Configurar o Gerenciamento de Resposta para Enviar Eventos de Syslog para Splunk

Introdução

Este documento descreve como configurar o recurso Secure Analytics Response Management para enviar eventos via syslog para terceiros, como Splunk.

Pré-requisitos

Requisitos

A Cisco recomenda que você tenha conhecimento destes tópicos:

• Secure Network Analytics Response Management (Gerenciamento de Resposta de Análise de Rede Segura).
• Syslog Splunk 

Componentes Utilizados

As informações neste documento foram criadas a partir de dispositivos em um ambiente de laboratório específico. Todos os dispositivos utilizados neste documento foram iniciados com uma configuração (padrão) inicial. Se a rede estiver ativa, certifique-se de que você entenda o impacto potencial de qualquer comando.

• Implantação do Secure Network Analytics (SNA) que contenha pelo menos um dispositivo Manager e um dispositivo Flow Collector.
• Servidor Splunk instalado e acessível por 443 portas.

Configurar syslog em SNA sobre UDP 514 ou porta definida personalizada

Dica:Certifique-se de que UDP/514,TCP/6514 ou qualquer porta personalizada escolhida para o syslog seja permitida em qualquer firewall ou dispositivo intermediário entre SNA e Splunk.

1.Gerenciamento de resposta SNA

O componente Gerenciamento de Resposta do Secure Analytics (SA) pode ser usado para configurar Regras, Ações e Destinos de syslog.

Essas opções devem ser configuradas para enviar/encaminhar alarmes do Secure Analytics para outros destinos. 

Etapa1: Faça login no SA Manager e navegue para Configure > Detection Response Management.

Passo 2: Na nova página, navegue até a guia Actions, localize o item de linha padrão Send to Syslog e clique nas reticências (...) na coluna Action e, em seguida, Edit.

Passo 3: Insira o endereço de destino desejado no campo Syslog Server Address e a porta de recebimento de destino desejada no campo UDP Port. No Formato da mensagem, selecione CEF.
Passo 4: Quando terminar, clique no botão azul Save no canto superior direito.

Tip: A porta UDP padrão para syslog é 514

2. Configuração do Splunk para Receber Syslogs SNA pela porta UDP

Depois de aplicar suas alterações na interface do usuário da Web do Secure Network Analytics Manager , você deve configurar a entrada de dados no Splunk.

Passo 1: Faça login no Splunk e navegue até Configurações > Adicionar dados > Entradas de dados.

Passo 2: Localize a linha UDP e selecione +Add new.

Passo 3: Na nova página, selecione UDP, insira a porta de recebimento como 514 no campo Port.
Passo 4: No campo Sobreposição de nome de origem, insira desired name of source.

Passo 5: Ao concluir, clique no botão verde Avançar > na parte superior da janela. 

Passo 6: Na próxima página, alterne para a opção New e localize o campo Source Type e insira desired source .

Passo 7: Selecione IP para o Método.

Passo 8: Clique no botão verde Review > na parte superior da tela.

Etapa 9: Na próxima janela, revise suas configurações e edite-as, se necessário.

Etapa 10: Depois de validar, clique no botão verde Submit > na parte superior da janela.

Etapa 11: Navegue até Apps > Search & Reporting na interface do usuário da Web. 

Etapa 12: Na página Pesquisar, use o filtrosource="As_configured" sourcetype="As_configured"para localizar logs recebidos.

Note: Para a origem, consulte a Etapa 4
         Para source_type, consulte a Etapa 6

Configurar o syslog em SNA pela porta TCP 6514 ou pela porta definida personalizada

1. Configuração do Splunk para Receber Logs de Auditoria SNA pela porta TCP

Passo 1: Na interface de usuário do Splunk, navegue para Settings > Add Data > DATA Inputs.

Passo 2: Localize a linha TCP e selecione + Adicionar novo.

Passo 3: Na nova janela, selecione TCP, insira a porta de recebimento desejada, no exemplo de porta de imagem 6514, e insira "nome desejado" no campo Substituição do nome de origem.

Note: TCP 6514 é a porta padrão para syslog sobre TLS

Passo 4: Ao concluir, clique no botão verde Avançar > na parte superior da janela. 

Passo 5: Na nova janela, selecione Novo na seção Tipo de origem, digite nome desejado no campo Tipo de origem.

Passo 6: Selecione IP para o Método na seção Host.

Passo 7: Ao concluir, selecione o botão verde Revisar > na parte superior da janela.

Passo 8: Na próxima janela, revise suas configurações e edite-as, se necessário. Depois de validar, clique no botão verde Submit > na parte superior da janela.

2. Gerar Certificado para Splunk

Passo 1: Usando uma máquina com o openssl instalado, execute o comandosudo openssl req -x509 -newkey rsa:4096 -keyout server_key.pem -out server_cert.pem -sha256 -days 3650 -subj /CN=10.106.127.4, substituindo o IP de exemplo de 10.106.127.4 pelo IP do dispositivo Splunk. Você é solicitado duas vezes a inserir uma frase secreta definida pelo usuário. Nos exemplos, os comandos estão sendo executados a partir da linha de comando da máquina de Splunk.

user@examplehost: sudo openssl req -x509 -newkey rsa:4096 -keyout server_key.pem -out server_cert.pem -sha256 -days 3650 -subj /CN=10.106.127.4
..+...+..+.+...+..+............+...............+.+.....+.+......+..+.+...........+...+++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++*..+.........+++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++*..+......+..............+...+.+......+........+............................+..+...+....+...............+........+......+.+...+...+........+......+...+.+.....+...................+...........+......+.+.....+.........+....+.........+......+......+.....+.+........+............+.......+........+..........+........+....+..+....+......+.....+.............+.....+.......+........+......+.........+...+....+...+..+..........+.....+......+...+.........+.+.........+.....+......+.........+...............+............+....+.....+.+...+...+............+...............+.....+.+..............+.+.........+...+...+.........+.....+.+.....................+...+...........+.......+.....+...............+.........+....+......+...+...+.....+..........+..+................+.....................+.........+..+...+....+......+.................+...+.......+..+...............+......+.+.....+..........+.....+......+....+......+........+.......+....................+++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++
....+.......+..+...+...+.+......+...+.........+............+.....+....+..+...+....+...+...+.........+...+..+.......+........+............+.+.....+....+.........+..+.........+....+..+....+........+...+.......+...+...+..+...+.+...+..+....+.....+.......+........+......+.+..+......+....+......+++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++*.......+...+.....+++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++*.......+.+......+..............+.........+.....................+.......+.....+....+..............+.........+.......+...+.......................+....+...+..+.+.........+.........+......+...........+...+...............+.........+.+......+.........+.....................+.....+.........+.......+...............+........+.+....................+.+..+.+....................+.+...........+...+.+...+.....+.............+...+..+...+....+++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++
Enter PEM pass phrase:
Verifying - Enter PEM pass phrase:
-----
user@examplehost:

Quando o comando é concluído, dois arquivos são gerados. Os arquivos server_cert.pem e server_key.pem.

user@examplehost: ll server*
-rw-r--r-- 1 root root 1814 Dec 20 19:02 server_cert.pem
-rw------- 1 root root 3414 Dec 20 19:02 server_key.pem
user@examplehost:

Passo 2: Alternar para usuário raiz.

user@examplehost:~$ sudo su
[sudo] password for examplehost:

Passo 3: Copie o certificado recém-gerado para o /opt/splunk/etc/auth/ .

user@examplehost:~# cat /home/examplehost/server_cert.pem > /opt/splunk/etc/auth/splunkweb.cer

Etapa 4: anexe o arquivo spunkweb.cet com a chave privada.

user@examplehost:~# cat /home/examplehost/server_key.pem >> /opt/splunk/etc/auth/splunkweb.cer

Etapa 5: Alterar a propriedade do certificado de fragmento.

user@examplehost:~# chown 10777:10777/opt/splunk/etc/auth/splunkweb.cer  

Etapa 6: Altere a permissão para o certificado de fragmento.

user@examplehost:~# chmod 600/opt/splunk/etc/auth/splunkweb.cer 

Etapa 7: crie um novo arquivo input.conf.

user@examplehost:~# vim /opt/splunk/etc/system/local/inputs

 Passo 8: Verifique os syslogs usando pesquisar. 

3. Configurar o destino do log de auditoria em redes SNA 

Passo 1: Faça login na interface do usuário do SMC e navegue para Configure > Central Management.

Passo 2: Clique no ícone de reticências do dispositivo SNA desejado e selecione Editar configuração do dispositivo.

Passo 3: Navegue até a guia Network Services e insira os detalhes de Audit Log Destination (Syslog over TLS). 

Passo 4: Navegue até a guia Geral, role para baixo até a parte inferior Clique em Adicionar novo para carregar o certificado Splunk criado anteriormente chamado server_cert.pem.

Passo 5: Clique em Aplicar configurações.

Troubleshooting

Pode haver toda a confusão aparecendo na pesquisa.

Solução:

Mapeie a entrada para o tipo de origem correto.