O conjunto de documentação deste produto faz o possível para usar uma linguagem imparcial. Para os fins deste conjunto de documentação, a imparcialidade é definida como uma linguagem que não implica em discriminação baseada em idade, deficiência, gênero, identidade racial, identidade étnica, orientação sexual, status socioeconômico e interseccionalidade. Pode haver exceções na documentação devido à linguagem codificada nas interfaces de usuário do software do produto, linguagem usada com base na documentação de RFP ou linguagem usada por um produto de terceiros referenciado. Saiba mais sobre como a Cisco está usando a linguagem inclusiva.
A Cisco traduziu este documento com a ajuda de tecnologias de tradução automática e humana para oferecer conteúdo de suporte aos seus usuários no seu próprio idioma, independentemente da localização. Observe que mesmo a melhor tradução automática não será tão precisa quanto as realizadas por um tradutor profissional. A Cisco Systems, Inc. não se responsabiliza pela precisão destas traduções e recomenda que o documento original em inglês (link fornecido) seja sempre consultado.
Este documento descreve a configuração de registro para um FirePOWER Threat Defense (FTD) por meio do Firepower Management Center (FMC).
A Cisco recomenda que você tenha conhecimento destes tópicos:
As informações neste documento são baseadas nestas versões de software e hardware:
As informações neste documento foram criadas a partir de dispositivos em um ambiente de laboratório específico. Todos os dispositivos utilizados neste documento foram iniciados com uma configuração (padrão) inicial. Se a rede estiver ativa, certifique-se de que você entenda o impacto potencial de qualquer comando.
Os registros do sistema FTD fornecem as informações para monitorar e solucionar problemas do dispositivo FTD.
Os registros são úteis na solução de problemas de rotina e no tratamento de incidentes. O dispositivo de FTD oferece suporte a registro local e externo.
O registro local pode ajudá-lo a solucionar os problemas em tempo real. O registro externo é um método de coleta de registros do dispositivo FTD para um servidor Syslog externo.
O registro em um servidor central ajuda na agregação de registros e alertas. O registro externo pode ajudar na correlação de registros e no tratamento de incidentes.
Para o registro local, o dispositivo FTD suporta console, opção de buffer interno e o registro de sessão Secure Shell (SSH).
Para registro externo, o dispositivo FTD oferece suporte ao servidor Syslog externo e ao servidor de retransmissão de e-mail.
Observação: se um grande volume de tráfego passar pelo dispositivo, preste atenção no tipo de registro/gravidade/limitação de taxa. Faça isso para limitar o número de logs, o que evita o impacto no firewall.
Todas as configurações relacionadas ao registro podem ser configuradas quando você navega para a Platform Settings
sob a guia Devices
guia. Escolher Devices > Platform Settings
como mostrado nesta imagem.
Clique no ícone do lápis para editar a diretiva existente ou clique em New Policy
e escolha Threat Defense Settings
para criar uma nova política de FTD como mostrado nesta imagem.
Escolha o dispositivo FTD para aplicar esta política e clique em Save
como mostrado nesta imagem.
Há certas configurações que são aplicáveis para o registro local e externo. Esta seção trata dos parâmetros obrigatórios e opcionais que podem ser configurados para Syslog.
As opções de configuração de registro são aplicáveis para registro local e externo. Para configurar a configuração de Log, escolha Devices > Platform Settings
.
Escolher Syslog > Logging Setup
.
Configuração básica de registro
Enable Logging
: Verifique o Enable Logging
para habilitar o registro em log. Essa é uma opção obrigatória.Enable Logging on the failover standby unit
: Verifique o Enable Logging on the failover standby unit
para configurar o registro no FTD de espera que faz parte de um cluster de alta disponibilidade do FTD.Send syslogs in EMBLEM format
: Verifique o Send syslogs in EMBLEM format
para habilitar o formato de Syslog como EMBLEM para cada destino. O formato EMBLEM é usado principalmente para o analisador de Syslog do CiscoWorks Resource Manager Essentials (RME). Esse formato corresponde ao formato Syslog do Cisco IOS Software produzido pelos roteadores e pelos switches. Ele está disponível somente para servidores UDP Syslog.Send debug messages as syslogs
: Verifique o Send debug messages as syslogs
para enviar os logs de depuração como mensagens de Syslog ao servidor Syslog.Memory size of the Internal Buffer
: insira o tamanho do buffer de memória interna em que o FTD pode salvar os dados de log. Os dados de log serão girados se o limite de buffer for atingido.Informações do Servidor FTP (Opcional)
Especifique os detalhes do servidor FTP se quiser enviar os dados de log ao servidor FTP antes que ele substitua o buffer interno.
FTP Server Buffer Wrap
: Verifique o FTP Server Buffer Wrap
para enviar os dados de log do buffer ao servidor FTP.IP Address
: insira o endereço IP do servidor FTP.Username
: insira o nome de usuário do servidor FTP.Path
: insira o caminho do diretório do servidor FTP.Password
: digite a senha do servidor FTP.Confirm
: digite a mesma senha novamente.Tamanho do Flash (Opcional)
Especifique o tamanho da memória flash se quiser salvar os dados de log na memória flash depois que o buffer interno estiver cheio.
Flash
: Verifique o Flash
para enviar os dados de registro para a memória flash interna.Maximum Flash to be used by Logging(KB)
: insira o tamanho máximo em KB de memória flash que pode ser usado para registro em log.Minimum free Space to be preserved(KB)
: insira o tamanho mínimo em KB da memória flash que precisa ser preservada.Clique em Save
para salvar a configuração da plataforma. Escolha o Deploy
selecione o dispositivo FTD onde deseja aplicar as alterações e clique em Deploy
para iniciar a implantação da configuração da plataforma.
A opção Configurar Listas de Eventos permite criar/editar uma lista de eventos e especificar quais dados de log incluir no filtro da lista de eventos. Listas de eventos podem ser usadas quando você configura Filtros de registro em Destinos de registro.
O sistema permite duas opções para usar a funcionalidade de listas de eventos personalizadas.
Para configurar listas de eventos personalizadas, escolha Device > Platform Setting > Threat Defense Policy > Syslog > Event List
e clique em Add
. Estas são as opções:
Name
: digite o nome da lista de eventos.Severity/Event Class
: na seção Severidade/Classe de Evento, clique em Add
.Event Class
: escolha a classe de evento na lista suspensa para o tipo de dados de log desejado. Uma classe Event define um conjunto de regras de Syslog que representam os mesmos recursos.Por exemplo, há uma classe de evento para a sessão que inclui todos os Syslogs relacionados à sessão.
Syslog Severity
: escolha a gravidade na lista suspensa para a classe de evento escolhida. A gravidade pode variar de 0 (emergência) a 7 (depuração).Message ID
: Se estiver interessado em dados de log específicos relacionados a uma ID de mensagem, clique em Add
para colocar um filtro com base no ID da mensagem.Message IDs
: Especifique o ID da mensagem como formato individual/ de intervalo.Clique em OK
para salvar a configuração.
Clique em Save
para salvar a configuração da plataforma. Escolha entre Deploy
, escolha o dispositivo FTD onde deseja aplicar as alterações e clique em Deploy
para iniciar a implantação da configuração da plataforma.
A opção Limite de taxa define o número de mensagens que podem ser enviadas a todos os destinos configurados e define a gravidade da mensagem à qual você deseja atribuir limites de taxa.
Para configurar listas de eventos personalizadas, escolha Device > Platform Setting > Threat Defense Policy > Syslog > Rate Limit
. Você tem duas opções com base nas quais pode especificar o limite de taxa:
Para habilitar o limite de taxa baseado em nível de registro, escolha Logging Level
e clique em Add
.
Logging Level
:Nos Logging Level
selecione o nível de log para o qual deseja executar a limitação de taxa.Number of Messages
: insira o número máximo de mensagens de Syslog a serem recebidas dentro do intervalo especificado.Interval(Second)
: com base no parâmetro Número de mensagens configurado anteriormente, insira o intervalo de tempo no qual um conjunto fixo de mensagens de Syslog pode ser recebido.A taxa de Syslog é o número de mensagens/intervalos.
Clique em OK
para salvar a configuração do nível de registro.
Para habilitar o limite de taxa baseado no nível de registro, escolha Logging Level
e clique em Add
.
Syslog ID
: as IDs de Syslog são usadas para identificar exclusivamente as mensagens de Syslog. Nos Syslog ID
selecione o ID do Syslog.Number of Messages
: insira o número máximo de mensagens de syslog a serem recebidas dentro do intervalo especificado.Interval(Second)
: com base no parâmetro Número de mensagens configurado anteriormente, insira o intervalo de tempo no qual um conjunto fixo de mensagens de Syslog pode ser recebido.A taxa de Syslog é o número de mensagens/intervalo.
Clique em OK
para salvar a configuração de nível de Syslog.
Clique em Save
para salvar a configuração da plataforma. Escolha entre Deploy
, escolha o dispositivo FTD onde deseja aplicar as alterações e clique em Deploy
para iniciar a implantação da configuração da plataforma.
As configurações de Syslog permitem que a configuração dos valores de Facilidade seja incluída nas mensagens de Syslog. Você também pode incluir o timestamp em mensagens de log e outros parâmetros específicos do servidor Syslog.
Para configurar listas de eventos personalizadas, escolha Device > Platform Setting > Threat Defense Policy > Syslog > Syslog Settings
.
Facility
: um código de recurso é usado para especificar o tipo de programa que está registrando a mensagem. As mensagens com diferentes recursos podem ser tratadas de forma diferente. Nos Facility
selecione o valor do recurso.Enable Timestamp on each Syslog Message
: Verifique o Enable Timestamp on each Syslog Message
para incluir o carimbo de data/hora nas mensagens Syslog.Enable Syslog Device ID
: Verifique o Enable Syslog Device ID
para incluir um ID de dispositivo em mensagens Syslog fora do formato EMBLEM.Netflow Equivalent Syslogs
: Verifique o Netflow Equivalent Syslogs
para enviar Syslogs equivalentes do NetFlow. Ele pode afetar o desempenho do dispositivo.Add
e especificar o Syslog ID/ Logging Level
caixa de seleção.Clique em Save
para salvar a configuração da plataforma. Escolha entre Deploy
, escolha o dispositivo FTD onde deseja aplicar as alterações e clique em Deploy
para iniciar a implantação da configuração da plataforma.
A seção Logging Destination pode ser usada para configurar o registro em destinos específicos.
Os destinos de registro interno disponíveis são:
Há três etapas para configurar o registro local.
Etapa 1. Escolher Device > Platform Setting > Threat Defense Policy > Syslog > Logging Destinations
.
Etapa 2. Clique em Add
para adicionar um filtro de registro para um logging destination
.
Destino de Log: Escolha o destino de log necessário no Logging Destination
como sessões internas de Buffer, Console ou SSH.
Classe de Evento: no menu Event Class
selecione uma classe Event. Conforme descrito anteriormente, as Classes de Evento são um conjunto de Syslogs que representam os mesmos recursos. As classes de evento podem ser selecionadas das seguintes maneiras:
Filter on Severity
: Classes de evento filtram com base na gravidade dos Syslogs.User Event List
: os administradores podem criar Listas de eventos específicas (descritas anteriormente) com suas próprias classes de eventos personalizadas e referenciá-las nesta seção.Disable Logging
: use esta opção para desabilitar o registro em log para o destino de registro em log e o nível de registro em log escolhidos.Nível de Log: Escolha o nível de log na lista suspensa. O intervalo do nível de registro é de 0 (Emergências) a 7 (depuração).
Etapa 3. Para adicionar uma classe Event separada a este filtro de registro, clique em Add
.
Event Class
: Escolha a classe de evento no Event Class
lista suspensa.
Syslog Severity
: Escolha a gravidade Syslog no Syslog Severity
lista suspensa.
Clique em OK
depois que o Filtro estiver configurado para adicionar o Filtro para um destino de registro específico.
Clique em Save
para salvar a configuração da plataforma. Escolher Deploy
, escolha o dispositivo FTD onde deseja aplicar as alterações e clique em Deploy
para iniciar a implantação da configuração da plataforma.
Para configurar o registro externo, escolha Device > Platform Setting > Threat Defense Policy > Syslog > Logging Destinations
.
O FTD suporta esses tipos de registro externo.
A configuração para o registro externo e o registro interno são os mesmos. A seleção de destinos de registro decide o tipo de registro implementado. É possível configurar Classes de Evento com base em listas de Eventos Personalizados para o servidor remoto.
Os servidores de syslog podem ser configurados para analisar e armazenar logs remotamente do FTD.
Há três etapas para configurar servidores Syslog remotos.
Etapa 1. Escolher Device > Platform Setting > Threat Defense Policy > Syslog > Syslog Servers
.
Etapa 2. Configure o parâmetro relacionado ao servidor Syslog.
Allow user traffic to pass when TCP syslog server is down
para permitir que o tráfego passe pela interface quando o Servidor Syslog estiver inoperante.Etapa 3. Para adicionar servidores Syslog remotos, clique em Add
.
IP Address
:Nos IP Address
escolha um objeto de rede que tenha os servidores Syslog listados. Se você não tiver criado um objeto de rede, clique no ícone de adição (+) para criar um novo objeto.
Protocol
: Clique no botão TCP
or UDP
para comunicação Syslog.
Port
: insira o número da porta do servidor Syslog. Por padrão, é 514.
Log Messages in Cisco EMBLEM format(UDP only)
: Clique no botão Log Messages in Cisco EMBLEM format (UDP only)
para habilitar esta opção se for necessário registrar mensagens no formato EMBLEM da Cisco. Isso se aplica somente a Syslog baseado em UDP.
Available Zones
: insira as zonas de segurança sobre as quais o servidor Syslog pode ser acessado e mova-o para a coluna Zonas/Interfaces selecionadas.
Clique em OK
e Save
para salvar a configuração.
Clique em Save
para salvar a configuração da plataforma. Escolher Deploy
, escolha o dispositivo FTD onde deseja aplicar as alterações e clique em Deploy
para iniciar a implantação da configuração da plataforma.
O FTD permite enviar o Syslog para um endereço de e-mail específico. O e-mail pode ser usado como um destino de registro em log somente se um servidor de retransmissão de e-mail já tiver sido configurado.
Há duas etapas para definir as configurações de e-mail para os Syslogs.
Etapa 1. Escolher Device > Platform Setting > Threat Defense Policy > Syslog >Email Setup
.
Source E-MAIL Address
: insira o endereço de email de origem que aparece em todos os emails enviados do FTD que contêm os Syslogs.
Etapa 2. Para configurar o endereço de e-mail de destino e a gravidade do Syslog, clique em Add
.
Destination Email Address
: insira o endereço de e-mail de destino para onde as mensagens de Syslog são enviadas.
Syslog Severity
: Escolha a gravidade Syslog no Syslog Severity
lista suspensa.
Clique em OK
para salvar a configuração.
Clique em Save
para salvar a configuração da plataforma. Escolher Deploy
, escolha o dispositivo FTD onde deseja aplicar as alterações e clique em Deploy
para iniciar a implantação da configuração da plataforma.
No momento, não há procedimento de verificação disponível para esta configuração.
Esta seção disponibiliza informações para a solução de problemas de configuração.
system support diagnostic-cli
para usar o console na CLI de diagnóstico. > system support diagnostic-cli Attaching to ASA console ... Press 'Ctrl+a then d' to detach. Type help or '?' for a list of available commands. ><Press Enter> firepower# sh run logging logging enable logging console emergencies logging buffered debugging logging host inside 192.168.0.192 logging flash-minimum-free 1024 logging flash-maximum-allocation 3076 logging permit-hostdown
ping
comando. Copyright 2004-2016, Cisco and/or its affiliates. All rights reserved. Cisco is a registered trademark of Cisco Systems, Inc. All other trademarks are property of their respective owners. Cisco Fire Linux OS v6.0.1 (build 37) Cisco Firepower Threat Defense for VMWare v6.0.1 (build 1213) > system support diagnostic-cli Attaching to ASA console ... Press 'Ctrl+a then d' to detach. Type help or '?' for a list of available commands. firepower> en Password: firepower# ping 192.168.0.192
system support diagnostic-cli
. Para os comandos de captura de pacotes, consulte Exemplo de Configuração de Capturas de Pacotes do ASA com CLI e ASDM.Revisão | Data de publicação | Comentários |
---|---|---|
3.0 |
10-Jul-2023 |
recertificação |
2.0 |
15-Jun-2022 |
Conteúdo editado para maior clareza. Imagem adicionada a "Informações de fundo". Endereço IP atualizado para endereço IP privado. |
1.0 |
13-May-2016 |
Versão inicial |