内容

概要

前提条件

要件

使用するコンポーネント

設定

ライセンス

アカウントをSSEにリンクし、デバイスを登録します。

デバイスをSSEに登録する

SecureXでのカスタムダッシュボードの設定

確認

トラブルシュート

接続の問題の検出

DNS解決による接続の問題

SSEポータルへの登録の問題

SSEConnectorの状態の確認

SSEポータルおよびCTRに送信されるデータを確認します

ビデオ

概要

このドキュメントでは、SecureXとFirepower Firepower Threat Defense(FTD)の統合、検証、およびトラブルシューティングに必要な手順について説明します。

前提条件

要件

次の項目に関する知識があることが推奨されます。

- Firepower Management Center（FMC）

- Firepower Threat Defense(FTD)

- イメージの仮想化（オプション）

使用するコンポーネント

- Firepower Threat Defense(FTD)- 6.5

- Firepower Management Center(FMC)- 6.5

- セキュリティサービス交換(SSE)

- SecureX

- スマートライセンスポータル

このドキュメントの情報は、特定のラボ環境にあるデバイスに基づいて作成されました。このドキュメントで使用するすべてのデバイスは、初期（デフォルト）設定の状態から起動しています。本稼働中のネットワークでは、各コマンドによって起こる可能性がある影響を十分確認してください。

設定

ライセンス

仮想アカウントの役割：

仮想アカウント管理者またはスマートアカウント管理者のみが、スマートアカウントをSSEアカウントにリンクする権限を持ちます。

ステップ1：スマートアカウントの役割を検証するには、software.cisco.comに移動し、[Administration]メニューの[Manage Smart Account]を選択します。

ステップ2：ユーザロールを検証するには、[Users] に移動し、図に示すように、[Roles]でアカウントが仮想アカウント管理者に設定されていることを検証します。

ステップ3:SSEでリンクするように選択された仮想アカウントに、セキュリティライセンスを含まないアカウントがSSEでリンクされている場合、セキュリティデバイスとイベントがSSEポータルに表示されないことを確認します。

ステップ4:FMCが正しい仮想アカウントに登録されたことを確認するには、[System] > [Licenses] > [Smart License]に移動します。

アカウントをSSEにリンクし、デバイスを登録します。

ステップ1:SSEアカウントにログインする場合は、スマートアカウントをSSEアカウントにリンクする必要があります。そのためには、[ツール]アイコンをクリックし、[アカウントのリンク]を選択する必要があります。

アカウントがリンクされると、スマートアカウントとその上のすべての仮想アカウントが表示されます。

デバイスをSSEに登録する

ステップ1：環境で次のURLが許可されていることを確認します。

米国地域

- api-sse.cisco.com

- eventing-ingest.sse.itd.cisco.com

EU地域

- api.eu.ss e.itd.cisco.com

- eventing-ingest.eu.ss e.itd.cisco.com

APJ地域

- api.apj.sse.itd.cisco.com

- eventing-ingest.apj.sse.itd.cisco.com

ステップ2：次の図に示すように、次のURL https://admin.sse.itd.cisco.comを使用してSSEポータルにログインし、[Cloud Services]に移動し、[Eventing]と[Cisco SecureX threat response]の両方のオプションをを有効にします。

ステップ3:Firepower Management Centerにログインし、[System] > [Integration] > [Cloud Services]に移動し、Cisco Cloud Event Configurationを有効にして、クラウドに送信するイベントを選択します。

ステップ4:SSEポータルに戻り、SSEに登録されているデバイスを確認できることを確認します。

イベントはFTDデバイスから送信されます。図に示すように、SSEポータルの[Events] に移動し、デバイスからSSEに送信されたイベントを確認します。

SecureXでのカスタムダッシュボードの設定

ステップ1：ダッシュボードを作成するには、図に示すように、[+ New Dashboard]アイコンをクリックし、ダッシュボードに使用する名前とタイルを選択します。

ステップ2：この後、SSEからダッシュボード情報を入力して、検出された脅威のいずれかを選択し、イベントタイプフィルタを使用してSSEポータルを起動できます。

確認

FTDがイベント（マルウェアまたは侵入）を生成していることを検証します。侵入イベントの場合は、 [Analysis] > [Files] >マルウェアイベントは、侵入イベントに対して[Analysis] > [Intrusion] > [Events]に移動します。

「デバイスをSSEに登録する」セクションの手順4で説明されているように、イベントがSSEポータルに登録されていることを確認します.

SecureXダッシュボードに情報が表示されることを確認するか、APIログを確認して、API障害の原因を確認します。

トラブルシュート

接続の問題の検出

action_queue.logファイルから一般的な接続問題を検出できます。障害が発生した場合は、次のようなログがファイルに表示されます。

ActionQueueScrape.pl[19094]: [SF::SSE::Enrollment] canConnect: System (/usr/bin/curl -s --connect-timeout 10 -m 20 -L --max-redirs 5 --max-filesize 104857600 --capath /ngfw/etc/sf/keys/fireamp/thawte_roots -f https://api.eu.sse.itd.cisco.com/providers/sse/api/v1/regions) Failed, curl returned 28 at /ngfw/usr/local/sf/lib/perl/5.10.1/SF/System.pmline 10477.

この場合、終了コード28は、操作がタイムアウトしたことを意味し、インターネットへの接続を確認する必要があります。DNS解決に関する問題を意味するexit code 6が表示されることもあります

DNS解決による接続の問題

ステップ1：接続が正常に動作していることを確認します。

root@ftd01:~# curl -v -k https://api-sse.cisco.com

* Rebuilt URL to: https://api-sse.cisco.com/

* getaddrinfo(3) failed for api-sse.cisco.com:443

* Couldn't resolve host 'api-sse.cisco.com'

* Closing connection 0

curl: (6) Couldn't resolve host 'api-sse.cisco.com'

上記の出力は、デバイスがURL https://api-sse.cisco.comを解決できないことを示しています。この場合、適切なDNSサーバが設定されていることを確認する必要があり、エキスパートCLIからnslookupを使用して検証できます。

root@ftd01:~# nslookup api-sse.cisco.com

;; connection timed out; no servers could be reached

上記の出力は、設定されたDNSに到達していないことを示しています。DNS設定を確認するには、show networkコマンドを使用します。

> show network

===============[ System Information ]===============

Hostname                  : ftd01

DNS Servers               : x.x.x.10

Management port           : 8305

IPv4 Default route

Gateway                   : x.x.x.1

======================[ eth0 ]======================

State                     : Enabled

Link                      : Up

Channels                  : Management & Events

Mode                      : Non-Autonegotiation

MDI/MDIX                  : Auto/MDIX

MTU                       : 1500

MAC Address               : x:x:x:x:9D:A5

----------------------[ IPv4 ]----------------------

Configuration             : Manual

Address                   : x.x.x.27

Netmask                   : 255.255.255.0

Broadcast                 : x.x.x.255

----------------------[ IPv6 ]----------------------

Configuration             : Disabled

===============[ Proxy Information ]================

State                     : Disabled

Authentication            : Disabled

この例では、誤ったDNSサーバが使用されています。次のコマンドを使用してDNS設定を変更できます。

> configure network dns x.x.x.11

この接続を再度テストし、今回は接続が成功します。

root@ftd01:~# curl -v -k https://api-sse.cisco.com

* Rebuilt URL to: https://api-sse.cisco.com/

* Trying x.x.x.66...

* Connected to api-sse.cisco.com (x.x.x.66) port 443 (#0)

* ALPN, offering http/1.1

* Cipher selection: ALL:!EXPORT:!EXPORT40:!EXPORT56:!aNULL:!LOW:!RC4:@STRENGTH

* successfully set certificate verify locations:

* CAfile: none

CApath: /etc/ssl/certs

* TLSv1.2 (OUT), TLS header, Certificate Status (22):

* TLSv1.2 (OUT), TLS handshake, Client hello (1):

* TLSv1.2 (IN), TLS handshake, Server hello (2):

* TLSv1.2 (IN), TLS handshake, Certificate (11):

* TLSv1.2 (IN), TLS handshake, Server key exchange (12):

* TLSv1.2 (IN), TLS handshake, Request CERT (13):

* TLSv1.2 (IN), TLS handshake, Server finished (14):

* TLSv1.2 (OUT), TLS handshake, Certificate (11):

* TLSv1.2 (OUT), TLS handshake, Client key exchange (16):

* TLSv1.2 (OUT), TLS change cipher, Client hello (1):

* TLSv1.2 (OUT), TLS handshake, Finished (20):

* TLSv1.2 (IN), TLS change cipher, Client hello (1):

* TLSv1.2 (IN), TLS handshake, Finished (20):

* SSL connection using TLSv1.2 / ECDHE-RSA-AES128-GCM-SHA256

* ALPN, server accepted to use http/1.1

* Server certificate:

* subject: C=US; ST=California; L=San Jose; O=Cisco Systems, Inc.; CN=api -sse.cisco.com

* start date: 2019-12-03 20:57:56 GMT

* expire date: 2021-12-03 21:07:00 GMT

* issuer: C=US; O=HydrantID (Avalanche Cloud Corporation); CN=HydrantID S SL ICA G2

* SSL certificate verify result: self signed certificate in certificate c hain (19), continuing anyway.

> GET / HTTP/1.1

> Host: api-sse.cisco.com

> User-Agent: curl/7.44.0

> Accept: */*

>

< HTTP/1.1 403 Forbidden

< Date: Wed, 08 Apr 2020 01:27:55 GMT

< Content-Type: text/plain; charset=utf-8

< Content-Length: 9

< Connection: keep-alive

< Keep-Alive: timeout=5

< ETag: "5e17b3f8-9"

< Cache-Control: no-store

< Pragma: no-cache

< Content-Security-Policy: default-src 'self'

< X-Content-Type-Options: nosniff

< X-XSS-Protection: 1; mode=block

< Strict-Transport-Security: max-age=31536000; includeSubdomains;

SSEポータルへの登録の問題

FMCとFTDの両方で、管理インターフェイスのSSE URLへの接続が必要です。接続をテストするには、Firepower CLIでrootアクセスで次のコマンドを入力します。

curl -v https://api-sse.cisco.com/providers/sse/services/registration/api/v2/clients --cacert /ngfw/etc/ssl/connectorCA.pem

curl -v https://est.sco.cisco.com --cacert /ngfw/etc/ssl/connectorCA.pem

curl -v https://eventing-ingest.sse.itd.cisco.com --cacert /ngfw/etc/ssl/connectorCA.pem

curl -v https://mx01.sse.itd.cisco.com --cacert /ngfw/etc/ssl/connectorCA.pem

証明書チェックは、次のコマンドでバイパスできます。

root@ftd01:~# curl -v -k https://api-sse.cisco.com

* Rebuilt URL to: https://api-sse.cisco.com/

* Trying x.x.x.66...

* Connected to api-sse.cisco.com (x.x.x.66) port 443 (#0)

* ALPN, offering http/1.1

* Cipher selection: ALL:!EXPORT:!EXPORT40:!EXPORT56:!aNULL:!LOW:!RC4:@STRENGTH

* successfully set certificate verify locations:

* CAfile: none

CApath: /etc/ssl/certs

* TLSv1.2 (OUT), TLS header, Certificate Status (22):

* TLSv1.2 (OUT), TLS handshake, Client hello (1):

* TLSv1.2 (IN), TLS handshake, Server hello (2):

* TLSv1.2 (IN), TLS handshake, Certificate (11):

* TLSv1.2 (IN), TLS handshake, Server key exchange (12):

* TLSv1.2 (IN), TLS handshake, Request CERT (13):

* TLSv1.2 (IN), TLS handshake, Server finished (14):

* TLSv1.2 (OUT), TLS handshake, Certificate (11):

* TLSv1.2 (OUT), TLS handshake, Client key exchange (16):

* TLSv1.2 (OUT), TLS change cipher, Client hello (1):

* TLSv1.2 (OUT), TLS handshake, Finished (20):

* TLSv1.2 (IN), TLS change cipher, Client hello (1):

* TLSv1.2 (IN), TLS handshake, Finished (20):

* SSL connection using TLSv1.2 / ECDHE-RSA-AES128-GCM-SHA256

* ALPN, server accepted to use http/1.1

* Server certificate:

* subject: C=US; ST=California; L=San Jose; O=Cisco Systems, Inc.; CN=api -sse.cisco.com

* start date: 2019-12-03 20:57:56 GMT

* expire date: 2021-12-03 21:07:00 GMT

* issuer: C=US; O=HydrantID (Avalanche Cloud Corporation); CN=HydrantID S SL ICA G2

* SSL certificate verify result: self signed certificate in certificate c hain (19), continuing anyway.

> GET / HTTP/1.1

> Host: api-sse.cisco.com

> User-Agent: curl/7.44.0

> Accept: */*

>

< HTTP/1.1 403 Forbidden

< Date: Wed, 08 Apr 2020 01:27:55 GMT

< Content-Type: text/plain; charset=utf-8

< Content-Length: 9

< Connection: keep-alive

< Keep-Alive: timeout=5

< ETag: "5e17b3f8-9"

< Cache-Control: no-store

< Pragma: no-cache

< Content-Security-Policy: default-src 'self'

< X-Content-Type-Options: nosniff

< X-XSS-Protection: 1; mode=block

< Strict-Transport-Security: max-age=31536000; includeSubdomains;

注：403 Forbiddenメッセージが表示されます。これは、テストから送信されたパラメータがSSEが期待するものではなく、接続を検証するのに十分であることを証明するためです。

SSEConnectorの状態の確認

図のように、コネクタのプロパティを確認できます。

# more /ngfw/etc/sf/connector.properties

registration_interval=180

connector_port=8989

connector_fqdn=api-sse.cisco.com

SSConnectorとEventHandlerの間の接続を確認するには、次のコマンドを使用できます。これは接続が正しくない例です。

root@firepower:/etc/sf# netstat -anlp | grep EventHandler_SSEConnector.sock

unix 2 [ ACC ] STREAM LISTENING 3022791165 11204/EventHandler /ngfw/var/sf/run/EventHandler_SSEConnector.sock

確立された接続の例では、ストリームのステータスがconnectedであることがわかります。

root@firepower:/etc/sf# netstat -anlp | grep EventHandler_SSEConnector.sock

unix 2 [ ACC ] STREAM LISTENING 382276 7741/EventHandler /ngfw/var/sf/run/EventHandler_SSEConnector.sock

unix 3 [ ] STREAM CONNECTED 378537 7741/EventHandler /ngfw/var/sf/run/EventHandler_SSEConnector.soc

SSEポータルおよびCTRに送信されるデータを確認します

FTDデバイスからイベントを送信してTCP接続を確立するには、https://eventing-ingest.sse.itd.cisco.comを使用する必要があります。これは、SSEポータルとFTD間に確立されていない接続の例です。

root@firepower:/ngfw/var/log/connector# lsof -i | grep conn

connector 60815 www 10u IPv4 3022789647 0t0 TCP localhost:8989 (LISTEN)

connector 60815 www 12u IPv4 110237499 0t0 TCP firepower.cisco.com:53426->ec2-100-25-93-234.compute-1.amazonaws.com:https (SYN_SENT)

connector.logログ：

time="2020-04-13T14:34:02.88472046-05:00" level=error msg="[firepower.cisco.com][events.go:90 events:connectWebSocket] dial tcp x.x.x.246:443: getsockopt: connection timed out"

time="2020-04-13T14:38:18.244707779-05:00" level=error msg="[firepower.cisco.com][events.go:90 events:connectWebSocket] dial tcp x.x.x.234:443: getsockopt: connection timed out"

time="2020-04-13T14:42:42.564695622-05:00" level=error msg="[firepower.cisco.com][events.go:90 events:connectWebSocket] dial tcp x.x.x.246:443: getsockopt: connection timed out"

time="2020-04-13T14:47:48.484762429-05:00" level=error msg="[firepower.cisco.com][events.go:90 events:connectWebSocket] dial tcp x.x.x.234:443: getsockopt: connection timed out"

time="2020-04-13T14:52:38.404700083-05:00" level=error msg="[firepower.cisco.com][events.go:90 events:connectWebSocket] dial tcp x.x.x.234:443: getsockopt: connection timed out"

注：x.x.x.246および1x.x.x.246に表示されるIPアドレスはhttps://eventing-ingest.sse.itd.cisco.comに属している可能性があり、IPアドレスではなくURLに基づいてSSEポータルへのトラフィックを許可することをお勧めします。

この接続が確立されていない場合、イベントはSSEポータルに送信されません。次に、FTDポータルとSSEポータルの間で確立された接続の例を示します。

root@firepower:# lsof -i | grep conn

connector 13277   www   10u  IPv4 26077573      0t0  TCP localhost:8989 (LISTEN)

connector 13277   www   19u  IPv4 26077679      0t0  TCP x.x.x.200:56495->ec2-35-172-147-246.compute-1.amazonaws.com:https (ESTABLISHED)

ビデオ