后续步骤

后续步骤

在将防火墙设备配置为将事件数据作为 Security Analytics and Logging (OnPrem) 的一部分发送到 Cisco Secure Network Analytics 设备后，您可以执行以下步骤：

  • 查看 管理中心 在线帮助。

  • 查看 管理器 在线帮助，了解关于 Cisco Secure Network Analytics 的更多信息。转到调查 (Investigate) > Security Analytics and Logging (OnPrem)。

在 管理中心 和使用存储在 Cisco Secure Network Analytics 设备上的连接事件上工作

如果您的设备正在使用 Security Analytics and Logging (OnPrem)向 Cisco Secure Network Analytics 设备发送连接事件，您可以在 管理中心的事件查看器和情景管理器中查看和使用这些远程存储的事件，并在生成报告时包括这些事件。 您还可以从 管理中心 中的事件交叉启动，以查看 Cisco Secure Network Analytics 设备上的相关数据。

默认情况下，系统会根据您指定的时间范围自动选择适当的数据源。如果要覆盖数据源，请使用此程序。


重要

当您更改数据源时，您的选择会在依赖于事件数据源的所有相关分析功能（包括报告）中保持不变，直到您对其进行更改（即使在您注销后）。您的选择不适用于其他 管理中心 用户。

所选数据源仅用于低优先级连接事件。所有其他事件类型（入侵，文件和恶意软件事件；与这些事件关联的连接事件；以及安全智能事件）都会显示，无论数据源如何。

开始之前

您已使用向导向 Security Analytics and Logging (OnPrem)发送连接事件。

过程

步骤 1

在 管理中心 Web 界面中，导航至显示连接事件数据的页面，例如 分析 >连接 > 事件。

步骤 2

点击此处显示的数据源并选择一个选项：

数据源选择器在页面上的位置

小心

 

如果选择 本地，则系统仅显示 管理中心上的可用数据，即使本地数据在所选的整个时间范围内不可用。您不会收到此情况的通知。

步骤 3

（可选）要直接在 Cisco Secure Network Analytics 设备中查看相关数据，请右键点击（在统一事件查看器中，点击）IP 地址或域等值，然后选择交叉启动选项。

使用交叉启动调查事件

在 管理中心 中查看事件时，您可以右键单击某些事件数据（例如，IP 地址），然后在 管理器 中查看相关数据。

过程

步骤 1

导航到 管理中心中显示事件的以下其中一个页面：

  • 控制面板（概述 > 控制面板），或

  • 事件查看器页面（“分析”(Analysis) 菜单下包括事件表的任何菜单选项）。

步骤 2

右键点击感兴趣的事件字段，然后选择 Security Analytics and Logging (OnPrem) 交叉启动资源。管理器 将在单独的浏览器窗口中打开。如果您尚未登录，系统可能会提示您输入用户名和密码。处理查询可能需要一些时间，这取决于要查询的数据量、管理器 的速度和需求等。

步骤 3

登录到 管理器。