Contents

Introduction

Prerequisites

Requirements

Components Used

Configure

Network Diagram

详细的流

配置AMP Cloud

步骤1.从AMP Cloud的下载连接器

配置ISE

步骤1.配置状态策略和情况

步骤2.配置状态配置文件

步骤3.配置AMP配置文件

步骤2.加载应用程序和XML配置文件对ISE

步骤3.下载AnyConnect标准模块

步骤4.添加AnyConnect配置

步骤5.配置客户端设置规则

步骤6.配置授权策略

步骤7. Enable (event) TC-NAC服务

步骤8.配置AMP适配器

Verify

终端

AMP Cloud

ISE

Troubleshoot

Introduction

本文描述如何用预先的Malware保护(AMP)配置威胁中心NAC在身份服务引擎(ISE) 2.1。威胁告警级别和弱点评估结果可以用于动态地控制终端或用户的访问级别。状态服务是也被覆盖，本文的部分。

Note:本文的目的将描述与AMP的ISE 2.1集成，摆服务姿势显示，需要他们，当我们设置从ISE时的AMP。

Prerequisites

Requirements

Cisco建议您有这些题目基础知识：

- Cisco身份服务引擎

- 预先的Malware保护

Components Used

本文档中的信息基于以下软件和硬件版本：

- Cisco身份服务引擎版本2.1

- 无线局域网控制器(WLC) 8.0.121.0

- AnyConnect VPN客户端4.2.02075

- Windows 7服务包1

Configure

Network Diagram

详细的流

1. 客户端连接到网络， AMP_Profile分配，并且用户重定向到Anyconnect设置的门户。如果Anyconnect在机器没有被发现， AMP，状态)安装所有被配置的模块(VPN。配置争取每个模块与该配置文件一起

2. 一旦安装Anyconnect，状态评估运行

3. AMP启动器模块安装FireAMP连接器

4. 当客户端设法下载恶意的软件时， AMP连接器投掷警告消息并且它向AMP Cloud报告

5. AMP Cloud发送此信息到ISE

配置AMP Cloud

步骤1.从AMP Cloud的下载连接器

为了下载连接器，请连接到Management>下载连接器。然后请选择类型和下载FireAMP (Windows，机器人、Mac， Linux)。在这种情况下审计为Windows选择了和FireAMP安装文件。

Note:下载此文件生成名为在示例的Audit_FireAMPSetup.exe的一个.exe文件。一旦用户请求AMP的配置，此文件被发送到Web服务器是可用的。

配置ISE

步骤1.配置状态策略和情况

连接对策略>Policy元素>情况>状态>文件Condition.You能看到文件存在的一个单纯条件被创建了。如果终端是兼容的与状态模块，验证的策略文件必须存在：

此情况使用需求：

需求用于状态策略微软视窗系统：

步骤2.配置状态配置文件

- 连接对策略>Policy元素>结果>客户端设置>资源并且添加网络准入控制(NAC)代理程序或AnyConnect代理程序状态配置文件

- 选择Anyconnect

- 从状态协议部分请添加*为了允许代理程序连接到所有服务器

步骤3.配置AMP配置文件

AMP配置文件包含找出Windows安装程序的信息。Windows安装程序从AMP Cloud下载了前。它应该是可访问的从客户端机器。应该由客户端机器委托HTTPS服务器的认证，安装程序找出。

步骤2.加载应用程序和XML配置文件对ISE

- 从正式Cisco站点手工下载应用程序：anyconnect-win-4.2.02075-k9.pkg

- 在ISE，请连接对策略>Policy元素>结果>客户端设置>资源，并且从本地磁盘添加代理程序资源

- 选择Cisco提供了程序包和挑选anyconnect-win-4.2.02075-k9.pkg

- 连接对策略>Policy元素>结果>客户端设置>资源并且从本地磁盘添加代理程序资源

- 选择用户被创建的程序包和类型AnyConnect配置文件。选择VPNDisable_ServiceProfile.xml

Note:因为此示例不使用VPN模块， VPNDisable_ServiceProfile.xml用于隐藏VPN标题。这是VPNDisable_ServiceProfile.xml内容：

<AnyConnectProfile xmlns= " http://schemas.xmlsoap.org/encoding/” xmlns ：xsi= " http://www.w3.org/2001/XMLSchema-instance" xsi ：schemaLocation= " http://schemas.xmlsoap.org/encoding/ AnyConnectProfile.xsd " >

<ClientInitialization>

<ServiceDisable>true</ServiceDisable>

</ClientInitialization>

</AnyConnectProfile>

步骤3.下载AnyConnect标准模块

- 连接对策略>Policy元素>结果>客户端设置>资源并且从Cisco站点添加代理程序资源

- 选择AnyConnect Windows标准模块3.6.10591.2并且点击“Save”

步骤4.添加AnyConnect配置

- 连接对策略>Policy元素>结果>客户端设置>资源，并且添加AnyConnect配置

- 配置名字并且选择标准模块和全部必需AnyConnect模块(VPN、AMP和状态)

- 在配置文件选择，请选择为每个模块配置的前配置文件

步骤5.配置客户端设置规则

及早被创建的AnyConnect配置被参考客户端设置规则

步骤6.配置授权策略

首先对客户端设置的门户的重定向发生。使用状态的标准的授权策略。

之后，一旦兼容，全部存取分配

步骤7. Enable (event) TC-NAC服务

在Administration >配置> Edit下的Enable (event) TC-NAC服务节点。检查Enable (event)威胁中心NAC服务复选框。

步骤8.配置AMP适配器

连接对中心的Administration >的威胁NAC >第三方供应商>Add。点击“Save”

它应该过渡准备配置状态。点击准备好配置

选择Cloud并且其次点击

点击FireAMP链路和登录作为admin在FireAMP。

点击允许在应用程序面板核准Export请求放出的事件。以后该动作，您重定向回到Cisco ISE

选择该的事件(例如，可疑下载、连接与可疑域，被执行的malware， Java妥协)您希望监控。适配器实例配置的汇总在配置汇总页显示。适配器实例过渡了到被连接的/激活状态。

Verify

终端

连接到无线网络通过PEAP (MSCHAPv2)。

一旦连接重定向到客户端设置的门户发生。

因为在客户端机器上安装的没什么， ISE提示输入AnyConnect客户端安装。

应该从客户端机器下载网络建立辅助(NSA)应用程序和运行。

NSA照料安装必需的组件和配置文件。

一旦安装完成， AnyConnect状态模块执行标准检查。

当全部存取产生，如果终端是兼容的， AMP从在AMP配置文件指定的前网络服务器下载并且安装。

AMP连接器出现。

要测试在动作的AMP下载在压缩文件包含的Eicar字符串。威胁被发现，并且向AMP Cloud报告。

AMP Cloud

可以使用要验证AMP网云威胁显示板的详细资料。

为了获得关于威胁的更多详细资料，文件路径和fingerpints，您能点击主机，发现malware。

查看或注销登记您能连接到帐户>应用程序ISE的实例

ISE

在ISE正常状态流被看到，重定向首先发生检查网络标准。当终端是兼容的，发送CoA Reauth，并且与PermitAccess的新配置文件分配。

查看您能连接到上下文公开性>终端>减弱的终端的被发现的威胁

如果选择终端并且连接对威胁选项，更多详细资料显示。

当威胁事件为终端时被发现，您能选择终端的MAC地址在折衷的终端页的和运用ANC策略例如(若被设定，检疫)。或者您能发出授权的更改终止会话。

如果CoA会话Terminate选择， ISE发送CoA断开，并且客户端丢失对网络的访问。

Troubleshoot

为了在ISE的关闭调试连接对管理>System >记录>调试日志配置，挑选TC-NAC节点并且改变TC-NAC组件的日志标准调试

将被检查的日志- irf.log。您能直接地从ISE CLI盯梢它：

ISE21-3ek/admin# show logging application irf.log tail

威胁从AMP Cloud被遭受

2016-06-30 18:27:48,617调试[IRF-AMQP-Dispatcher-Notification-0][] cisco.cpm.irf.amqp.NotificationDispatcher:processDelivery:53 - ： ： ： ： ：-呼叫通知处理程序com.cisco.cpm.irf.service.IrfNotificationHandler$MyNotificationHandler@3fac8043消息{messageType=NOTIFICATION， messageId=THREAT_EVENT， content= {“c0:4a:00:14:8d:4b" ：[{“事件” ：{“Impact_Qualification” ：“痛苦”}， “时间戳” ：1467304068599， “供应商” ：“AMP”， “标题” ：“被发现的威胁”}]} ‘priority=0， timestamp=Thu Jun 30 18:27:48 CEST 2016， amqpEnvelope=Envelope(deliveryTag=79， redeliver=false， exchange=irf.topic.events， routingKey=irf.events.threat)， amqpProperties=#contentHeader<basic> (content-type=application/json， content-encoding=null、headers=null， delivery-mode=null， priority=0， correlation-id=null、reply-to=null、expiration=null、message-id=THREAT_EVENT、timestamp=null、type=NOTIFICATION， user-id=null， app-id=fe80e16e-cde8-4d7f-a836-545416ae56f4， cluster-id=null)}

2016-06-30 18:27:48,617调试[IRF-AMQP-Dispatcher-Notification-0][] cisco.cpm.irf.service.IrfNotificationHandler:handle:140 - ： ： ： ： ：-添加到待定队列：消息{messageType=NOTIFICATION， messageId=THREAT_EVENT， content= {“c0:4a:00:14:8d:4b" ：[{“事件” ：{“Impact_Qualification” ：“痛苦”}， “时间戳” ：1467304068599， “供应商” ：“AMP”， “标题” ：“被发现的威胁”}]} ‘priority=0， timestamp=Thu Jun 30 18:27:48 CEST 2016， amqpEnvelope=Envelope(deliveryTag=79， redeliver=false， exchange=irf.topic.events， routingKey=irf.events.threat)， amqpProperties=#contentHeader<basic> (content-type=application/json， content-encoding=null、headers=null， delivery-mode=null， priority=0， correlation-id=null、reply-to=null、expiration=null、message-id=THREAT_EVENT、timestamp=null、type=NOTIFICATION， user-id=null， app-id=fe80e16e-cde8-4d7f-a836-545416ae56f4， cluster-id=null)}

2016-06-30 18:27:48,617调试[IRF-AMQP-Dispatcher-Notification-0][] cisco.cpm.irf.amqp.NotificationDispatcher:processDelivery:59 - ： ： ： ： ：-执行处理通知：Envelope(deliveryTag=79、redeliver=false、exchange=irf.topic.events， routingKey=irf.events.threat) #contentHeader<basic> (content-type=application/json， content-encoding=null、headers=null， delivery-mode=null， priority=0， correlation-id=null、reply-to=null、expiration=null、message-id=THREAT_EVENT、timestamp=null、type=NOTIFICATION， user-id=null， app-id=fe80e16e-cde8-4d7f-a836-545416ae56f4， cluster-id=null)

2016-06-30 18:27:48,706调试[IRF-EventProcessor-0][] cisco.cpm.irf.service.IrfEventProcessor:parseNotification:221 - ： ： ： ： ：-解析通知：消息{messageType=NOTIFICATION， messageId=THREAT_EVENT， content='{"c0:4a:00:14:8d:4b" ：[{“事件” ：{“Impact_Qualification” ：“痛苦”}， “时间戳” ：1467304068599， “供应商” ：“AMP”， “标题” ：“被发现的威胁”}]} ‘priority=0， timestamp=Thu Jun 30 18:27:48 CEST 2016， amqpEnvelope=Envelope(deliveryTag=79， redeliver=false， exchange=irf.topic.events， routingKey=irf.events.threat)， amqpProperties=#contentHeader<basic> (content-type=application/json， content-encoding=null、headers=null， delivery-mode=null， priority=0， correlation-id=null、reply-to=null、expiration=null、message-id=THREAT_EVENT、timestamp=null、type=NOTIFICATION， user-id=null， app-id=fe80e16e-cde8-4d7f-a836-545416ae56f4， cluster-id=null)}

关于威胁的信息被发送到PAN

2016-06-30 18:27:48,724调试[IRF-EventProcessor-0][] cisco.cpm.irf.service.IrfEventProcessor:storeEventsInES:366 - ： ： ： ： ：-添加威胁事件信息发送到泛c0:4a:00:14:8d:4b {incident= {Impact_Qualification=Painful}， time-stamp=1467304068599，被发现的vendor=AMP， title=Threat}