目錄

簡介

必要條件

需求

採用元件

背景資訊

設定

驗證

相關資訊

簡介

本檔案介紹如何透過Firepower管理中心(FMC)對Firepower威脅防禦(FTD)設定NetFlow安全事件記錄(NSEL)。

必要條件

需求

思科建議您瞭解以下主題：

- FMC知識

- FTD知識

- FlexConfig策略知識

採用元件

本文中的資訊係根據以下軟體和硬體版本：

- FTD版本6.6.1

- FMC版本6.6.1

本文中的資訊是根據特定實驗室環境內的裝置所建立。文中使用到的所有裝置皆從已清除（預設）的組態來啟動。如果您的網路運作中，請確保您瞭解任何指令可能造成的影響。

背景資訊

本檔案介紹如何透過Firepower管理中心(FMC)對Firepower威脅防禦(FTD)設定NetFlow安全事件記錄(NSEL)。

FlexConfig文本對象與預定義FlexConfig對象中使用的變數相關聯。預定義的FlexConfig對象和相關文本對象可在FMC中找到，用於配置NSEL。FMC中有四個預定義的FlexConfig對象和三個預定義的文本對象。預定義的FlexConfig對象是只讀的，無法修改。為了修改NetFlow的引數，可以複製對象。

表中列出了四個預定義對象：

表格中列出了三個預定義的文本對象：

設定

本節介紹如何通過FlexConfig策略在FMC上配置NSEL。

步驟1.設定Netflow文本對象的引數。

若要設定變數引數，請導航到對象> FlexConfig >文本對象。編輯netflow_Destination對象。定義多變數型別和計數設定為3。設定介面名稱、目標IP地址和埠。

在此配置示例中，介面為DMZ，NetFlow收集器IP地址為10.20.20.1,UDP埠為2055。

註：使用netflow_Event_Types和netflow_Parameters的預設值。

步驟2.配置擴展訪問清單對象以匹配特定流量。

要在FMC上建立擴展訪問清單，請導航至 「對象」(Object)>「對象管理」(Object Management) 在左邊的選單下 存取清單 選擇 延伸。按一下 新增擴展訪問清單。

填寫「名稱」欄位。在本例中，名稱為flow_export_acl。按一下Add按鈕。配置訪問控制條目以匹配特定流量。

在本範例中，從主機10.10.10.1到任何目的地的流量以及主機172.16.0.20和192.168.1.20之間的流量都排除在外。包括任何其他流量。

步驟3.配置FlexConfig對象。

若要設定FlexConfig物件，請導覽至物件 > FlexConfig > FlexConfig物件，然後按一下Add FlexConfig Object按鈕。

定義標識需要為其匯出NetFlow事件的流量的類對映。 在本示例中，對象的名稱為flow_export_class。

選擇步驟2中建立的訪問清單。按一下Insert > Insert Policy Object > Extended ACL Object，然後分配名稱。然後，按一下Add按鈕。在本例中，變數的名稱為flow_export_acl。按一下「Save」。

在右側空白欄位中新增後續配置行，並將先前定義的變量($flow_export_acl.)包括在match access-list配置行中。

請注意， 美元 符號以變數名稱開頭。這有助於定義變數緊跟在它之後。

class-map flow_export_class

match access-list $flow_export_acl

完成後按一下Save。

步驟4.配置Netflow目標

若要設定Netflow目的地，請導覽至對象 > FlexConfig > FlexConfig對象，然後由Netflow進行過濾。復制對象Netflow_Add_Destination。系統將建立Netflow_Add_Destination_Copy。

分配在步驟3中建立的類。可以建立新的策略對映以將流匯出操作應用於已定義的類。

在本示例中，類插入到當前策略（全域性策略）中。

## destination: interface_nameif destination_ip udp_port

## event-types: any subset of {all, flow-create, flow-denied, flow-teardown, flow-update}

flow-export destination $netflow_Destination.get(0) $netflow_Destination.get(1) $netflow_Destination.get(2)

policy-map global_policy

class flow_export_class

#foreach ( $event_type in $netflow_Event_Types )

flow-export event-type $event_type destination $netflow_Destination.get(1)

#end

完成後按一下Save。

步驟5.將FlexConfig原則分配到FTD

導覽至Devices > FlexConfig，然後建立一個新原則（除非已經有一個原則是為其他用途建立並已指定給同一個FTD）。在本示例中，已建立FlexConfig。編輯FlexConfig策略並選擇在以上步驟中建立的FlexConfig對象。

在此示例中，使用預設的Netflow匯出引數，因此選擇了Netflow_Set_Parameters。 儲存更改並部署。

注意：為了匹配所有流量而不需要匹配特定流量，您可以從步驟2跳到步驟4，並使用預定義的NetFlow對象。

注意：新增第二個NSEL收集器，將NetFlow資料包傳送到該收集器。在步驟1中，新增4個變數以新增第二個Netflow收集器IP地址。

在第4步中，新增配置行：flow-export destination $netflow_Destination.get(0)$netflow_Destination.get(1)$netflow_Destination.get(2)

編輯對應變數的變數$netflow_Destination.get。在此示例中，變數值為3。例如：

flow-export destination $netflow_Destination.get(0) $netflow_Destination.get(1) $netflow_Destination.get(2)

flow-export destination $netflow_Destination.get(0) $netflow_Destination.get(3) $netflow_Destination.get(2)

此外，在配置行中新增第二個變數$netflow_Destination.get: flow-export event-type $event_type destination $netflow_Destination.get(1)。例如：

flow-export event-type $event_type destination $netflow_Destination.get(1) $netflow_Destination.get(3)

驗證此組態，如下圖所示：

驗證

可以在FlexConfig策略中驗證NetFlow配置。若要預覽配置，請按一下Preview Config。選擇FTD並驗證設定。

透過安全殼層(SSH)存取FTD，並使用system support diagnostic-cli指令來運行以下指令：

> system support diagnostic-cli

Attaching to Diagnostic CLI ... Press 'Ctrl+a then d' to detach.

Type help or '?' for a list of available commands.

firepower# show access-list flow_export_acl

access-list flow_export_acl; 3 elements; name hash: 0xe30f1adf

access-list flow_export_acl line 1 extended deny object-group ProxySG_ExtendedACL_34359742097 object 10.10.10.1 any (hitcnt=0) 0x8edff419

access-list flow_export_acl line 1 extended deny ip host 10.10.10.1 any (hitcnt=0) 0x3d4f23a4

access-list flow_export_acl line 2 extended deny object-group ProxySG_ExtendedACL_34359742101 object 172.16.0.20 object 192.168.1.20 (hitcnt=0) 0x0ec22ecf

access-list flow_export_acl line 2 extended deny ip host 172.16.0.20 host 192.168.1.20 (hitcnt=0) 0x134aaeea

access-list flow_export_acl line 3 extended permit object-group ProxySG_ExtendedACL_30064776111 any any (hitcnt=0) 0x3726277e

access-list flow_export_acl line 3 extended permit ip any any (hitcnt=0) 0x759f5ecf

firepower# sh running-config class-map flow_export_class

class-map flow_export_class

match access-list flow_export_acl

firepower# show running-config policy-map

!

policy-map type inspect dns preset_dns_map

parameters

message-length maximum client auto

message-length maximum 512

no tcp-inspection

policy-map type inspect ip-options UM_STATIC_IP_OPTIONS_MAP

parameters

eool action allow

nop action allow

router-alert action allow

policy-map global_policy

class inspection_default

inspect dns preset_dns_map

inspect ftp

inspect h323 h225

inspect h323 ras

inspect rsh

inspect rtsp

inspect sqlnet

inspect skinny

inspect sunrpc

inspect xdmcp

inspect sip

inspect netbios

inspect tftp

inspect icmp

inspect icmp error

inspect ip-options UM_STATIC_IP_OPTIONS_MAP

inspect snmp

class flow_export_class

flow-export event-type all destination 10.20.20.1

class class-default

set connection advanced-options UM_STATIC_TCP_MAP

firepower# show running-config | include flow

access-list flow_export_acl extended deny object-group ProxySG_ExtendedACL_34359742097 object 10.10.10.1 any

access-list flow_export_acl extended deny object-group ProxySG_ExtendedACL_34359742101 object 172.16.0.20 object 192.168.1.20

access-list flow_export_acl extended permit object-group ProxySG_ExtendedACL_30064776111 any any

flow-export destination DMZ 10.20.20.1 2055

class-map flow_export_class

match access-list flow_export_acl

class flow_export_class

flow-export event-type all destination 10.20.20.1

相關資訊

- 思科技術支援與下載