します。
Syslog Severity:Syslog Severityドロップダウンリストから、Syslogの重大度を選択します。
5. フィルタを設定したら、特定のロギング宛先に対してフィルタを追加するため、「OK」をクリックします。
6. Saveをクリックして、プラットフォーム設定を保存します。Deployを選択し、変更を適用するFTDアプライアンスを選択します。Deployをクリックして、プラットフォーム設定の導入を開始します。
外部ロギングの設定
外部ロギングを設定するには、Device > Platform Setting > Threat Defense Policy > Syslog > Logging Destinationsの順に選択します。
FTDは、これらのタイプの外部ロギングをサポートします。
- Syslogサーバ：リモートSyslogサーバにログを送信します。
- SNMPトラップ:SNMPトラップとしてログを送信します。
- 電子メール：事前に設定されたメール中継サーバを使用して、ログを電子メールで送信します。
外部ロギングと内部ロギングの設定は同じです。ロギング先を選択することで、実装されるロギングのタイプが決まります。カスタム イベント リストに基づいて、リモート サーバにイベント クラスを設定することができます。
リモートSyslogサーバ
FTD からリモートでログを分析および保存するように syslog サーバを設定できます。リモート syslog サーバの設定には、次の 3 つの手順があります。
1. Device > Platform Setting > Threat Defense Policy > Syslog > Syslog Serversの順に選択します。
2. Syslogサーバ関連のパラメータを設定します。
3. TCP syslogサーバがダウンしているときにユーザトラフィックが通過できるようにする。TCP Syslogサーバがネットワークに展開されていて、到達不能な場合、ASAを通過するネットワークトラフィックは拒否されます。これは、ASA と syslog サーバ間のトランスポート プロトコルが TCP の場合だけ適用されます。Allow user traffic to pass when TCP syslog server is downチェックボックスにチェックマークを付けて、Syslogサーバがダウンしている場合にトラフィックがインターフェイスを通過できるようにします。
4. メッセージキューのサイズ：メッセージキューのサイズとは、リモートSyslogサーバがビジー状態でログメッセージを受信しないときにFTDにキューイングされるメッセージの数です。デフォルトは 512 メッセージで、最小値は 1 メッセージです。このオプションに 0 を指定すると、キュー サイズは無制限とみなされます。
5. リモートsyslogサーバを追加するには、Addをクリックします。
IP Address:IP Addressドロップダウンリストから、syslogサーバがリストされているネットワークオブジェクトを選択します。ネットワークオブジェクトを作成していない場合は、プラス(+)アイコンをクリックして新しいオブジェクトを作成します。
Protocol:Syslog通信用のTCPまたはUDPオプションボタンのいずれかをクリックします。
Port:Syslogサーバのポート番号を入力します。デフォルトでは 514 です。
Log Messages in Cisco EMBLEM format(UDP only):Log Messages in Cisco EMBLEM format(UDP only)チェックボックスをクリックして、このオプションを有効にします。Cisco EMBLEM形式のメッセージを記録する必要がある場合（これはUDPベースのsyslogにのみ適用されます）。
Available Zones:Syslogサーバに到達できるセキュリティゾーンを入力し、Selected Zones/Interfaces列に移動します。
6. OKをクリックし、Saveをクリックして設定を保存します。
7. 「保存」をクリックして、プラットフォーム設定を保存します。Deployを選択し、変更を適用するFTDアプライアンスを選択します。Deployをクリックして、プラットフォーム設定の導入を開始します。
ロギング用の電子メールセットアップ
FTDでは、特定の電子メールアドレスにSyslogを送信できます。電子メールは、電子メールリレーサーバがすでに設定されている場合にのみ、ロギングの宛先として使用できます。
Syslogの電子メール設定を設定するには、2つのステップがあります。
1. Device > Platform Setting > Threat Defense Policy > Syslog >Email Setupの順に選択します。
送信元電子メールアドレス:FTDから送信された、Syslogを含むすべての電子メールに表示される送信元電子メールアドレスを入力します。
2. 宛先の電子メールアドレスとSyslogの重大度を設定するには、Addをクリックします。
宛先の電子メールアドレス:Syslogメッセージの送信先の電子メールアドレスを入力します。
Syslog Severity:Syslog Severityドロップダウンリストから、Syslogの重大度を選択します。
3. OKをクリックして設定を保存します。
4. Saveをクリックして、プラットフォーム設定を保存します。Deployを選択してから、変更を適用するFTDアプライアンスを選択します。Deployをクリックして、プラットフォーム設定の導入を開始します。
確認
現在、この設定に使用できる確認手順はありません。
トラブルシュート
このセクションでは、設定のトラブルシューティングに役立つ情報を紹介します。
FTD CLIでFTD syslog設定を確認します。FTDの管理インターフェイスにログインし、system support diagnostic-cliコマンドを実行して、診断CLIのコンソールに入ります。
> system support diagnostic-cli Attaching to ASA console ... Press 'Ctrl+a then d' to detach. Type help or '?' for a list of available commands. ><Press Enter> firepower# sh run logging logging enable logging console emergencies logging buffered debugging logging host inside 192.168.0.192 logging flash-minimum-free 1024 logging flash-maximum-allocation 3076 logging permit-hostdown
FTDからSyslogサーバに到達できることを確認します。SSH経由でFTD管理インターフェイスにログインし、pingコマンドを使用して接続を確認します。
Copyright 2004-2016, Cisco and/or its affiliates. All rights reserved. Cisco is a registered trademark of Cisco Systems, Inc. All other trademarks are property of their respective owners. Cisco Fire Linux OS v6.0.1 (build 37) Cisco Firepower Threat Defense for VMWare v6.0.1 (build 1213) > system support diagnostic-cli Attaching to ASA console ... Press 'Ctrl+a then d' to detach. Type help or '?' for a list of available commands. firepower> en Password: firepower# ping 192.168.0.192
パケットキャプチャを取得して、FTDとSyslogサーバ間の接続を確認できます。SSH経由でFTD管理インターフェイスにログインし、system support diagnostic-cliコマンドを実行します。パケットキャプチャコマンドについては、『CLIおよびASDMによるASAパケットキャプチャの設定例』を参照してください。
ポリシー展開が正常に適用されていることを確認します。
関連情報
更新履歴
| 改定 | 発行日 | コメント |
|---|---|---|
5.0 |
22-Jul-2026
|
スペル、文法、読みやすくするためにセクションを区切るための水平線の挿入、代替テキストの更新、およびCCWアラートの更新。 |
4.0 |
23-Aug-2024
|
導入時間が短く、許容可能な長さになりました。ブランディング要件を修正。壊れたリンクと「新しいページで開く」を更新。 |
3.0 |
10-Jul-2023
|
再認定 |
2.0 |
15-Jun-2022
|
分かりやすいようにコンテンツを編集。「背景情報」に画像を追加。 I.P.アドレスをプライベートI.P.アドレスに更新。 |
1.0 |
13-May-2016
|
初版 |
フィードバック