In dit document wordt de configuratie van logboekregistratie voor Firepower Threat Defense (FTD) via Firepower Management Center (FMC) beschreven.
Cisco raadt kennis van de volgende onderwerpen aan:
De informatie in dit document is gebaseerd op de volgende software- en hardware-versies:
De informatie in dit document is gebaseerd op de apparaten in een specifieke laboratoriumomgeving. Alle apparaten die in dit document worden beschreven, hadden een opgeschoonde (standaard)configuratie. Als uw netwerk live is, moet u zorgen dat u de potentiële impact van elke opdracht begrijpt.
De FTD-systeemlogboeken bieden u informatie om het FTD-toestel te bewaken en problemen op te lossen. Deze logboeken zijn nuttig voor zowel routinematige probleemoplossing als incidentafhandeling. FTD-apparaat ondersteunt zowel lokale als externe logboekregistratie.
Lokale logboekregistratie kan helpen bij het oplossen van live problemen, terwijl externe logboekregistratie een methode is voor het verzamelen van logs van het FTD-toestel naar een externe Syslog-server. Logboekregistratie op een centrale server helpt bij het aggregeren van logs en waarschuwingen. Externe logboekregistratie kan helpen bij de correlatie van logbestanden en de afhandeling van incidenten.
Voor lokale logboekregistratie ondersteunt het FTD-toestel console, interne bufferopties en de SSH-sessielogboekregistratie (Secure Shell). Voor externe logboekregistratie ondersteunt het FTD-toestel de externe Syslog-server en e-mailrelayserver.
1. Alle logboekgerelateerde configuraties kunnen worden geconfigureerd wanneer u naar het tabblad Platforminstellingen navigeert onder het tabblad Apparaten. Kies Apparaten > Platforminstellingen zoals weergegeven in deze afbeelding:

2. Klik op het potloodpictogram om het bestaande beleid te bewerken of klik op Nieuw beleid, en kies Instellingen voor bedreigingsbeveiliging om een nieuw FTD-beleid te maken:

3. Kies het FTD-toestel om het beleid toe te passen en klik op Opslaan:

Er zijn bepaalde configuraties die van toepassing zijn voor zowel lokale als externe logboekregistratie. In dit gedeelte worden de verplichte en optionele parameters beschreven die voor Syslog kunnen worden geconfigureerd.
1. Instellingsopties voor logboekregistratie zijn van toepassing voor lokale en externe logboekregistratie. Kies Apparaten > Platforminstellingen om de registratie-instelling te configureren.
2. Syslog > Logging SetupKies.

U kunt logboekregistratie inschakelen voor VPN-systemen voor probleemoplossing voor FTD-apparaten. Alle VPN-systemen worden weergegeven met een standaard prioriteitsniveau van fouten of een hogere prioriteit (tenzij gewijzigd). U kunt VPN-logging beheren via FTD-platforminstellingen en de niveaus voor berichternst kunnen worden aangepast door de VPN-loginstellingen voor doelapparaten te bewerken. Als u het VPN-registratieniveau instelt op niveau 4 en hoger (Waarschuwingen, meldingen, informatie of foutopsporing), kan de FMC worden overbelast.
Opmerking: wanneer u een apparaat configureert met site-to-site of externe VPN-toegang, wordt het automatisch mogelijk om standaard VPN-syslogs naar de FMC te verzenden.

Geef FTP-servergegevens op als u logboekgegevens naar een FTP-server wilt verzenden voordat de interne buffer wordt overschreven.
Geef de flashgrootte op om loggegevens op te slaan in Flash zodra de interne buffer vol is.
Klik op Opslaan om de platforminstelling op te slaan. Kies de optie Implementeren en selecteer het FTD-toestel waarop u de wijzigingen wilt toepassen. Klik op Implementeren om de implementatie van de platforminstelling te starten.
Met de optie Gebeurtenislijsten configureren kunt u een gebeurtenislijst maken/bewerken en opgeven welke logboekgegevens moeten worden opgenomen in het gebeurtenislijstfilter. Gebeurtenislijsten kunnen worden gebruikt wanneer u Logboekfilters configureert onder Logboekbestemmingen.
Het systeem biedt twee opties om de functionaliteit van aangepaste gebeurtenislijsten te gebruiken.
1. Als u aangepaste gebeurtenislijsten wilt configureren, kiest u Apparaat > Platforminstelling > Beleid ter bescherming tegen bedreigingen > Syslog > Gebeurtenislijst en klikt u op Toevoegen. Dit zijn de opties:

2. Klik op OK om de configuratie op te slaan.
3. Klik op Opslaan om de platforminstelling op te slaan. Kies om te implementeren, selecteer het FTD-toestel waarop u de wijzigingen wilt toepassen. Klik op Implementeren om de implementatie van de platforminstelling te starten.
De optie Snelheidslimiet definieert het aantal berichten dat naar alle geconfigureerde bestemmingen kan worden verzonden en definieert de ernst van het bericht dat u aan snelheidslimieten wilt toewijzen.
1. Kies Apparaat > Platforminstelling > Beleid ter bescherming tegen bedreigingen > Syslog > Snelheidslimiet om snelheidslimieten voor syslogs te configureren. U hebt twee opties waar u de tarieflimiet kunt opgeven:
2. Kies Logboekniveau en klik op Toevoegen om de op logboekniveau gebaseerde snelheidslimiet in te schakelen.
De snelheid van syslog is het aantal berichten / intervallen.

3. Klik op OK om de configuratie van het logboekniveau op te slaan.
4. Als u de op Syslog-niveau gebaseerde snelheidslimiet wilt inschakelen, kiest u Syslog-niveau en klikt u op Toevoegen.
De snelheid van syslog is het aantal berichten / interval.

5. Klik OK hierop om de configuratie op Syslog-niveau op te slaan.
6. Klik op Opslaan om de platforminstelling op te slaan. Kies om te implementeren en selecteer vervolgens het FTD-toestel waarop u de wijzigingen wilt toepassen. Klik op Implementeren om de implementatie van de platforminstelling te starten.
Syslog-instellingen maken het mogelijk om de instellingen van de faciliteit in de Syslog-berichten op te nemen. U kunt de tijdstempel opnemen in logboekberichten en andere Syslog-serverspecifieke parameters.
1. Als u aangepaste gebeurtenislijsten wilt configureren, kiest u Apparaat > Platforminstelling > Beleid ter bescherming tegen bedreigingen > Syslog > Syslog-instellingen.

2. Klik op Opslaan om de platforminstelling op te slaan. Kies om te implementeren en selecteer vervolgens het FTD-toestel waarop u de wijzigingen wilt toepassen. Klik op Implementeren om de implementatie van de platforminstelling te starten.
De sectie Logboekbestemming kan worden gebruikt om de logboekregistratie naar specifieke bestemmingen te configureren.
De beschikbare interne logboekbestemmingen zijn:
Er zijn drie stappen om Local Logging te configureren.
1. Kies Apparaat > Platforminstelling > Beleid voor afweer tegen bedreigingen > Syslog > Logboekbestemmingen.
2. Klik op Toevoegen om een logboekfilter toe te voegen voor een specifieke logboekbestemming.
3. Logboekbestemming: Kies de gewenste logboekbestemming in de vervolgkeuzelijst Logboekbestemming als interne buffer-, console- of SSH-sessies.
Gebeurtenisklasse: Kies een klasse Gebeurtenis in de vervolgkeuzelijst Gebeurtenisklasse. Gebeurtenisklassen zijn een reeks syslogs die dezelfde functies vertegenwoordigen. Gebeurtenisklassen kunnen op drie manieren worden geselecteerd:
Logniveau: Kies het logniveau in de vervolgkeuzelijst. Het logboekniveau varieert van 0 (noodgevallen) tot 7 (foutopsporing).

4. Klik op Toevoegen om een afzonderlijke klasse Event aan dit logboekfilter toe te voegen.
Event Class: Kies de Event Class uit de vervolgkeuzelijst Event Class.
Syslog-ernst: Kies de Syslog-ernst in de vervolgkeuzelijst Syslog-ernst.

5. Klik op OK zodra het filter is geconfigureerd om het filter toe te voegen voor een specifieke logboekbestemming.
6. Klik op Opslaan om de platforminstelling op te slaan. Kies Implementeren, kies het FTD-toestel waarop u de wijzigingen wilt toepassen. Klik op Implementeren om de implementatie van de platforminstelling te starten.
Als u externe logboekregistratie wilt configureren, kiest u Apparaat > Platforminstelling > Beleid ter bescherming tegen bedreigingen > Syslog > Logboekbestemmingen.
FTD ondersteunt dit soort externe logging.
De configuratie voor de externe logboekregistratie en interne logboekregistratie is hetzelfde. De selectie van logboekbestemmingen bepaalt het type logboekregistratie dat wordt geïmplementeerd. Het is mogelijk om gebeurtenisklassen op basis van aangepaste gebeurtenislijsten te configureren voor de externe server.
Syslog-servers kunnen worden geconfigureerd om logboeken op afstand te analyseren en op te slaan vanuit de FTD. Er zijn drie stappen voor het configureren van externe Syslog-servers.
1. Kies Apparaat > Platforminstelling > Beleid ter bescherming tegen bedreigingen > Syslog > Syslog-servers.
2. Configureer de Syslog-servergerelateerde parameter.
3. Laat gebruikersverkeer passeren wanneer de TCP-syslog-server is uitgeschakeld. Als een TCP Syslog-server in het netwerk is geïmplementeerd en deze niet bereikbaar is, wordt het netwerkverkeer via de ASA geweigerd. Dit is alleen van toepassing als het transportprotocol tussen de ASA en de Syslog-server TCP is. Schakel het selectievakje Gebruikersverkeer toestaan door te geven wanneer de TCP-syslog-server is uitgeschakeld om verkeer door de interface te laten gaan wanneer de Syslog-server is uitgeschakeld.
4. Grootte van de berichtenwachtrij: De grootte van de berichtenwachtrij is het aantal berichten dat in de FTD in de wachtrij staat wanneer de externe Syslog-server bezig is en geen logboekberichten accepteert. De standaard is 512 berichten en het minimum is 1 bericht. Als 0 is opgegeven in deze optie, wordt de grootte van de wachtrij als onbeperkt beschouwd.

5. Klik op Toevoegen om externe Syslog-servers toe te voegen.
IP-adres: Kies in de vervolgkeuzelijst IP-adres een netwerkobject waarop de Syslog-servers worden vermeld. Als u geen netwerkobject hebt gemaakt, klikt u op het pictogram plus (+) om een nieuw object te maken.
Protocol: Klik op het keuzerondje TCP of UDP voor Syslog-communicatie.
Poort: Voer het poortnummer van de Syslog-server in. Standaard is dit 514.
Logberichten in Cisco EMBLEM-indeling (alleen UDP): Klik op het selectievakje Logberichten in Cisco EMBLEM-indeling (alleen UDP) om deze optie in te schakelen. Als het nodig is om berichten in de Cisco EMBLEM-indeling te registreren (dit is alleen van toepassing voor UDP-gebaseerde Syslog.)
Beschikbare zones: Voer de beveiligingszones in waarover de Syslog-server bereikbaar is en verplaats deze naar de kolom Geselecteerde zones/interfaces.

6. Klik op OK en Save om de configuratie op te slaan.
7. Klik op Opslaan om de platforminstelling op te slaan. Kies Implementeren en selecteer het FTD-toestel waarop u de wijzigingen wilt toepassen. Klik op Implementeren om de implementatie van de platforminstelling te starten.
Met FTD kunt u de Syslog naar een specifiek e-mailadres verzenden. E-mail kan alleen als logboekbestemming worden gebruikt als er al een e-mailrelayserver is geconfigureerd.
Er zijn twee stappen voor het configureren van e-mailinstellingen voor de Syslogs.
1. Kies Apparaat > Platforminstelling > Beleid voor afweer tegen bedreigingen > Syslog > E-mailinstellingen.
E-mailadres bron: Voer het e-mailadres bron in dat wordt weergegeven op alle e-mails die vanuit FTD worden verzonden en die de Syslogs bevatten.

2. Klik op Toevoegen om het e-mailadres van de bestemming en de ernst van de syslog te configureren.
E-mailadres bestemming: Voer het e-mailadres van bestemming in waarop Syslog-berichten worden verzonden.
Syslog-ernst: Kies de Syslog-ernst in de vervolgkeuzelijst Syslog-ernst.

3. Klik op OK om de configuratie op te slaan.
4. Klik op Opslaan om de platforminstelling op te slaan. Kies Implementeren en selecteer het FTD-toestel waarop u de wijzigingen wilt toepassen. Klik op Implementeren om de implementatie van de platforminstelling te starten.
Er is momenteel geen verificatieprocedure beschikbaar voor deze configuratie.
Deze sectie bevat informatie waarmee u problemen met de configuratie kunt oplossen.
Controleer de FTD Syslog-configuratie in de FTD CLI. Meld u aan bij de beheerinterface van de FTD en voer de opdracht Systeemondersteuning diagnostische-cli uit om de console in de diagnostische CLI te plaatsen.
> system support diagnostic-cli Attaching to ASA console ... Press 'Ctrl+a then d' to detach. Type help or '?' for a list of available commands. ><Press Enter> firepower# sh run logging logging enable logging console emergencies logging buffered debugging logging host inside 192.168.0.192 logging flash-minimum-free 1024 logging flash-maximum-allocation 3076 logging permit-hostdown
Zorg ervoor dat de Syslog-server bereikbaar is vanaf de FTD. Meld u aan bij de FTD-beheerinterface via SSH en controleer de connectiviteit met de ping-opdracht.
Copyright 2004-2016, Cisco and/or its affiliates. All rights reserved. Cisco is a registered trademark of Cisco Systems, Inc. All other trademarks are property of their respective owners. Cisco Fire Linux OS v6.0.1 (build 37) Cisco Firepower Threat Defense for VMWare v6.0.1 (build 1213) > system support diagnostic-cli Attaching to ASA console ... Press 'Ctrl+a then d' to detach. Type help or '?' for a list of available commands. firepower> en Password: firepower# ping 192.168.0.192
U kunt een pakketopname maken om de connectiviteit tussen de FTD en de Syslog-server te verifiëren. Meld u aan bij de FTD-beheerinterface via SSH en voer de opdracht Diagnostic-cli voor systeemondersteuning uit. Raadpleeg voor de opdrachten voor pakketopname het voorbeeld ASA Packet Captures met CLI en ASDM Configuration.
Zorg ervoor dat de beleidsimplementatie met succes wordt toegepast.
| Revisie | Publicatiedatum | Opmerkingen |
|---|---|---|
5.0 |
22-Jul-2026
|
Bijgewerkte spelling, grammatica, ingevoegde horizontale lijnen om secties te scheiden voor leesbaarheid, bijgewerkte alt-tekst en CCW-waarschuwingen. |
4.0 |
23-Aug-2024
|
Verminderde introductie tot aanvaardbare lengte. Gecorrigeerde merkvereisten. Bijgewerkt gebroken links en 'openen in nieuwe pagina'. |
3.0 |
10-Jul-2023
|
hercertificering |
2.0 |
15-Jun-2022
|
Bewerkte content voor de duidelijkheid. Afbeelding toegevoegd aan "Achtergrondinformatie." Bijgewerkt IP-adres naar privé-IP-adres. |
1.0 |
13-May-2016
|
Eerste vrijgave |