Contents

Introduction

Prerequisites

Requirements

Componentes Utilizados

Informações de Apoio

Cisco AnyConnect Secure Mobility Client - Mais que VPN

Exportação de Informações de Fluxo de Protocolo Internet (IPFIX - Internet Protocol Flow Information Export)

Coletor NVM IPFIX

Splunk Enterprise

Visão geral da implantação

Topologia

Configurar

Configurar NVM para suporte DTLS

Requisitos de certificado

Configuração do AnyConnect (4.9.3043 e posterior)

Módulo independente AnyConnect NVM

Perfil do cliente AnyConnect NVM

Configurar o perfil do cliente NVM via ASDM

Configurar o perfil do cliente NVM através do Editor de perfis do AnyConnect

Configurar a implantação da Web no Cisco ASA

Configurar a implantação da Web no Cisco ISE

Detecção de rede confiável

Implantar

Etapa 1. Configurar o AnyConnect NVM no Cisco ASA/ISE

Etapa 2. Configurar o componente coletor IPFIX (coletor NVM do AnyConnect)

Como instalar o coletor

Suporte a DTLS

Etapa 3. Configurar o tronco com o painel CESA e o complemento TA

Instalação

Habilitar entradas UDP por meio da IU de gerenciamento de tronco

Verificar

Validar a instalação do AnyConnect NVM

Validar o status do coletor

Validar tronco - Painel CESA

Fluxo de pacote

Modelos de fluxo

Troubleshoot

Cliente AnyConnect (Módulo NVM)

Os dados não são reportados ao coletor e os pacotes de dados não são enviados do endpoint

TND (Trusted Network Detection, detecção de rede confiável)

Ferramentas de diagnóstico e relatórios do AnyConnect (DART)

Coletor (na máquina Linux/Docker: tudo em um ou autônomo)

falha ao instalar o acnvmcollector

acnvmcollector Falha ao Iniciar

Logs do coletor - Onde posso definir a depuração?

Como posso encontrar o número da versão do coletor?

Problemas de DTLS

O console de divisão (painel CESA) não mostra dados

Cliente AnyConnect

Caixa do coletor

Perguntas frequentes (FAQs)

Como você pode enviar dados do AnyConnect NVM para vários destinos?

Onde você armazena o certificado para o AnyConnect NVM DTLS?

Nomes de arquivos XML

Coletor (AnyConnect NVM)

Versão recomendada

Informações Relacionadas

Introduction

Este documento descreve como instalar e configurar o Cisco AnyConnect Network Visibility Module (NVM) em um sistema de usuário final que executa o AnyConnect 4.7.x ou posterior e como instalar e configurar os componentes associados do Splunk Enterprise e do NVM Collector.

Prerequisites

Requirements

A Cisco recomenda que você tenha conhecimento destes tópicos:

- AnyConnect 4.7.x ou posterior com NVM

- Licenciamento do AnyConnect

- Adaptive Security Device Manager (ASDM) 7.5.1 ou posterior

- Familiaridade com o Splunk Enterprise e como instalar aplicativos e complementos Splunk

Componentes Utilizados

As informações neste documento são baseadas nestas versões de software e hardware:

- Cisco AnyConnect Security Mobility Client 4.7.x ou posterior

- Editor de perfis do Cisco AnyConnect

- Cisco Adaptive Security Appliance (ASA), versão 9.5.2

- Cisco Adaptive Security Device Manager (ASDM), versão 7.5.1

- Splunk Enterprise 7.x ou posterior (instalado como tudo em um em qualquer plataforma Linux compatível; CentOS preferido)

- Qualquer instalação Linux suportada como um dispositivo coletor

Note: Um coletor pode ser executado no mesmo servidor. Consulte Cisco Endpoint Security Analytics (CESA) Built on Splunk Quickstart POV Kit & Deployment Guide para obter mais informações.

The information in this document was created from the devices in a specific lab environment. All of the devices used in this document started with a cleared (default) configuration. Se a rede estiver ativa, certifique-se de que você entenda o impacto potencial de qualquer comando.

Informações de Apoio

O Cisco AnyConnect NVM fornece um feed contínuo de telemetria de endpoint de alto valor que permite que as organizações vejam o comportamento do usuário e do endpoint em sua rede. O NVM coleta fluxos de endpoints dentro e fora do local, juntamente com contextos valiosos como usuários, aplicativos, dispositivos, locais e destinos. O Splunk Enterprise consome os dados de telemetria e fornece os recursos e relatórios de análise.

Esta nota técnica é um exemplo de configuração para o AnyConnect NVM com Splunk Enterprise como parte da nova solução Cisco Endpoint Security Analytics (CESA).

- Para obter uma visão geral completa de prova de valor (POV) do CESA com Splunk, consulte o Cisco Endpoint Security Analytics (CESA) Built on Splunk Quickstart POV Kit & Deployment Guide.

- Para obter um guia para o painel CESA NVM no Splunk, consulte Visão geral e perguntas frequentes do painel do Cisco Endpoint Security Analytics (CESA).

- Para obter mais informações sobre a solução, consulte Cisco Endpoint Security Analytics Built on Splunk.

Esses componentes compõem a solução:

- Cisco AnyConnect Secure Mobility Client com Network Visibility Module (NVM) ativado

- Aplicativo Cisco Endpoint Security Analytics (CESA) para Splunk

- Complemento Cisco Endpoint Security Analytics (CESA) para Splunk

- NVM Collector (incluído em um arquivo zip com o complemento NVM TA)

Cisco AnyConnect Secure Mobility Client - Mais que VPN

O Cisco AnyConnect é um agente unificado que oferece vários serviços de segurança para proteger a empresa. O AnyConnect é mais comumente usado como um cliente VPN corporativo, mas também oferece suporte a módulos adicionais que atendem a diferentes aspectos da segurança corporativa. Os módulos adicionais permitem recursos de segurança como avaliação de postura, segurança da Web, proteção contra malware, visibilidade de rede e muito mais.

Esta nota técnica é sobre o NVM, que se integra ao Cisco AnyConnect para fornecer aos administradores a capacidade de monitorar o uso de aplicativos de endpoint. Para obter mais informações sobre o Cisco AnyConnect, consulte o Cisco AnyConnect Secure Mobility Client Administrator Guide, Release 4.7.

Exportação de Informações de Fluxo de Protocolo Internet (IPFIX - Internet Protocol Flow Information Export)

O IPFIX é um protocolo IETF que define um padrão para a exportação de informações de fluxo IP para várias finalidades, como contabilidade, auditoria e segurança. O IPFIX é baseado no protocolo Cisco NetFlow v9, embora não sejam diretamente compatíveis. O Cisco nvzFlow é uma especificação de protocolo baseada no protocolo IPFIX. Por design, o IPFIX é um protocolo extensível que permite definir novos parâmetros para transmitir informações. O protocolo Cisco nvzFlow estende o padrão IPFIX e define novos Elementos de Informações. O protocolo também define um conjunto padrão de modelos IPFIX que são transmitidos como parte da telemetria usada pelo AnyConnect NVM.

Para obter mais informações sobre IPFIX, consulte estes RFCs:

- rfc5101

- rfc7011

- rfc7012

- rfc7013

- rfc7014

- rfc7015

Coletor NVM IPFIX

Um coletor é um servidor que recebe e armazena dados IPFIX. Em seguida, ele pode alimentar esses dados para o Splunk.

A Cisco fornece um coletor projetado especificamente para o protocolo nvzFlow e é incluído no complemento CESA TA para Splunk. O coletor pode ser instalado na mesma caixa (tudo em um) com o servidor Splunk, no encaminhador pesado ou em uma caixa Linux autônoma.

Para obter informações mais detalhadas sobre o coletor, consulte o Cisco Network Visibility (NVM) Collector.

Splunk Enterprise

O Splunk Enterprise é uma ferramenta poderosa que coleta e analisa dados de diagnóstico para fornecer informações úteis sobre a infraestrutura de TI. Ele fornece um local único para que os administradores coletem dados que os ajudam a entender a integridade da rede.

O Splunk é um parceiro da Cisco e a solução CESA foi criada em colaboração com ele. Para obter mais informações, consulte Cisco Endpoint Security Analytics Built on Splunk.

Visão geral da implantação

Este documento fornece uma visão geral de alto nível da implantação em sua forma mais simples. Esta é uma configuração completa executada no Linux de 64 bits.

Este diagrama mostra a configuração usada para a maioria das demonstrações. Essa configuração também é útil em uma pequena implantação de produção.

Este diagrama mostra um conjunto mais abrangente de opções disponíveis para implantação. Normalmente, uma configuração de produção é distribuída e tem vários nós Splunk Enterprise.

Topologia

Convenções de endereço IP nesta nota técnica:

- Endereço IP do coletor: 192.0.2.123

- Endereço IP do tronco: 192.0.2.113

Configurar

Esta seção aborda a configuração dos componentes do Cisco NVM. Para obter uma visão geral da implantação do AnyConnect NVM e do perfil de configuração, consulte também Como implementar o AnyConnect Network Visibility Module.

Configurar NVM para suporte DTLS

O NVM agora pode ser configurado para enviar dados com segurança ao coletor por DTLS. Esse modo é configurável no NVM Profile Editor. Quando a caixa de seleção 'Seguro' está marcada, o NVM usa DTLS como transporte. Para que a conexão DTLS passe, o certificado do servidor DTLS (coletor) deve ser confiável pelo endpoint. Os certificados não confiáveis são rejeitados silenciosamente. DTLS 1.2 é a versão mínima suportada. O coletor como parte do aplicativo Splunk CESA v3.1.2 ou posterior é necessário para suporte a DTLS. O coletor funciona apenas em um modo: segura ou não segura.

Requisitos de certificado

- O certificado do coletor deve ser confiável pelo cliente. (Verifique se a cadeia de certificados é confiável porque não há configuração no AnyConnect.)

- O certificado deve estar no formato PEM.

- Não suporta uma senha de chave de certificado. Note: O Cisco Identity Services Engine (ISE) Internal Certificate Authority (CA) requer um.

- Qualquer certificado pode ser usado no coletor desde que a máquina cliente AnyConnect confie nele (PKI (Public Key Infrastructure, infraestrutura de chave pública) interna, bem conhecida e assim por diante).

- Após a atualização do arquivo de configuração, o serviço NVM do AnyConnect deve ser reiniciado (para testes de cliente único). Para perfis enviados do ISE ou do Adaptive Security Appliance (ASA), a máquina cliente deve se desconectar da rede e, em seguida, reconectar.

- A configuração do coletor de perfis NVM do AnyConnect deve ser definida como IP ou FQDN. Essa escolha depende do valor usado no Nome Comum (CN) do certificado. O FQDN (Fully Qualified Domain Name, nome de domínio totalmente qualificado) é sempre preferencial em caso de alterações de endereço IP.

- Se você usa um endereço IP, o certificado do coletor CN ou o nome alternativo do assunto (SAN) devem ter esse IP.

- Se você tiver o FQDN como o CN no certificado, o perfil NVM deverá ter o mesmo FQDN que um coletor.

Configuração do AnyConnect (4.9.3043 e posterior)

Para o perfil de NVM, há uma nova caixa de seleção chamada "Secure" (Segura) em Collector IP/port (IP/porta do coletor).

Módulo independente AnyConnect NVM

O módulo autônomo requer o AnyConnect 4.8.01090 ou posterior. Consulte o Cisco AnyConnect Secure Mobility Client Administrator Guide, Release 4.9. Consulte também este guia independente: Como implementar o módulo de visibilidade de rede do AnyConnect.

Se você não tiver uma implantação do AnyConnect ou se usar outra solução de VPN, poderá instalar o pacote independente NVM para suas necessidades de NVM. Este pacote funciona independentemente, mas fornece o mesmo nível de coleta de fluxo de um endpoint que a solução AnyConnect NVM atual. Se você instalar o NVM autônomo, os processos ativos (como o Monitor de atividade no sistema operacional Macintosh (macOS)) indicam o uso.

O NVM autônomo é configurado com o NVM Profile Editor, e a configuração TND (Trusted Network Detection) é obrigatória. O NVM usa a configuração do TND para determinar se o endpoint está na rede corporativa e, em seguida, aplica as políticas apropriadas.

A solução de problemas e o registro ainda são feitos pelo AnyConnect Diagnostic and Reporting Tools (DART), que pode ser instalado a partir do pacote AnyConnect.

Antes da disponibilidade da opção autônoma, o módulo VPN Core tinha que ser instalado para aproveitar o TND. O bloco VPN principal estava visível na interface do usuário (UI), o que poderia confundir os usuários finais, especialmente se eles usassem uma solução VPN de outro fornecedor.

Quando você usa a opção autônoma, não usa o perfil VPN principal para configurar o TND. O perfil NVM agora pode ser configurado diretamente para TND.

Perfil do cliente AnyConnect NVM

A configuração do AnyConnect NVM é salva em um arquivo XML que contém informações sobre o endereço IP do coletor e o número da porta, juntamente com outras informações. O endereço IP do coletor e um número de porta devem ser configurados corretamente no perfil do cliente NVM.

Para a operação correta do módulo NVM, o arquivo XML deve ser colocado neste diretório:

- Para Windows 7 e posterior: %ALLUSERSPROFILE%\Cisco\Cisco AnyConnect Secure Mobility Client\NVM

- Para Mac OSX: /opt/cisco/anyconnect/nvm

Se o perfil estiver presente no Cisco ASA/ISE, ele será implantado automaticamente juntamente com a implantação do AnyConnect NVM.

Exemplo de perfil XML:

<?xml version="1.0" encoding="UTF-8"?>

-<NVMProfile xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance" xsi:noNamespaceSchemaLocation="NVMProfile.xsd">

-<CollectorConfiguration>

<CollectorIP>192.0.2.123</CollectorIP>

<Port>2055</Port>

</CollectorConfiguration>

<Anonymize>false</Anonymize>

<CollectionMode>all</CollectionMode>

</NVMProfile>

Um perfil NVM pode ser criado com estas ferramentas:

- Cisco ASDM

- Editor de perfis do AnyConnect

- ISE

Configurar o perfil do cliente NVM via ASDM

Esse método é preferido se o AnyConnect NVM for implantado via Cisco ASA:

1. Navegue até Configuration > Remove Access VPN > Network (Client) Access > AnyConnect Client Profile.

2. Clique em Adicionar, conforme mostrado na imagem.

3. Dê um nome ao perfil. Em Uso do perfil, selecione Perfil de serviço de visibilidade de rede.

4. Atribua o perfil à política de grupo usada atualmente pelos usuários do AnyConnect e clique em OK, como mostrado na imagem.

5. Depois que a nova diretiva for criada, clique em Editar, como mostrado na imagem.

6. Insira as informações sobre o endereço IP do coletor e o número da porta; Em seguida, clique em “OK”.

7. Clique em Apply, conforme mostrado na imagem.

Configurar o perfil do cliente NVM através do Editor de perfis do AnyConnect

Essa ferramenta é independente e está disponível no Cisco.com. Esse método é preferido se o AnyConnect NVM for implantado via Cisco ISE. O perfil NVM criado por meio dessa ferramenta pode ser carregado no Cisco ISE ou copiado diretamente para endpoints.

Para obter informações detalhadas sobre o Editor de perfis do AnyConnect, consulte Editor de perfis do AnyConnect.

Configurar a implantação da Web no Cisco ASA

Esta nota técnica pressupõe que o AnyConnect já está configurado no ASA e que você precisa adicionar apenas a configuração do módulo NVM. Para obter informações detalhadas sobre a configuração do ASA AnyConnect, consulte o ASDM Book 3: Guia de configuração do Cisco ASA Series VPN ASDM, 7.16.

Para habilitar o módulo NVM do AnyConnect no Cisco ASA, execute estas etapas:

1. Navegue até Configuration > Remote Access VPN > Network (Client) Access > Group Policies (Configuração > VPN de acesso remoto > Acesso de rede (cliente) > Políticas de grupo.

2. Selecione a política de grupo relevante e clique em Editar, como mostrado na imagem.

3. Na janela pop-up política de grupo, navegue para Advanced > AnyConnect Client.

4. Expanda Opcionalmente Client Modules para baixar e selecione AnyConnect Network Visibility.

5. Clique em OK e aplique as alterações.

Configurar a implantação da Web no Cisco ISE

Nesta seção, ativamos módulos, perfis, pacotes de personalização/idioma do AnyConnect Client e os pacotes Opswat.

Para configurar o Cisco ISE para a implantação da Web do AnyConnect, execute estas etapas:

1. Na GUI do Cisco ISE, navegue até Policy > Policy Elements > Results (Política > Elementos de política > Resultados).

2. Expanda o provisionamento do cliente para mostrar recursos; em seguida, selecione Recursos.

3. Adicione a imagem do AnyConnect:

1. Selecione Add > Agent Resources e carregue o arquivo do pacote do AnyConnect.

2. Confirme o hash do pacote no pop-up.

O hash do arquivo pode ser verificado na página de download do Cisco.com ou através de uma ferramenta de terceiros.

Essa etapa pode ser repetida para adicionar várias imagens do AnyConnect (por exemplo, para Mac OSX e SO Linux).

4. Adicione o perfil do AnyConnect NVM:

1. Selecione Add > Agent Resources e carregue o perfil do cliente NVM.

5. Adicione o arquivo de configuração do AnyConnect:

1. Clique em Adicionar e escolha Configuração do AnyConnect.

Selecione o pacote que você carregou na etapa anterior.

2. Ative NVM na seleção do módulo AnyConnect, juntamente com a política necessária.

Para obter informações detalhadas sobre a configuração de implantação da Web no Cisco ISE, consulte Web Deploying AnyConnect.

Detecção de rede confiável

O AnyConnect NVM envia informações de fluxo somente quando ele está em uma rede confiável. Ele usa o recurso TND do cliente AnyConnect para saber se o endpoint está em uma rede confiável ou não.

A TND (Trusted Network Detection, Detecção de rede confiável) é configurada no AnyConnect Client Profile (XML) usado para VPN, independentemente de o componente VPN ser usado no ambiente ou não. O TND é ativado por meio da configuração da seção Política de VPN automática no perfil. No mínimo, um único domínio DNS confiável ou servidor DNS confiável deve ser preenchido. As ações tomadas pelo AnyConnect quando o cliente tiver determinado que ele está em uma rede confiável podem ser definidas para o modo DoNot através da lista suspensa da Política de rede confiável e não confiável.

Para obter detalhes adicionais sobre a configuração do TND, consulte Sobre a detecção de rede confiável.

Implantar

A implantação da solução AnyConnect NVM requer as seguintes etapas:

1. Configure o AnyConnect NVM no Cisco ASA/ISE.

2. Configure o componente do coletor IPFIX (coletor NVM no Linux - em pacote no complemento TA).

3. Configure o Splunk com o aplicativo CESA e o complemento TA.

Etapa 1. Configurar o AnyConnect NVM no Cisco ASA/ISE

Esta etapa é abordada em detalhes na seção Configurar deste documento.

Depois que o NVM é configurado no Cisco ISE/ASA, ele pode ser implantado automaticamente em endpoints de clientes.

Etapa 2. Configurar o componente coletor IPFIX (coletor NVM do AnyConnect)

O componente do coletor é responsável pela coleta e tradução de todos os dados IPFIX dos endpoints e pelo encaminhamento dos dados para o complemento Cisco Endpoint Security Analytics (CESA) para Splunk. O coletor NVM é executado no Linux de 64 bits. Os scripts de configuração CentOS, Ubuntu e Docker estão incluídos. Os scripts de instalação e os arquivos de configuração do CentOS também podem ser usados em distribuições Fedora e Redhat.

Em uma implantação Splunk Enterprise distribuída típica, o coletor deve ser executado em um sistema Linux autônomo de 64 bits ou em um nó Splunk Forwarder executado em Linux de 64 bits. O coletor também pode ser instalado em um servidor autônomo sem componentes Splunk.

Note: A solução também pode ser executada em um único sistema Linux de 64 bits que inclui o coletor NVM e os componentes Splunk Enterprise para uso em pequenas implantações ou para fins de demonstração. A multifuncional é mais fácil para até 10.000 endpoints. Consulte o Real Client POV para obter informações de dimensionamento de POV.

Como instalar o coletor

1. Copie o arquivo acnvmcollector.zip, localizado no diretório /opt/splunk/etc/apps/TA-Cisco-NVM/appserver/addon/ (incluído com o Add-On TA), para o sistema onde você deseja instalá-lo.

2. Descompacte o arquivo acnvmcollector.zip para extrair os arquivos.

Recomenda-se ler o arquivo $PLATFORM$_README no pacote .zip antes de executar o script install.sh. O arquivo $PLATFORM$_README fornece informações sobre as configurações relevantes que precisam ser verificadas e modificadas (se necessário) antes de o script install.sh ser executado. No mínimo, você precisa configurar o endereço da instância do Splunk para a qual você encaminha dados. Se o sistema não for configurado corretamente, o coletor poderá funcionar incorretamente.

Note: Certifique-se de que os firewalls da rede e do host estejam configurados para permitir o tráfego UDP para os endereços e portas origem e destino. Os firewalls devem permitir o tráfego IPFIX (CFLOW) de entrada dos clientes AnyConnect para o coletor e os dados UDP de saída para o Splunk.

Uma única instância do coletor NVM pode lidar com um mínimo de 5.000 fluxos por segundo em um sistema de tamanho adequado, ou até 35.000 a 40.000 endpoints. O coletor deve ser configurado e executado antes que o Splunk NVM e TA-Add no aplicativo possam ser usados.

Por padrão, o coletor recebe fluxos de endpoints NVM do AnyConnect na porta UDP 2055.

Além disso, o coletor produz três feeds de dados para o Splunk:

- Dados por fluxo na porta UDP 20519

- Dados de identidade do endpoint na porta UDP 20520

- Dados da interface de ponto de extremidade na porta UDP 20521

As portas de recebimento e de feed de dados podem ser alteradas. Para fazer isso, altere o arquivo acnvm.conf e reinicie a instância do coletor. Certifique-se de que todos os firewalls de host/rede entre endpoints e o coletor ou entre o coletor e o sistema Splunk estejam abertos para as portas e endereços UDP configurados. Além disso, certifique-se de que a configuração do AnyConnect NVM corresponda à configuração do coletor.

Depois que todos os componentes estiverem instalados e em execução, consulte a seção Arquivos de Ajuda do aplicativo Splunk para obter informações detalhadas sobre os relatórios pré-configurados, o modelo de dados e os elementos de informações criados pela solução.

Você pode reiniciar um de seus endpoints do AnyConnect e confirmar se o tráfego está sendo enviado para a solução. Por exemplo, você pode usar o youtube.com para executar um fluxo constante de dados.

Essas informações devem ser configuradas no arquivo de configuração acnvm.conf:

- syslog_server_ip (encaminhador ou instância Splunk): Pode apontar para 127.0.0.1 (não use LOCALHOST) se estiver na mesma caixa.

- Porta de escuta do coletor (dados IPFIX recebidos): O valor padrão é OK.

Note: netflow_collector_ip foi omitido do arquivo de configuração. Ele usa a interface pública padrão e deve ser alterado somente para substituir o valor padrão por um IP local específico.

A porta de dados por fluxo, a porta de dados de identidade de endpoint, os dados da interface de endpoint e a porta do coletor são pré-configurados para as configurações padrão no arquivo de configuração. Você deve alterar esses valores se usar portas não padrão.

Essas informações são adicionadas no arquivo de configuração: /opt/acnvm/conf/acnvm.conf

Suporte a DTLS

Note: Consulte Configurar o Suporte NVM para DTLS neste documento para obter mais detalhes.

Execute estas etapas na caixa que hospeda o coletor:

- Crie este diretório: /opt/acnvm/certs.

- Para aplicar o certificado ao coletor, salve o certificado e a chave no diretório /opt/acnvm/certs.

- Altere o proprietário e o grupo da pasta para acnvm:acnvm com este comando:sudo chown -R acnvm:acnvm certs/:

- Esta seção para acnvm.conf deve ser configurada com o certificado e a chave.

- Depois que a configuração e o certificado forem colocados, reinicie o coletor:sudo systemctl restart acnvm.service

- Verifique o status do coletor:sudo systemctl status acnvm.service

{

"security" :{

"dtls_enabled": true,

"server_certificate":"/opt/acnvm/certs/public.cer",

"server_pkey":"/opt/acnvm/certs/private.key"

},

Aqui está o resto da configuração:

"syslog_server_ip" : "192.0.2.113",

"syslog_flowdata_server_port" : 20519,

"syslog_sysdata_server_port" : 20520,

"syslog_intdata_server_port" : 20521,

"netflow_collector_port" : 2055

}

- Execute o script install.sh com privilégios de superusuário (sudo ./install.sh).

Note: A conta precisa de permissões de sudo ou raiz para executar o script install.sh e permissões para a conta de serviço acnvm.

Para obter mais informações, consulte o aplicativo Cisco Endpoint Security Analytics (CESA) para Splunk (detalhes).

Etapa 3. Configurar o tronco com o painel CESA e o complemento TA

O aplicativo Cisco AnyConnect NVM para Splunk está disponível no Splunkbase. Este aplicativo fornece relatórios e painéis predefinidos que apresentam dados IPFIX (nvzFlow) de endpoints em relatórios utilizáveis que ajudam a correlacionar o comportamento do usuário e do endpoint.

Note: Para implantações de nuvem, os dois aplicativos são instalados na instância de nuvem. Somente o TA é instalado no local (com o encaminhador). O coletor é instalado no local com o encaminhador ou em uma caixa Linux/Docker separada.

Para uma instalação no local, você pode instalar todos os componentes e aplicativos em uma caixa ou em caixas separadas. (Consulte os diagramas na seção Visão geral da implantação deste documento.)

Faça o download destes arquivos:

- Aplicativo Cisco Endpoint Security Analytics (CESA) para Splunk

- Complemento Cisco Endpoint Security Analytics (CESA) para Splunk

Instalação

1. Navegue até Splunk > Apps. Clique na engrenagem e instale o arquivo tar.gz baixado do Splunkbase ou pesquise na seção Apps.

2. Instale o complemento com o mesmo processo.

3. Consulte a página Splunk Apps para confirmar se o Cisco NVM Dashboard e o Cisco NVM Add-On for Splunk estão instalados.

A configuração padrão recebe três feeds de dados para o Splunk (consulte Ativar entradas UDP através da IU de gerenciamento do Splunk neste documento).

- Por fluxo de dados na porta UDP 20519

- Dados de identidade do endpoint na porta UDP 20520

- Dados da interface de endpoint na porta UDP 20521

Em seguida, o Add-On mapeia esses feeds de dados para tipos de fonte Splunk cisco:nvm:flowdata, cisco:nvm:sysdata e cisco:nvm:ifdata, respectivamente.

Habilitar entradas UDP por meio da IU de gerenciamento de tronco

Note: Você também pode ativar entradas UDP através de um arquivo input.conf. Esse método é explicado na GUI do aplicativo Cisco NVM Dashboard (em Ajuda).

Você não precisa reiniciar o software Splunk.

1. Navegue até Splunk > Settings > Data Input > UDP.

2. Clique em New Local UDP > Enter port # missing > Clique em Next > Select the correspondente Source Type > Clique em Review > Clique em Submit.

3. Repita o procedimento para as outras duas portas. (Você pode usar um clone.)

Verificar

Validar a instalação do AnyConnect NVM

Após a instalação bem-sucedida, o Network Visibility Module deve ser listado em Installed Modules, na seção Information do AnyConnect Secure Mobility Client.

Além disso, verifique se o serviço nvm está em execução no endpoint e se o perfil está presente no diretório necessário.

Validar o status do coletor

Confirme se o status do coletor está "ativo (em execução)". Esse status garante que o coletor esteja recebendo IPFIX/fluxo dos endpoints o tempo todo. Se o status do coletor não estiver ativo, verifique se as permissões da conta acnvm para o arquivo permitem que ele execute:

- /opt/acnvm/bin/acnvmcollector

root@ubuntu-splunkcollector:~$ /etc/init.d/acnvmcollectord status

* acnvmcollector is running

root@ubuntu-splunkcollector:~$

- /opt/splunk/etc/apps/TA-Cisco-NVM/appserver/addon/

Validar tronco - Painel CESA

Verifique se o Splunk e seus serviços relevantes estão em execução. Para obter documentação sobre como solucionar problemas de Splunk, consulte o site Splunk.

Os painéis para CESA não são atualizados até cinco minutos após o recebimento dos dados iniciais, devido a um script de automação. No entanto, você pode executar uma pesquisa manual imediatamente para validar se os dados estão sendo recebidos:

1. No painel principal do Splunk, clique em Pesquisar e Gerar relatórios.

2. Na próxima tela, defina o intervalo correto para preencher os dados desejados.

3. No campo de pesquisa, insira: sourcetype="cisco:nvm:flowdata"

Após os cinco minutos iniciais, verifique se o painel CESA está recebendo dados:

1. No painel principal do Splunk, clique em Painel do Cisco Endpoint Security Analytics.

2. Clique em Device Activity by Volume and Flow Count (Atividade do dispositivo por volume e contagem de fluxo) se quiser manter as configurações atuais.

3. Clique em Submit. O painel exibe dados e gráficos.

Fluxo de pacote

1. Os pacotes IPFIX são gerados nos endpoints do cliente pelo módulo NVM do AnyConnect.

2. Os endpoints do cliente encaminham pacotes IPFIX para o endereço IP do coletor.

3. O coletor coleta as informações e as encaminha para o Splunk.

4. O coletor envia tráfego para o Splunk em três fluxos diferentes: Por dados de fluxo, dados de endpoint e dados de interface.

Todo o tráfego é baseado em UDP, portanto, não há confirmação no fluxo do pacote de que os dados foram recebidos.

Portas padrão para tráfego:

- Dados IPFIX 2055

- Por dados de fluxo 20519

- Dados de endpoint 20520

- Dados da interface 20521

O módulo NVM armazena em cache dados IPFIX e os envia a um coletor quando ele está em uma rede confiável. Esse comportamento ocorre quando o laptop é conectado à rede corporativa (no local) ou quando é conectado via VPN.

Você pode validar se o coletor está recebendo pacotes do módulo NVM. Para isso, execute uma captura de pacotes em portas UDP específicas, de acordo com sua configuração, para verificar se os pacotes estão sendo recebidos. Essa validação seria feita através do sistema Splunk Linux OS.

Modelos de fluxo

Os modelos de fluxo IPFIX são enviados ao coletor no início da comunicação IPFIX. Esses modelos ajudam o coletor a entender os dados IPFIX.

O coletor também pré-carrega os modelos para garantir que os dados possam ser analisados, mesmo que o cliente não tenha enviado os modelos. Se uma versão mais recente do cliente for lançada com alterações de protocolo, o coletor usará os novos modelos enviados pelo cliente.

Um modelo é enviado sob estas condições:

1. Há uma alteração no perfil do cliente NVM.

2. Há um evento de alteração de rede.

3. O serviço do agente é reiniciado.

4. O endpoint é reinicializado/reiniciado.

5. Periodicamente (padrão=24 horas), conforme configurado no Perfil NVM.

Em circunstâncias raras, o coletor não pode encontrar um modelo. Se esta situação ocorrer, você verá um destes sintomas:

- Nenhum modelo encontrado em uma captura de pacote no endpoint

- Ou nenhum modelo para o fluxset nos registros do coletor

Para corrigir esse problema, reinicie um dos endpoints.

Troubleshoot

Estas são as etapas básicas para solucionar problemas:

1. Garanta a conectividade de rede entre o endpoint do cliente e o coletor.

2. Verifique a conectividade de rede entre o coletor e o Splunk.

3. Verifique se o NVM está instalado corretamente no endpoint do cliente.

4. Aplique capturas no endpoint para ver se o tráfego IPFIX está sendo gerado.

5. Aplique capturas em um coletor para ver se ele recebe tráfego IPFIX e se ele encaminha o tráfego para Splunk.

6. Aplique capturas no Splunk para ver se ele recebe tráfego.

7. Para DTLS:

- Confirme se os clientes do AnyConnect confiam no certificado do coletor.

- Confirme se o perfil NVM tem a opção "segura" habilitada.

- Confirme se o coletor está configurado para certificados.

Tráfego IPFIX conforme visto no Wireshark:

Note: Se você executar o DTLS entre o cliente e o coletor, deverá filtrar o tráfego DTLS.

Cliente AnyConnect (Módulo NVM)

Os dados não são reportados ao coletor e os pacotes de dados não são enviados do endpoint

O tamanho do arquivo de banco de dados NVM (NVM.db) continua a aumentar no diretório C:\%ProgramData%\Cisco\Cisco AnyConnect Secure Mobility Client\NVM directory? Esse comportamento indica que o cliente NVM do AnyConnect não está enviando pacotes de dados ao coletor.

Note: Para obter informações sobre os processos de cache e os controles de cache disponíveis, consulte o Cisco AnyConnect Secure Mobility Client Administrator Guide, Release 4.9.

TND (Trusted Network Detection, detecção de rede confiável)

Inicie a IU do AnyConnect e verifique se ela está em uma rede confiável. O NVM depende do TND para detectar quando o endpoint está em uma rede confiável. Uma configuração incorreta do TND causa problemas com o NVM. A NVM tem sua própria configuração de TND, que funciona na impressão digital do certificado TLS do servidor configurado. O NVM TND pode ser configurado no NVM Profile Editor.

Se o NVM TND não estiver configurado, o NVM depende da configuração de TND do módulo VPN. O TND do módulo VPN funciona com base nas informações recebidas via DHCP: Domain Name e Domain Name System (DNS). Se o servidor DNS e/ou o nome de domínio corresponderem aos valores configurados, a rede será considerada confiável. A VPN também suporta detecção TND baseada em certificado TLS.

- Verifique se a configuração do TND está correta. O NVM exporta somente quando está em uma rede confiável.

Note: Se a configuração do TND estiver incorreta, o NVM não exportará os dados. Por exemplo, se você tiver três servidores DNS configurados no cliente, mas todos os três servidores DNS não estiverem definidos na configuração TND, o NVM não exportará os dados.

- Remova o domínio confiável da configuração da VPN TND.

- Problemas de rede:

- Para o tunelamento dividido, sempre inclua o endereço IP do coletor na configuração "incluir divisão" para a VPN. Se o endereço IP do coletor não fizer parte da configuração confiável do túnel dividido, os dados serão enviados pela interface pública.

- Certifique-se de que o CollectionMode está configurado para recolher na rede atual (fidedigna/não fidedigna).

- Certifique-se de que os arquivos VPN.xml e NVM_ServiceProfile.xml estejam nas pastas corretas; em seguida, reinicie.

- Inicie todos os serviços do AnyConnect.

- Transfira a rede conectada ao interior que tem uma conexão com o servidor DNS.

Captura do pacote:

Ferramentas de diagnóstico e relatórios do AnyConnect (DART)

Para solucionar problemas de ações do AnyConnect, execute o DART nos componentes do NVM. Consulte Solução de problemas do AnyConnect.

- Todos os registros necessários para NVM são tratados pelo DART. O DART coleta arquivos de log, configuração e assim por diante.

- Logs do Windows: Os eventos não estão localizados em um único lugar. Há uma folha separada no visualizador de eventos para NVM no AnyConnect.

- macOS/Linux: Filtrar registros por engenheiro.

Coletor (na máquina Linux/Docker: tudo em um ou autônomo)

falha ao instalar o acnvmcollector

Ao instalar o coletor e executar o script de instalação (Sudo ./install_ubuntu.sh ),

esse erro ocorre no /var/log/syslog: "Acnvm.conf error: line number 17 : expected key string"

Esse problema pode ser causado por uma vírgula extra ou por uma vírgula em uma posição inválida.

acnvmcollector Falha ao Iniciar

Esse problema foi um problema no Ubuntu (mas possivelmente em todo o Linux). Falha ao executar o código no arquivo acnvmcollector: /opt/acnvm/bin/acnvmcollector.

O usuário e o grupo da acvnm não tinham eXecute para o acnvmcollector.

Logs do coletor - Onde posso definir a depuração?

Você pode definir o nível de registro no arquivo ACMNVMLOG.conf. O nível de registro faz parte da configuração que é enviada ao coletor na inicialização. Após uma alteração, reinicie o coletor.

log4cplus.rootLogger=DEBUG, STDOUT, NvmFileAppender

Jan 20 12:48:54 csaxena-ubuntu-splunkcollector NVMCollector: no templates

for flowset 258 for 10.150.176.167 yet

Jan 20 12:48:55 csaxena-ubuntu-splunkcollector NVMCollector:

HandleReceivedIPFIX: exporter=10.150.176.167 bytes_recvd=234 totlength=234

Jan 20 12:48:55 csaxena-ubuntu-splunkcollector NVMCollector:

=================> flowsetid=258 flowsetlen=218

Jan 20 12:48:55 csaxena-ubuntu-splunkcollector NVMCollector: no templates

for flowset 258 for 10.150.176.167 yet

Como posso encontrar o número da versão do coletor?

Para localizar a versão do coletor, execute o comando acnvmcollector com o comando -v flag:

Exemplo 1:

./opt/acnvm/bin/acnvmcollector -v

Exemplo 2:

/opt/acnvm/bin

[root@splunk-virtual-machine bin]# ./acnvmcollector -v

Saída:

Cisco AnyConnect Network Visibility Module Collector (version 4.10.02086 release)

Copyright (C) 2004-2021 All Rights Reserved.

Problemas de DTLS

- A mensagem "DTLS not configure" significa que o DTLS não está configurado no arquivo acnvm.conf.

- A mensagem "chave do servidor inválida" é exibida quando não há suporte para uma combinação de chave de senha.

O console de divisão (painel CESA) não mostra dados

Cliente AnyConnect

- Use o youtube.com para gerar dados. Você também pode navegar para alguns sites da Web.

- O cliente AnyConnect pode enviar informações via UDP 2055 para o servidor coletor? (Em outras palavras, há algum firewall entre o cliente AnyConnect e o servidor coletor?)

- Tente executar telnet da máquina cliente para a máquina coletora.

- Execute o Wireshark para confirmar se o cliente está enviando dados de tráfego (2055 CFLOW) ao coletor.

Caixa do coletor

- Valide se a caixa do coletor está recebendo tráfego NVM do AnyConnect:

- Execute um tcpdump e confirme se você vê pacotes do cliente para o servidor em 25001 a 2055. Por exemplo, este comando mostra os primeiros 100 pacotes vindos do endereço IP do host cliente:Sudo tcpdump -I any -c100 -nn host 10.1.110.7

Note: Para obter mais informações, consulte Como posso capturar todos os pacotes UDP usando tcpdump?

- Verifique se o coletor NVM do AnyConnect está em execução (consulte Suporte DTLS neste documento).

- Verifique se há erros de formato no arquivo acnvm.conf, aspas ausentes, vírgulas e assim por diante.

- Interface do usuário do tronco - TA - As entradas de dados e os tipos de origem do UDP estão configurados na GUI do Splunk ou através de input.conf?

- Reinicie o tronco na IU > configurações > controles do servidor.

Perguntas frequentes (FAQs)

Como você pode enviar dados do AnyConnect NVM para vários destinos?

Esse cenário é usado para situações de alta disponibilidade ou para envio para várias plataformas (por exemplo, Splunk e Stealthwatch).

Para obter mais informações, consulte o Cisco Endpoint Security Analytics (CESA) Built on Splunk Quickstart POV Kit & Deployment Guide.

Onde você armazena o certificado para o AnyConnect NVM DTLS?

Essa situação pode ocorrer em testes de laboratório nos quais você não tem um certificado bem conhecido instalado no coletor.

- Windows: Instale o certificado do coletor nos Certificados Confiáveis do Windows.

- Mac OSX: Use o processo padrão para instalar o certificado raiz pelo conjunto de chaves. Você pode usar a ferramenta do conjunto de chaves para importar o certificado e adicioná-lo como um certificado confiável.

- RHEL Linux: Siga estas etapas de importação da CA raiz RHEL:

1. Copie o certificado ca para /etc/pki/ca-trust/source/anchors.

2. sudo update-ca-trust enable

3. sudo update-ca-trust extract

- Ubuntu Linux: Siga estas etapas de importação da CA raiz do Ubuntu:

1. Converter arquivo .cer em arquivo .crt com este comando: openssl x509 -inform PEM -in RootCA.cer -out rootCa.crt

2. Copie o arquivo .crt para o diretório /usr/local/share/ca-certificate.

3. Execute o comando: sudo update-ca-certificates

Nomes de arquivos XML

Quando você usa o editor de perfil local, o nome do perfil XML do módulo VPN principal não importa. No entanto, você deve salvar o perfil de serviço como NVM_ServiceProfile.xml. Se você usar um nome diferente para o perfil de serviço, a NVM não coletará e enviará dados.

Coletor (AnyConnect NVM)

Aplicativo Cisco Endpoint Security Analytics (CESA) para Splunk (detalhes)

- Um diretório de fornecedor pode ser criado na raiz e a propriedade pode ser fornecida para outra conta?

Você pode criar /opt/acnvm primeiro desde que o script de instalação tenha permissão para copiar arquivos nele.

- Permissões de arquivo: O arquivo install.sh precisa de permissão para ser executado como raiz.

- Contas de serviço:

- O useradd -re o comando -s /bin/falsesão necessários porque uma conta de serviço é uma conta não interativa que não tem um diretório inicial.

- Não é necessário que uma conta não interativa tenha um diretório inicial, e é prática padrão que a conta de serviço não tenha um diretório inicial para manter a limpeza.

- Todos os usuários têm uid/guid, tenham ou não um diretório home.

- SO do coletor: O coletor é executado em CentOS ou Ubuntu; também pode ser executado no RedHat porque o RedHat usa o script CentOS.

- Você pode modificar o script de instalação, se necessário:

- O script de instalação deve ser executado como root ou com direitos SUDO porque cria um novo usuário chamado acnvm e coloca tudo no diretório /opt/acnvm.

Note: Como alternativa, você pode criar um script personalizado para executar as ações apropriadas com base em seus requisitos. Este script pode usar um usuário diferente que já existe no sistema, mas esse usuário deve ter direitos SUDO para executar a instalação.

- Para localizar a versão do coletor, execute esse comando com o comando -vflag: ./opt/acnvm/bin/acnvmcollector -v

Versão recomendada

Sempre recomendamos que você use a versão mais recente do software disponível do AnyConnect. Para obter mais informações, consulte as Release Notes do Cisco AnyConnect Secure Mobility Client v4.x.

Informações Relacionadas

- Cisco Endpoint Security Analytics (CESA) desenvolvido com base no kit de POV e guia de implantação do Splunk Quickstart

- Resumo e perguntas frequentes do painel do Cisco Endpoint Security Analytics (CESA)

- Aplicativo Cisco Endpoint Security Analytics (CESA) para Splunk

- Aplicativo Cisco Endpoint Security Analytics (CESA) para Splunk (documentação)

- Guias do administrador do cliente para o Cisco AnyConnect Secure Mobility Client v4.x

- Notas de versão do Cisco AnyConnect Secure Mobility Client v4.x

- Suporte Técnico e Documentação - Cisco Systems