[cdo@sdc-vm ~]$ sudo su sdc
[sudo] password for cdo: <type password for cdo user>
[sdc@sdc-vm ~]$

[sdc@sdc-vm ~]$ /usr/local/cdo/toolkit/sec.sh setup

Please copy the bootstrap data from Setup Secure Event Connector page of Security Cloud Control: KJHYFuYTFuIGhiJKlKnJHvHfgxTewrtwE
RtyFUiyIOHKNkJbKhvhgyRStwterTyufGUihoJpojP9UOoiUY8VHHGFXREWRtygfhVjhkOuihIuyftyXtfcghvjbkhB=

SEC がオンボーディングされると、sec.sh は、SEC のヘルスをチェックするスクリプトを実行します。すべてのヘルスチェックが「正常」の場合、ヘルスチェックはサンプルイベントをイベントログに送信します。このサンプルイベントは、「sec-health-check」という名前のポリシーとしてイベントログに表示されます。

登録に失敗したことや SEC のオンボーディングに失敗したことを示すメッセージを受け取った場合は、「Secure Event Connector オンボーディングのトラブルシューティング」を参照してください。

• SDC を独自の仮想マシンにインストールした場合は、作成した VM にインストールされた SDC および Security Cloud Control コネクタの追加設定 を続行します。

• Security Cloud Control イメージを使用して SDC をインストールした場合は、「次に行う作業」に進みます。

プロンプトが表示されたら、コピーした SEC ブートストラップデータを入力します。

SSH を使用して SDC インスタンスに接続するためのポートは、セキュリティ上の理由により公開されません。

rm -f /tmp/cert_chain.pem && openssl s_client -showcerts -verify 5 -connect <FQDN>:10125 < /dev/null | awk '/BEGIN CERTIFICATE/,/END CERTIFICATE/{ if(/BEGIN CERTIFICATE/){a++}; out="/tmp/cert_chain.pem"; if(a > 1) print >>out}'

nslookup <FQDN>

DataCenterFW-1> en
Password: *****************
DataCenterFW-1# conf t
DataCenterFW-1(config)# <paste your modified ASA CLIs here and press Enter>
DataCenterFW-1(config)# wr mem
Building configuration...
Cryptochecksum: 6634f35f 4c5137f1 ab0c5cdc 9784bdb6

• テナントセレクタを使用する場合（または VM にテナントが 1 つしかない場合）は、次の手順を実行します。

  [sdc@tenant toolkit]$ sdc eventing delete

• コマンド引数でテナントを直接指定する場合は、次のようにします。

  [sdc@tenant toolkit]$ sdc eventing delete CDO_{tenant-name} 

• 使用状況のトレンド（Usage Trends）：過去 12 か月のイベントロギングのストレージ使用量が表示されます。バーにカーソルを合わせると、該当する月のデータ量が表示されます。

• 1 秒あたりのイベント数（EPS）トレンド（Events per second (EPS) trends）：オンボードされたデバイスのイベント取り込み率が表示されます。特定の期間またはデバイスにおけるイベント/秒あたりのトレンドビューをカスタマイズして、より詳細なデータを取得できます。過去 1 週間、2 週間、3 週間、または 1 か月のデータをフィルタ処理できます。

  （注）	デバイスドロップダウンリストには、Cisco Security Cloud にイベントを送信している管理されたファイアウォールデバイスが表示されます。

• イベントタイプ別の使用率の傾向（Utilization by event type trends）：さまざまなイベントタイプについて、使用されているイベントデータストレージを日次バイト単位で表示します。このウィジェットを使用して、イベントタイプごとのストレージ使用状況をモニターし、特定のイベントタイプのストレージ使用量にサージ（存在する場合）や異常な変更を特定します。このインサイトにより、特定のイベントタイプのロギング設定を調整し、ストレージ使用状況を管理できます。

• デバイスタイプ別の使用率の傾向（Utilization by device type trends）：管理対象の各デバイスタイプについて、使用されているイベントデータストレージを日次バイト単位で表示します。このウィジェットを使用して、デバイスタイプごとのストレージ使用状況をモニターし、特定のタイプのデバイスのストレージ使用量にサージや異常な変化がある場合を特定します。

• デバイス別の使用率の傾向（Utilization by device trends）：セキュリティ クラウド コントロールにイベントを送信する各セキュリティデバイスについて、使用されているイベントデータストレージを日次バイト単位で表示します。このウィジェットでは、ストレージ使用率が平均バイト/秒値を超えているデバイスに焦点が当てられ、使いやすさが向上する上位 5 つのデバイスのみが表示されます。このウィジェットを使用して、各デバイスのストレージ使用状況をモニターし、サージや異常な変更を特定します。このインサイトにより、特定のデバイスのロギング設定を調整し、ストレージ使用率を効果的に管理できます。

増加したコストは、既存のライセンスの残りの期間に基づいて比例配分されます。詳細な手順については、「Cisco Defense Orchestrator 製品の引用に関するガイドライン」を参照してください。

[Alerts and Notifications] セクションには、イベントロギングに影響を与える設定に関するアラートが表示されます。これらのアラートにより、問題を解決するためのアクションを実行できます。一部の設定：

• クラウド設定へのイベントの送信は無効になっています。

• クラウド設定へのイベントの送信はデバイスレベルで無効になっています。

• Secure Event Connector が使用できなくなります。

• イベントの取り込み率を上げます。

logging host コマンドを使用して、メッセージ送信先の syslog サーバーとして SEC を指定します。テナントにオンボーディングした SEC のいずれかにイベントを送信できます。

logging host コマンドは、イベント送信先の TCP または UDP ポートを指定します。どのポートを使用するかを判断するには、「Cisco Security Analytics and Logging に使用されるデバイスの TCP、UDP、および NSEL ポートの検索」を参照してください。

syslog イベントを SEC に送信するために使用するプロトコルに応じて、このコマンドを 2 つの異なるマクロのいずれかに変換します。

logging host {{interface_name}} {{SEC_ip_address}} tcp/{{port_number}}

logging host {{interface_name}} {{SEC_ip_address}} udp/{{port)_number}}

（任意）TCP を使用する場合、次のコマンドをマクロのコマンドリストに追加できます。パラメータは必要としません。

logging permit-hostdown

logging trap コマンドを使用して、syslog サーバーに送信する syslog メッセージを指定します。

SEC に送信されるイベントをシビラティ（重大度）レベルで定義する場合は、コマンドを次のマクロに変換します。

logging trap {{severity_level}}

メッセージリストの一部であるイベントのみを SEC に送信する場合は、コマンドを次のマクロに変換します。

logging trap {{message_list_name}}

前のステップで logging trap message_list コマンドを選択した場合は、メッセージリスト内で syslog を定義する必要があります。マクロを作成しながらコマンドの説明を読むことができるように、「カスタムイベントリストの作成」を開いておきます。次のコマンドで開始します。

次に、これを次のバリエーションに分割します。

logging list {{message_list_name}} level {{security_level}}

logging list {{message_list_name}} level {{security_level}} class {{message_class}}

logging list {{message_list_name}} message {{syslog_range_or_number}}

最後のバリエーションでは、メッセージパラメータ{{syslog_range_or_number}} は、単一の syslog ID（106023）または範囲（302013-302018）として入力できます。メッセージリストを作成するには、1 つまたは複数のコマンドバリエーションを任意の行数で使用します。単一のマクロでは、同じ名前のすべてのパラメータで、入力した同じ値が使用されることに注意してください。Security Cloud Control は、空のパラメータを含むマクロを実行しません。

logging timestamp

 <166>2018-06-27T12:17:46Z asa : %ASA-6-110002: Failed to locate egress interface for protocol from src interface :src IP/src port to dest IP/dest port

次に、これを次のバリエーションに分割します。

logging device-id cluster-id

logging device-id context-name

logging device-id hostname

logging device-id ipaddress {{interface_name}} system

logging device-id string {{text_16_char_or_less}}

logging enable

show running-config logging

write memory

すべてのコマンドを入力したら、[送信（Send）] をクリックします。Security Cloud Control の CLI インターフェイスは Cisco ASA に直接接続されるため、コマンドはデバイスの実行コンフィギュレーションに即座に書き込まれます。Cisco ASA のスタートアップ コンフィギュレーションに変更を書き込むには、さらに write memory コマンドを発行する必要があります。

Cisco ASA から Cisco Cloud に syslog イベントを送信する場合、ユーザーは SEC が外部の syslog サーバーであるかのように SEC に転送し、SEC はメッセージを Cisco Cloud に転送します。

syslog メッセージを SEC に送信するには、次の手順を実行します。

1. TCP または UDP を使用して、SEC が syslog サーバーであるかのように、SEC にメッセージを送信するように Cisco ASA を設定します。SEC は、IPv4 アドレスまたは IPv6 アドレスを使用できます。TCP ポートと UDP ポートのいずれかにイベントを送信します。どのポートを使用するかを判断するには、「Cisco Security Analytics and Logging に使用されるデバイスの TCP、UDP、および NSEL ポートの検索」を参照してください。

   logging host コマンドシンタックスの例を次に示します。

   logging host interface_name SEC_IP_address [[ tcp/port ]|[ udp/port ]]

   例：

   
    > logging host mgmt 192.168.1.5 tcp/10125 
   > logging host mgmt 192.168.1.5 udp/10025 
   > logging host mgmt 2002::1:1 tcp/10125 
   > logging host mgmt 2002::1:1 udp/10025 

   • interface_name 引数は、syslog サーバーへのメッセージの送信元である Cisco ASA インターフェイスを指定します。SDC との通信にすでに使用されているのと同じ Cisco ASA インターフェイスを介して、syslog メッセージを SDC に送信するのが「ベストプラクティス」です。

   • SEC_IP_address 引数には、SEC がインストールされている VM の IP アドレスが含まれている必要があります。

   • キーワードと引数のペア tcp/port または udp/port は、TCP プロトコルと関連するポート、または UDP プロトコルと関連するポートのいずれかを使用して、syslog メッセージが送信されるように指定します。UDP または TCP のいずれかを使用して syslog サーバーにデータを送信するように ASA を設定することはできますが、両方を使用するように設定することはできません。プロトコルを指定しない場合、デフォルトのプロトコルは UDP です。

     TCP を指定すると、ASA は syslog サーバーの障害を検出し、セキュリティ保護として ASA 経由の新しい接続をブロックします。TCP syslog サーバーへの接続状態に関係なく新しい接続を許可するには、ステップ b を参照してください。UDP を指定すると、syslog サーバーが動作状態に関係なく、Cisco ASA は新しい接続を許可し続けます。有効なポート値

     （注）	Cisco ASA メッセージを 2 台の別の syslog サーバーに送信する場合は、もう一方の syslog サーバーの適切なインターフェイス、IP アドレス、プロトコル、およびポートを使用して、2 番目の logging host コマンドを実行できます。

2. （任意）TCP 経由で SEC にイベントを送信していて、SEC がダウンしているか、Cisco ASA のログキューがいっぱいの場合、新しい接続はブロックされます。新しい接続は、syslog サーバーがバック アップされ、ログ キューがいっぱいでなくなった後に再度許可されます。TCP syslog サーバーへの接続の状態に関係なく新しい接続を許可するには、次のコマンドを使用して、TCP 接続された syslog サーバーがダウンしたときに新しい接続をブロックする機能を無効にします。

   logging permit-hostdown

   例：

    > logging permit-hostdown 

例：

> logging trap 3 
> logging trap asa_syslogs_to_cloud 

重大度として、値（1 ～ 7）または名前を指定できます。たとえば重大度を 3 に設定すると、ASA は、重大度が 3、2、および 1 の syslog メッセージを送信します。

message_list 引数は、カスタムイベントリストを作成した場合、そのリストの名前に置き換えられます。カスタムイベントリストの指定に必要な操作は、そのリストにある syslog メッセージを Secure Event Connector に送信することだけです。上記の例では、asa_syslogs_to_cloud がイベントリストの名前です。

message_list を使用すると、Cisco Cloud に送信する syslog メッセージを明確に指定できるため、費用を節約できます。

message_list を作成するには、「カスタムイベントリストの作成」を参照してください。詳細については、セキュリティ分析とロギング ライセンス を参照してください。

logging timestamp コマンドを使用して、Cisco ASA での syslog メッセージの発信日時をメッセージに追加します。タイムスタンプの値は SyslogTimestamp フィールドに表示されます。

例：

> logging timestamp 

<166>2018-06-27T12:17:46Z asa : %ASA-6-110002: Failed to locate egress interface for protocol from src interface :src IP/src port to dest IP/dest port. 

デバイス ID は、syslog メッセージに挿入できる識別子で、特定の Cisco ASA から送信されたすべての syslog メッセージを簡単に区別できます。詳細については、「非 EMBLEM 形式の Syslog メッセージにデバイス ID を含める」を参照してください。

アクセス制御ルールによってリソースへのアクセスが拒否されると、イベントが自動的にログに記録されます。アクセス制御ルールによってリソースへのアクセスが許可されたときに生成されたイベントもログに記録する場合は、アクセス制御ルールのロギングをオンにして、シビラティ（重大度）タイプを設定する必要があります。個々のネットワークアクセス制御ルールのロギングをオンにする方法については、「ログルールアクティビティ」を参照してください。

コマンドプロンプトで、「logging enable」と入力します。Cisco ASA では、個々のルールではなく、デバイス全体に対してロギングが有効になります。

例：

 > logging enable 

コマンドプロンプトで、「write memory」と入力します。Cisco ASA では、個々のルールではなく、デバイス全体に対してロギングが有効になります。

例：

> write memory 

name 引数には、リストの名前を指定します。キーワードと引数のペア level level により、シビラティ（重大度）が指定されます。キーワードと引数のペア class message_class により、特定のメッセージクラスが指定されます。キーワードと引数のペア message start_id [-end_id] により、個々の syslog メッセージ番号または番号の範囲が指定されます。

• シビラティ（重大度）に基づいてイベントリストに syslog メッセージを追加します。たとえば重大度を 3 に設定すると、ASA は、重大度が 3、2、および 1 の syslog メッセージを送信します。

  例：

  > logging list asa_syslogs_to_cloud level 3 

• 他の基準に基づいて syslog メッセージをイベントリストに追加します。

  前回の手順で使用したものと同じコマンドを入力し、既存のメッセージ リストの名前と追加基準を指定します。リストに追加する基準ごとに、新しいコマンドを入力します。たとえば、リストに追加される syslog メッセージの基準として、次の基準を指定できます。

  • ID が 302013 ～ 302018 の範囲の syslog メッセージ。

  • シビラティ（重大度）が critical 以上（emergency、alert、または critical）のすべての syslog メッセージ。

  • シビラティ（重大度）が warning 以上（emergency、alert、critical、error、または warning）のすべての HA クラス syslog メッセージ。

    例：

    > logging list asa_syslogs_to_cloud message 302013-302018 
    > logging list asa_syslogs_to_cloud level critical 
    > logging list asa_syslogs_to_cloud level warning class ha 

    （注）	syslog メッセージは、これらの条件のいずれかを満たす場合にログに記録されます。syslog メッセージが複数の条件を満たす場合、そのメッセージは一度だけログに記録されます。

コマンドプロンプトで、「write memory」と入力します。

例：

> write memory

例：

> logging device-id hostname 
> logging device-id context-name 
> logging device-id string Cambridge 

context-name キーワードは、現在のコンテキストの名前を装置 ID として使用することを示します（マルチコンテキスト モードにだけ適用されます）。マルチ コンテキスト モードの管理コンテキストでデバイス ID のロギングをイネーブルにすると、そのシステム実行スペースで生成されるメッセージはシステムのデバイス ID を使用し、管理コンテキストで生成されるメッセージは管理コンテキストの名前をデバイス ID として使用します。

Cluster-id キーワードは、デバイス ID として、クラスタの個別の ASA ユニットのブート設定に一意の名前を指定します。

hostnameキーワードは、ASA のホスト名をデバイス ID として使用するように指定します。

ipaddress interface_name キーワード引数のペアは、interface_name として指定されたインターフェイスの IP アドレスをデバイス ID として使用することを指定します。ipaddress キーワードを使用すると、syslog メッセージの送信元となるインターフェイスに関係なく、そのデバイス ID は指定された ASA のインターフェイス IP アドレスとなります。クラスタ環境では、system キーワードは、デバイス ID がインターフェイスのシステム IP アドレスとなることを指定します。このキーワードにより、デバイスから送信されるすべての syslog メッセージに単一の一貫したデバイス ID を指定できます。

string text キーワード引数のペアは、テキスト文字列をデバイス ID として使用することを指定します。文字列の長さは、最大で 16 文字です。

空白スペースを入れたり、次の文字を使用したりすることはできません。

• &（アンパサンド）

• '（一重引用符）

• "（二重引用符）

• <（小なり記号）

• >（大なり記号）

• ? （疑問符）

コマンドプロンプトで、「write memory」と入力します。

例：

  > write memory 

以下の例の出力では、global_policy はグローバルポリシーの名前です。

例：

> show running-config service-policy

service-policy global_policy global