Inhoud

Inleiding

Voorwaarden

Vereisten

Gebruikte componenten

Achtergrondinformatie

Configureren

Correlatieregels instellen

Waarschuwingen configureren

Correlatiebeleid configureren

Inleiding

Dit document beschrijft de procedure om een Correlatiebeleid te configureren voor het verbinden van gebeurtenissen en het detecteren van anomalieën in uw netwerk.

Voorwaarden

Vereisten

Cisco raadt u aan kennis te hebben van deze producten:

- Secure Firewall Management Center (FMC)

- Secure Firewall Threat Defence (FTD)

Gebruikte componenten

De informatie in dit document is gebaseerd op de volgende software- en hardware-versies:

- Firepower Threat Defence voor VMware versie 7.6.0

De informatie in dit document is gebaseerd op de apparaten in een specifieke laboratoriumomgeving. Alle apparaten die in dit document worden beschreven, hadden een opgeschoonde (standaard)configuratie. Als uw netwerk live is, moet u zorgen dat u de potentiële impact van elke opdracht begrijpt.

Achtergrondinformatie

Correlatiebeleid wordt gebruikt om potentiële beveiligingsbedreigingen op uw netwerk te identificeren door verschillende soorten gebeurtenissen te configureren en wordt gebruikt voor herstel, voorwaardelijke waarschuwingen en verkeersbeleid.

Configureren

Correlatieregels instellen

Stap 1. Blader naar Beleid > Correlatie en selecteer Regelbeheer.

Afbeelding 1. Navigatie naar het menu van het correlatiebeleid

Stap 2. Maak een nieuwe regel door Regel maken te selecteren.

Afbeelding 2. Regelaanmaak op het menu Regelbeheer

Stap 3. Selecteer een type gebeurtenis en de voorwaarden om aan de regel te voldoen.

Wanneer uw regel meerdere voorwaarden bevat, moet u deze koppelen aan EN of een OR-operator.

Afbeelding 3. Menu Regelaanmaak

Opmerking: Correlatieregels mogen niet generiek zijn, als de regel constant wordt geactiveerd door normaal verkeer, kan dit extra CPU verbruiken en de prestaties van FMC beïnvloeden.

Waarschuwingen configureren

Stap 1. Ga naar Beleid > Acties > Waarschuwingen.

Afbeelding 4. Navigatie naar het menu Waarschuwingen

Stap 2. Selecteer Waarschuwing maken en maak een Syslog-, SNMP- of e-mailwaarschuwing.

Afbeelding 5. Waarschuwing maken

Stap 3. Controleer of de waarschuwing is ingeschakeld.

Correlatiebeleid configureren

Stap 1. Ga naar Beleid > Correlatie.

Navigatie naar het menu van het correlatiebeleid

Afbeelding 6. Navigatie naar het menu van het correlatiebeleid

Stap 2. Creëer een nieuw correlatiebeleid. Selecteer de standaardprioriteit. Gebruik Geen om de prioriteiten van de specifieke regels te gebruiken.

Afbeelding 7. Nieuw correlatiebeleid maken

Stap 3. Voeg regels toe aan het beleid door Regels toevoegen te selecteren.

Afbeelding 8. Regels toevoegen en prioriteit voor correlatiebeleid selecteren

Afbeelding 9. Selecteer Regels om aan het correlatiebeleid toe te voegen

Stap 4. Wijs een reactie op de regel toe uit de waarschuwingen die u hebt aangemaakt, dus wanneer deze wordt geactiveerd, wordt het geselecteerde waarschuwingstype verzonden.

Afbeelding 10. Knop Antwoorden toevoegen

Afbeelding 11. Antwoorden toewijzen aan correlatieregel

Stap 5. Sla uw correlatiebeleid op en schakel dit in.

Afbeelding 12. Correcte toevoeging aan de correlatieregel

Afbeelding 13. Correlatiebeleid inschakelen