• Cisco Firepower App for Splunk提供从运行 6.0 版或更高版本发送Firepower 管理中心到 Splunk 的安全性和网络事件信息。

  可用功能受 Firepower 版本的影响。

• 必须先将您的 Firepower 事件数据置于 Splunk 中，然后才能使用此应用程序。

  要将 Firepower 数据置入 Splunk，请使用适用于 Splunk 的思科 eStreamer eNcore 插件。可从https://splunkbase.splunk.com/app/3662/获取此技术性插件 (TA)。

  有关此 TA 的文档，请访问https://www.cisco.com/c/en/us/support/security/defense-center/products-programming-reference-guides-list.html。

• 有关可用于分析的数据类型，请访问https://splunkbase.splunk.com/app/3662/。

配置网络设置（特别是确定您的家庭网络），以便能够轻松识别源自您的网络的攻击。

• 确认您的系统阻止了系统发现的威胁：

  在“威胁”>“威胁摘要”页面上，过滤未被阻止的威胁（无论方向）。

  在“威胁”>“入侵事件”页面上，过滤未被阻止的 1 级影响力威胁。

• 查找被攻击的内部主机：

  内部主机发起的攻击始终会指示攻击。

  • 在“威胁”>“入侵事件”页面上，过滤 3 级影响力威胁（无论是否被阻止），然后在时间线下方的饼图中单击相关的内部主机选项。调查页面底部表格中的内部 IP 地址。

  • 然后对 2 级影响力事件执行相同的操作。

  • 在“威胁”>“威胁摘要”页面上，过滤源自内部主机的方向（无论是否被阻止）并调查牵涉到的内部主机（无论威胁是否被阻止）。

• 识别受到恶意软件影响的主机，这些恶意软件在被称为威胁之前进入您的网络：

  使用“威胁”>“威胁摘要”页面上的回顾性恶意软件事件图识别受影响的主机。

• 查找网络上的异常状况，例如未经核准的应用程序或使用中的非标准端口：

  • 检查“网络”页面上的图表。

  • 按照“网络”页面“使用最少见 TCP 端口的最常用服务器应用程序”图上突出显示的信息，查找非常见端口上的活动。

• 查看异常的数据 — 出乎意料经常或不经常看到的活动或参数。

• 调查网络上的任何意外主机：

  网络上没有关联主机发现的 0 级入侵事件可能表示存在幽灵网络。

  （0 级入侵事件也可能表示您的网络发现策略未正确实施。）

• 查找随时间推移或针对密钥主机（例如服务器）的高优先级攻击的峰值或趋势：

  这些最容易在“威胁”菜单下每个页面的时间线图中看到。

  选择多个时间范围以查看实际意义。

• 消除大量无关紧要的数据，使重要数据更醒目。

• 仔细审查独特的事件，这可能表示针对性极强的攻击。

• 向下钻取感兴趣的事项。

  当您发现引发警示标记的模式、主机、用户、应用程序、端口等时，可以向下钻取并过滤以查看涉及相关实体的其他事务。此外，右键单击项目可查看是否有其他信息可用。

• 在深入分析时，留意可能可疑的任何其他行为。例如：

  • 一段时间内，一个 URL 意外地与多个 IP 地址和 MAC 地址相关联。

  • 过去一小时内，主机使用 SSH 意外连接到 30 个不同的终端。

• 查找与特定 IP 地址关联的事件和数据：

  使用“威胁”>“上下文资源管理器”页面。

  注	如果您的过滤器包含多个 IP 地址，应用程序的响应可能会变得非常慢，具体取决于您的数据设置方式。

• 另请参阅入侵事件影响级别。

小工具说明：

此应用程序中的大多数小工具与 Firepower 管理中心中的等效小工具相同。有关这些小工具的信息，请参阅《配置指南》，网址：https://www.cisco.com/c/en/us/support/security/defense-center/products-installation-and-configuration-guides-list.html。