목차

소개

사전 요구 사항

요구 사항

사용되는 구성 요소

UDP 514 또는 사용자 정의 포트를 통해 SNA에 syslog 구성

1.SNA 응답 관리

2. UDP 포트를 통해 SNA Syslog를 수신하도록 Splunk 구성

TCP 포트 6514 또는 사용자 정의 포트를 통해 SNA에서 syslog 구성

1. TCP 포트를 통해 SNA 감사 로그를 수신하도록 Splunk 구성

2. Splunk용 인증서 생성

3. SNA에서 감사 로그 대상 구성

문제 해결

소개

이 문서에서는 syslog를 통해 Splunk와 같은 서드파티에 이벤트를 전송하도록 보안 분석 응답 관리 기능을 구성하는 방법에 대해 설명합니다.

사전 요구 사항

요구 사항

다음 주제에 대한 지식을 보유하고 있으면 유용합니다.

- 보안 네트워크 분석 응답 관리.

- Splunk Syslog

사용되는 구성 요소

이 문서의 정보는 특정 랩 환경의 디바이스를 토대로 작성되었습니다. 이 문서에 사용된 모든 디바이스는 초기화된(기본) 컨피그레이션으로 시작되었습니다. 현재 네트워크가 작동 중인 경우 모든 명령의 잠재적인 영향을 미리 숙지하시기 바랍니다.

- 하나 이상의 Manager 어플라이언스와 하나의 Flow Collector 어플라이언스가 포함된 SNA(Secure Network Analytics) 구축.

- Splunk 서버가 설치되어 있으며 443개 포트를 통해 액세스할 수 있습니다.

UDP 514 또는 사용자 정의 포트를 통해 SNA에 syslog 구성

팁: SNA와 Splunk 사이의 방화벽 또는 중간 디바이스에서 syslog에 대해 선택한 UDP/514,TCP/6514 또는 사용자 지정 포트가 허용되는지 확인합니다.

1.SNA 응답 관리

SA(Secure Analytics)의 응답 관리 구성 요소를 사용하여 규칙, 작업 및 syslog 대상을 구성할 수 있습니다.

이러한 옵션은 Secure Analytics 경보를 다른 대상으로 전송/전달하도록 구성해야 합니다.

1단계: SA Manager Appliance에 로그인하고 Configure(구성) > Detection Response Management(탐지 응답 관리)로 이동합니다.

2단계: 새 페이지에서 Actions(작업) 탭으로 이동하여 기본 Send to Syslog(Syslog로 보내기) 행 항목을 찾고 Action(작업) 열에서 줄임표(...)를 클릭한 다음 Edit(수정)를 클릭합니다.

3단계: Syslog Server Address 필드에 원하는 목적지 주소를 입력하고, UDP Port 필드에 원하는 목적지 수신 포트를 입력합니다. 메시지 형식에서 CEF를 선택합니다.

4단계: 완료되면 오른쪽 상단의 파란색 Save(저장) 버튼을 클릭합니다.

팁: syslog의 기본 UDP 포트는 514입니다

2. UDP 포트를 통해 SNA Syslog를 수신하도록 Splunk 구성

Secure Network Analytics Manager 웹 UI에서 변경 사항을 적용한 후 Splunk에서 데이터 입력을 구성해야 합니다.

1단계: Splunk에 로그인하고 Settings(설정) > Add Data(데이터 추가) > DATA Data Inputs(데이터 입력)로 이동합니다.

2단계: UDP 회선을 찾고 +Add new(+새로 추가)를 선택합니다.

3단계: 새 페이지에서 UDP를 선택하고 Port(포트) 필드에 수신 포트(예: 514)를 입력합니다.

4단계: Source name override(소스 이름 재정의) 필드에 desired name of source.

5단계: 완료되면 창 상단의 녹색 다음 > 버튼을 클릭합니다.

6단계: 다음 페이지에서 [새로 만들기]로 전환한 다음 [소스 유형] 필드를 찾아 다음을 입력합니다 desired source .

7단계: 메서드의 IP를 선택합니다.

8단계: 화면 상단의 녹색 Review(검토) > 버튼을 클릭합니다.

9단계: 다음 창에서 설정을 검토하고 필요한 경우 수정합니다.

10단계: 검증이 완료되면 창 상단에서 녹색 Submit > 버튼을 클릭합니다.

11단계: 웹 UI에서 Apps(앱) > Search & Reporting(검색 및 보고)으로 이동합니다.

12단계: Search(검색) 페이지에서 필터를 사용하여source="As_configured" sourcetype="As_configured"수신된 로그를 찾습니다.

참고: 소스에 대해서는 4단계를 참조하십시오.

source_type의 경우 6단계를 참조하십시오.

TCP 포트 6514 또는 사용자 정의 포트를 통해 SNA에서 syslog 구성

1. TCP 포트를 통해 SNA 감사 로그를 수신하도록 Splunk 구성

1단계: Splunk UI에서 Settings(설정) > Add Data(데이터 추가) > DATA Data Inputs(데이터 입력)로 이동합니다.

2단계: TCP 행을 찾고 + Add new(새로 추가)를 선택합니다.

3단계: 새 창에서 TCP를 선택하고, 원하는 수신 포트를 예제 이미지 포트 6514에 입력하고, Source name override 필드에 "desired name"을 입력합니다.

참고: TCP 6514는 TLS를 통한 syslog의 기본 포트입니다

4단계: 완료되면 창 상단의 녹색 다음 > 버튼을 클릭합니다.

5단계: 새 창의 소스 유형 섹션에서 새로 만들기를 선택하고 소스 유형 필드에 원하는 이름을 입력합니다.

6단계: Host(호스트) 섹션에서 Method(메서드)에 대한 IP를 선택합니다.

7단계: 완료되면 창 상단의 녹색 검토 > 버튼을 선택합니다.

8단계: 다음 창에서 설정을 검토하고 필요한 경우 수정합니다. 검증이 완료되면 창 상단의 녹색 Submit(제출) > 버튼을 클릭합니다.

2. Splunk용 인증서 생성

1단계: openssl이 설치된 시스템을 사용하여 명령을 실행하고sudo openssl req -x509 -newkey rsa:4096 -keyout server_key.pem -out server_cert.pem -sha256 -days 3650 -subj /CN=10.106.127.410.106.127.4의 예 IP를 Splunk 디바이스의 IP로 교체합니다. 사용자 정의 암호를 입력하라는 메시지가 두 번 표시됩니다. 이 예에서는 Splunk 시스템의 명령줄에서 명령을 실행합니다.

user@examplehost: sudo openssl req -x509 -newkey rsa:4096 -keyout server_key.pem -out server_cert.pem -sha256 -days 3650 -subj /CN=10.106.127.4

..+...+..+.+...+..+............+...............+.+.....+.+......+..+.+...........+...+++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++*..+.........+++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++*..+......+..............+...+.+......+........+............................+..+...+....+...............+........+......+.+...+...+........+......+...+.+.....+...................+...........+......+.+.....+.........+....+.........+......+......+.....+.+........+............+.......+........+..........+........+....+..+....+......+.....+.............+.....+.......+........+......+.........+...+....+...+..+..........+.....+......+...+.........+.+.........+.....+......+.........+...............+............+....+.....+.+...+...+............+...............+.....+.+..............+.+.........+...+...+.........+.....+.+.....................+...+...........+.......+.....+...............+.........+....+......+...+...+.....+..........+..+................+.....................+.........+..+...+....+......+.................+...+.......+..+...............+......+.+.....+..........+.....+......+....+......+........+.......+....................+++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++

....+.......+..+...+...+.+......+...+.........+............+.....+....+..+...+....+...+...+.........+...+..+.......+........+............+.+.....+....+.........+..+.........+....+..+....+........+...+.......+...+...+..+...+.+...+..+....+.....+.......+........+......+.+..+......+....+......+++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++*.......+...+.....+++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++*.......+.+......+..............+.........+.....................+.......+.....+....+..............+.........+.......+...+.......................+....+...+..+.+.........+.........+......+...........+...+...............+.........+.+......+.........+.....................+.....+.........+.......+...............+........+.+....................+.+..+.+....................+.+...........+...+.+...+.....+.............+...+..+...+....+++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++

Enter PEM pass phrase:

Verifying - Enter PEM pass phrase:

-----

user@examplehost:

명령이 완료되면 두 개의 파일이 생성됩니다. server_cert.pem 및 server_key.pem 파일

user@examplehost: ll server*

-rw-r--r-- 1 root root 1814 Dec 20 19:02 server_cert.pem

-rw------- 1 root root 3414 Dec 20 19:02 server_key.pem

user@examplehost:

2단계: 루트 사용자로 전환합니다.

user@examplehost:~$ sudo su

[sudo] password for examplehost:

3단계: 새로 생성된 인증서를에 /opt/splunk/etc/auth/ 복사합니다.

user@examplehost:~# cat /home/examplehost/server_cert.pem > /opt/splunk/etc/auth/splunkweb.cer

4단계: 개인 키와 함께 spunkweb.cet 파일을 추가합니다.

user@examplehost:~# cat /home/examplehost/server_key.pem >> /opt/splunk/etc/auth/splunkweb.cer

5단계: splunk 인증서의 소유권을 변경합니다.

user@examplehost:~# chown 10777:10777/opt/splunk/etc/auth/splunkweb.cer

6단계: splunk 인증서에 대한 권한을 변경합니다.

user@examplehost:~# chmod 600/opt/splunk/etc/auth/splunkweb.cer

7단계: 새 input.conf 파일을 만듭니다.

user@examplehost:~# vim /opt/splunk/etc/system/local/inputs

8단계: 검색을 사용하여 syslog를 확인합니다.

3. SNA에서 감사 로그 대상 구성

1단계: SMC UI에 로그인하고 Configure(구성) > Central Management(중앙 관리)로 이동합니다.

2단계: 원하는 SNA 어플라이언스의 생략 기호 아이콘을 클릭하고 Edit Appliance Configuration(어플라이언스 컨피그레이션 수정)을 선택합니다.

3단계: Network Services(네트워크 서비스) 탭으로 이동하고 Audit Log Destination (Syslog over TLS) 세부 정보를 입력합니다.

4단계: General(일반) 탭으로 이동하고 아래쪽으로 스크롤하여 Add new(새로 추가)를 클릭하여 이전에 생성한 server_cert.pem이라는 Splunk 인증서를 업로드합니다.

5단계: Apply settings(설정 적용)를 클릭합니다.

문제 해결

수색 중에 완전한 횡설수설적인 것이 나타날 수도 있다.

해결책:

입력을 올바른 소스 유형에 매핑합니다.