Zum Inhalt
Klicken Sie hier für Support-Informationen zu MDR.

Cisco Firepower

Protokollsammler

Sie benötigen das Integrations-Lizenz-Paket „Firewall“, um diese Funktion nutzen zu können.

Sie können Firepower in Sophos Central integrieren, sodass Audit-Daten an Sophos zur Analyse gesendet werden.

Diese Integration verwendet einen auf einer virtuellen Maschine (VM) gehosteten Protokollsammler. Zusammen werden sie als Datensammler bezeichnet. Der Datensammler empfängt Daten von Drittanbietern und sendet sie an den Sophos Data Lake.

Sie können Protokollsammler zu einer vorhandenen VM hinzufügen, auf der Sophos NDR VA und andere Protokollsammler ausgeführt werden. Sie können auch eine neue VM für diese Integration erstellen.

Hinweis

Sie können mehrere Cisco Firepower Firewalls zu demselben Sophos Datensammler hinzufügen.

Richten Sie dazu Ihre Cisco Firepower-Integration in Sophos Central ein und konfigurieren Sie dann eine Firewall, um Protokolle an sie zu senden. Konfigurieren Sie dann Ihre anderen Cisco Firepower Firewalls, um Protokolle an denselben Sophos Datensammler zu senden.

Sie müssen den Sophos Central-Abschnitt des Setups nicht wiederholen.

Die wichtigsten Schritte zum Hinzufügen einer Integration sind die Folgenden:

  • Fügen Sie eine Integration für dieses Produkt hinzu. Damit wird eine Open Virtual Appliance (OVA)-Datei konfiguriert.
  • Stellen Sie die OVA-Datei auf Ihrem ESXi-Server bereit. Dies wird zu Ihrem Datensammler.
  • Konfigurieren Sie Firepower zum Senden von Daten. Die Schritte, die Sie befolgen, hängen vom verwendeten Gerät ab.
  • Verbinden Sie Firepower mit Ihrer VM.

Eine neue Integration hinzufügen

Verfahren Sie zur Integration von Firepower in Sophos Central wie folgt:

  1. Gehen Sie in Sophos Central zu Bedrohungsanalyse-Center und klicken Sie auf Integrationen.
  2. Klicken Sie auf Cisco Firepower.

    Wenn Sie bereits Verbindungen zu Firepower eingerichtet haben, sehen Sie diese hier.

  3. Klicken Sie auf Hinzufügen.

    Hinweis

    Wenn dies die erste Integration ist, die Sie hinzugefügt haben, werden Sie zur Angabe von Details zu Ihren internen Domänen und IP-Adressen aufgefordert. Siehe Meine Domänen und IPs.

    Integrationsschritte wird angezeigt.

VM konfigurieren

In den Integrations-Einrichtungsschritten konfigurieren Sie Ihre VM so, dass sie Daten von Firepower empfängt. Sie können eine vorhandene VM verwenden oder eine neue erstellen.

Möglicherweise müssen Sie zu Firepower gehen, um Informationen zu beziehen, die Sie zum Ausfüllen des Formulars benötigen.

Um die VM zu konfigurieren, gehen Sie wie folgt vor:

  1. Fügen Sie für die neue Integration einen Namen und eine Beschreibung hinzu.
  2. Geben Sie einen Namen und eine Beschreibung für den Datensammler ein.

    Wenn Sie bereits eine Datensammler-Integration eingerichtet haben, können Sie diese aus einer Liste auswählen.

  3. Wählen Sie die virtuelle Plattform aus. (Derzeit unterstützen wir nur VMware).

  4. Geben Sie die internetseitigen Netzwerk-Ports an.

    • Wählen Sie DHCP, um die IP-Adresse automatisch zuzuweisen.

      Hinweis

      Wenn Sie DHCP auswählen, müssen Sie die IP-Adresse reservieren.

    • Wählen Sie Manuell, um die Netzwerkeinstellungen festzulegen.

    Sie benötigen die Adresse der VM später, wenn Sie Firepower so konfigurieren, dass Daten an die VM gesendet werden.

  5. Wählen Sie ein Protokoll aus.

  6. Wählen Sie ein Syslog-Format aus.
  7. Füllen Sie alle verbleibenden Felder aus.
  8. Klicken Sie auf Speichern.

    Wir erstellen die Integration und sie wird in Ihrer Liste angezeigt. Es kann einige Minuten dauern, bis die OVA-Datei zum Download bereit ist.

VM bereitstellen

Einschränkung

Die OVA-Datei wird von Sophos Central verifiziert und kann nur einmal verwendet werden. Nachdem Sie die VM bereitgestellt haben, können Sie die Datei nicht noch einmal verwenden.

Wenn Sie eine neue VM bereitstellen wollen, müssen Sie alle diese Schritte wiederholen, um diese Integration mit Sophos Central zu verbinden.

Verwenden Sie die OVA-Datei, um die VM bereitzustellen. Gehen Sie dazu wie folgt vor:

  1. Klicken Sie in der Liste der Integrationen unter Aktionen auf OVA herunterladen.
  2. Wenn der Download der OVA-Datei abgeschlossen ist, stellen Sie sie auf Ihrem ESXi-Server bereit. Ein Assistent führt Sie durch den Prozess. Siehe VM für Integrationen bereitstellen.

Wenn Sie die VM bereitgestellt haben, wird die Integration als Verbunden angezeigt.

Firepower konfigurieren

Konfigurieren Sie jetzt Firepower so, dass Daten an den Datensammler gesendet werden. Der Datensammler fungiert als Syslog-Server, sodass Sie die Syslog-Server-Funktion Ihrer Firewall verwenden, um Daten an ihn zu senden.

Die Schritte, die Sie befolgen, hängen von der Firmware-Version auf Ihrem Gerät und der Cisco-Verwaltungsmethode ab, die Sie verwenden.

Für Firewalls, die Firepower Threat Defense (FTD) Version 6.3 oder höher ausführen, klicken Sie auf die Registerkarte für die von Ihnen verwendete Verwaltungsmethode. Sie können Firepower Management Console (FMC) oder Firepower Defence Manager (FDM) verwenden.

Für Firewalls, die Firepower Threat Defense (FTD)-Versionen vor 6.3 ausführen, klicken Sie auf die Registerkarte für „Classic Devices“.

Hinweis

Vermeiden Sie Sonderzeichen, einschließlich Kommas, in Objektnamen wie Richtlinien- und Regelnamen. Der Datensammler auf der VM kann die Zeichen als Trennzeichen behandeln.

Gehen Sie wie folgt vor, um eine Firewall mit Firepower Threat Defense (FTD) Version 6.3 oder höher über die Firepower Management Console mit Ihrem Sophos Datensammler zu verbinden.

Syslog-Einstellungen konfigurieren

  1. Klicken Sie in FMC auf Devices > Platform Settings.
  2. Wählen Sie die Plattform aus, die Sie mit dem Datensammler verbinden möchten und klicken Sie auf das Bearbeitungssymbol.
  3. Klicken Sie auf Syslog.
  4. Klicken Sie auf Syslog Servers > Add.
  5. Geben Sie die folgenden Verbindungsdetails für Ihren Sophos-Datensammler ein:

    1. IP-Adresse.
    2. Protokolltyp. Wenn Sie UDP ausgewählt haben, dürfen Sie das EMBLEM-Format nicht aktivieren.
    3. Portnummer.

    Sie müssen dieselben Einstellungen eingeben, die Sie in Sophos Central eingegeben haben, als Sie die Integration hinzugefügt haben.

  6. Wählen Sie nicht die Option Enable secure syslog aus.

  7. Geben Sie in Reachable By die Netzwerkdetails ein, die es Ihrer Firewall ermöglichen, den Sophos Datensammler zu erreichen.

  8. Klicken Sie auf OK.

    Weitere Informationen zu den Syslog-Servereinstellungen für Cisco Firepower Firewalls finden Sie unter Konfigurieren eines Syslog-Servers.

  9. Klicken Sie auf Syslog Settings und konfigurieren Sie die Einstellungen wie folgt:

    1. Aktivieren Sie die Option Enable timestamp on Syslog Messages.
    2. Wählen Sie unter Timestamp Format die Option RFC 5424 aus.
    3. Aktivieren Sie Enable Syslog Device ID und wählen Sie Host Name aus.
    4. Aktivieren Sie nicht die Option Netflow Equivalent Settings.
  10. Klicken Sie auf Speichern.

  11. Klicken Sie auf Logging Setup.

  12. Wählen Sie Enable Logging aus.
  13. Sie dürfen Folgendes nicht auswählen:

    1. Enable logging on the failover standby unit
    2. Send syslogs in EMBLEM format
    3. Send debug messages as syslogs
  14. Wenn Sie VPN-Ereignisse an den Sophos Datensammler weiterleiten möchten, gehen Sie wie folgt vor:

    1. Wählen Sie im Abschnitt VPN Logging Settings die Option Enable Logging to Firewall Management Center.
    2. Wählen Sie Debug als Logging Level.
  15. Sie müssen keine Informationen für Specify FTP Server Information oder Specify Flash Size eingeben.

  16. Klicken Sie auf Speichern.

Konfigurieren Sie Protokollierungseinstellungen für die Zugriffskontrolle

Sie müssen auch Protokollierungseinstellungen für die Zugriffskontrollrichtlinie konfigurieren, einschließlich Datei- und Malware-Protokollierung.

Gehen Sie dazu wie folgt vor:

  1. Klicken Sie auf Policies > Access Control.
  2. Klicken Sie auf das Bearbeitungssymbol für die Access Control Policy, die Sie konfigurieren möchten.
  3. Klicken Sie auf Logging.
  4. Wählen Sie Use the syslog settings configured in the FTD Platform Settings policy deployed on the device.
  5. Wählen Sie unter Syslog Severity die Option ALERT.
  6. Aktivieren Sie Send Syslog messages for IPS events.
  7. Aktivieren Sie Send Syslog messages for File and Malware events.
  8. Klicken Sie auf Speichern.

Protokollierung für Security-Intelligence-Ereignisse aktivieren

  1. Klicken Sie in derselben Access Control Policy auf die Registerkarte Security Intelligence.
  2. Klicken Sie auf das Optionssymbol DNS Policy.
  3. Aktivieren Sie unter DNS Block List Logging Options Folgendes:

    • Log Connections.
    • Firewall Management Center
    • Syslog Server.
  4. Klicken Sie auf OK.

  5. Klicken Sie in der Block List auf das Optionssymbol Network.

  6. Aktivieren Sie unter Network Block List Logging Options Folgendes:

    • Log Connections
    • Firewall Management Center
    • Syslog-Server
  7. Klicken Sie auf OK.

  8. Scrollen Sie in der Block List zum Optionssymbol URL.

  9. Aktivieren Sie unter URL Block List Logging Options Folgendes:

    • Log Connections
    • Firewall Management Center
    • Syslog-Server
  10. Klicken Sie auf OK.

  11. Klicken Sie auf Speichern.

Syslog-Protokollierung für jede Zugriffskontrollregel aktivieren

Sie müssen sicherstellen, dass für jede Regel in der Access Control Policy die Syslog-Protokollierung aktiviert ist.

Gehen Sie dazu für jede Regel in der Policy wie folgt vor:

  1. Klicken Sie in derselben Zugriffskontrollrichtlinie auf die Registerkarte Rules.
  2. Klicken Sie auf eine Regel, um sie zu bearbeiten.
  3. Klicken Sie unter Editing Rule auf Logging.
  4. Wählen Sie aus, ob der Start oder das Ende von Verbindungen oder beides protokolliert werden soll.

    Die Verbindungsprotokollierung generiert sehr viele Daten. Die Protokollierung am Start und Ende erzeugt ungefähr doppelt so viele Daten. Nicht alle Verbindungen können sowohl am Anfang als auch am Ende protokolliert werden. Weitere Informationen erhalten Sie, wenn Sie sich bei Ihrem Cisco-Konto anmelden und im Firepower Management Center Configuration Guide, Version 6.2, zum Abschnitt „Connection Logging“ gehen. Siehe Connection Logging.

  5. Wenn Sie Dateiereignisse protokollieren möchten, wählen Sie Log Files.

  6. Aktivieren Sie Syslog Server.
  7. Klicken Sie auf Speichern.

Protokollierung für Intrusion-Ereignisse aktivieren

Sie müssen auch die Ereignisprotokollierung in der Richtlinie für unbefugte Zugriffe aktivieren, die mit Ihrer Access Control Policy verknüpft ist.

  1. Klicken Sie auf Policies > Intrusion.
  2. Suchen Sie die Richtlinie für unbefugte Zugriffe, die Ihrer Access Control Policy zugeordnet ist, und klicken Sie auf Snort 2 Version.
  3. Klicken Sie unter Policy Information auf Advanced Settings.
  4. Wechseln Sie in Advanced Settings zu Syslog Alerting.
  5. Klicken Sie auf Enabled.
  6. Klicken Sie auf Zurück.
  7. Klicken Sie in den Richtlinieninformationen auf Commit Changes.
  8. Geben Sie eine Beschreibung der Änderung ein und klicken Sie auf OK.

Hinweis

Vermeiden Sie Sonderzeichen, einschließlich Kommas, in Objektnamen wie Richtlinien- und Regelnamen. Der Datensammler auf der VM kann die Zeichen als Trennzeichen behandeln.

Gehen Sie wie folgt vor, um ein Firepower-Gerät mit Ihrem Sophos Datensammler mit FDM zu verbinden:

Protokollierung für Datei- und Malware-Ereignisse aktivieren.

Gehen Sie wie folgt vor, um die Protokollierung für Datei- und Malware-Ereignisse zu aktivieren und die Verbindungsdetails Ihres Sophos Datensammlers zur Firewall hinzuzufügen.

  1. Melden Sie sich bei FDM auf dem Gerät an, das Sie konfigurieren möchten, und gehen Sie zur Registerkarte Device:<name> .
  2. Klicken Sie in den System Settings auf Logging Settings.
  3. Aktivieren Sie FILE/MALWARE LOGGING.
  4. Klicken Sie auf Syslog Server, um die verfügbaren Server anzuzeigen.
  5. Wenn Sie Ihren Sophos Datensammler bereits zu diesem Gerät hinzugefügt haben, wählen Sie ihn aus. Falls nicht, klicken Sie auf Create new Syslog Server.
  6. Geben Sie die folgenden Verbindungsdetails für Ihren Sophos-Datensammler ein:

    1. IP-Adresse.
    2. Protokolltyp.
    3. Portnummer.

    Sie müssen dieselben Einstellungen eingeben, die Sie in Sophos Central eingegeben haben, als Sie die Integration hinzugefügt haben.

  7. Wählen Sie bei Bedarf eine Data Interface oder Management Interface aus, die zu Ihrer Netzwerkumgebung passt.

  8. Klicken Sie auf OK.
  9. Ihr neuer Server wird unter Syslog Server angezeigt. Klicken Sie darauf, um ihn auszuwählen
  10. Wählen Sie unter Log at Severity Level die Option Debug aus.
  11. Klicken Sie auf SAVE.

Konfigurieren von Richtlinien

In jeder Richtlinie müssen Sie die Protokollierung für die Aktivitäten aktivieren, die Sie an Ihren Sophos Datensammler senden möchten. Sie können die Zugriffssteuerung und Intrusion-Ereignisse aktivieren.

Gehen Sie dazu wie folgt vor:

  1. Klicken Sie auf Policies > Access Control.
  2. Suchen Sie nach der Richtlinie, die Sie bearbeiten möchten, und klicken Sie auf das Symbol „Bearbeiten“.
  3. Klicken Sie auf Logging.
  4. Wählen Sie unter SELECT LOG ACTION aus, ob Sie am Anfang oder am Ende von Verbindungen protokollieren möchten oder keines von beiden.
  5. Aktivieren Sie unter FILE EVENTS die Option Log Files
  6. Wenn Sie Intrusion-Ereignisse protokollieren möchten, aktivieren Sie in Intrusion Policy die Option INTRUSION POLICY.
  7. Wählen Sie die Intrusion Policy aus, die Sie zuweisen möchten.
  8. Wenn Sie Dateiereignisse protokollieren möchten, wählen Sie unter File Policy die Dateirichtlinie aus, die Sie anwenden möchten. Wählen Sie aus den folgenden Optionen aus:

    • Block Malware All
    • Malware Cloud Lookup - No Block
  9. Wählen Sie unter SEND CONNECTION EVENTS TO: Ihren Sophos Datensammler aus.

  10. Klicken Sie auf OK.
  11. Klicken Sie auf Intrusion.
  12. Suchen Sie die Richtlinie, die Sie konfigurieren möchten, und klicken Sie auf das Symbol „Einstellungen“.
  13. Klicken Sie unter Edit Logging Settings auf das Pluszeichen, und wählen Sie Ihren Sophos Datensammler aus.
  14. Klicken Sie auf OK.

Wiederholen Sie diese Schritte für jede Richtlinie, die Daten an Ihren Sophos Datensammler senden soll.

Änderungen speichern

Ihre Änderungen werden erst dann auf dem Gerät aktiv, wenn Sie sie bereitstellen. Gehen Sie dazu wie folgt vor:

  1. Klicken Sie auf das Bereitstellungssymbol.

    Der Punkt auf dem Symbol wird angezeigt, wenn Sie nicht bereitgestellte Änderungen haben.

  2. Prüfen Sie die Änderungen unter Pending Changes.

  3. Klicken Sie auf DEPLOY NOW.

Weitere Informationen zu diesem Prozess finden Sie in der Cisco-Dokumentation. Siehe Erstellen einer Syslog-Alarm-Antwort.

Hinweis

Vermeiden Sie Sonderzeichen, einschließlich Kommas, in Objektnamen wie Richtlinien- und Regelnamen. Der Datensammler auf der VM kann die Zeichen als Trennzeichen behandeln.

Gehen Sie wie folgt vor, um Firepower Classic Devices mit Ihrem Sophos Datensammler zu verbinden:

Syslog-Einstellungen konfigurieren

  1. Melden Sie sich bei Ihrem Firepower Management Center (FMC) an.
  2. Klicken Sie auf Policies > Actions > Alerts.
  3. Wählen Sie unter Create Alert die Option Create Syslog Alert.
  4. Geben Sie einen Namen für den Alarm ein, z. B. SophosIntegration.
  5. Geben Sie unter Host die IP-Adresse Ihres Sophos Datensammlers ein.
  6. Geben Sie unter Port den auf Ihrem Sophos-Protokollsammler konfigurierten Port ein.
  7. Wählen Sie die Facility.

    Der Sophos Datensammler akzeptiert alle Speicherortdaten. Die Liste der Datenoptionen finden Sie in der Cisco Dokumentation. Siehe Tabelle 1. Verfügbare Syslog-Facilities.

  8. Wählen Sie den Schweregrad aus.

    Der Sophos Datensammler akzeptiert jeden von Ihnen gewählten Schweregrad. Die Liste der Optionen finden Sie in der Cisco Dokumentation. Siehe Tabelle 2. Syslog-Schweregrade.

  9. Klicken Sie auf Speichern.

Wenn Sie Filter Syslogs from Audit Logs aktivieren und Host-Informationen bereitstellen, werden sowohl Syslog-Nachrichten als auch Audit-Protokolle an den Host gesendet. Wenn Sie dies ändern möchten, finden Sie weitere Informationen in der Cisco Dokumentation. Siehe Filter Syslogs from Audit Logs.

Syslog-Einstellungen für die Zugriffskontrolle konfigurieren

  1. Melden Sie sich bei Ihrem Konto an.
  2. Klicken Sie auf Policies > Access Control.
  3. Bearbeiten Sie die relevante Zugriffskontroll-Richtlinie.
  4. Klicken Sie auf Logging.
  5. Wählen Sie Send using specific syslog alert.
  6. Wählen Sie den oben erstellten Syslog-Alarm aus.
  7. Klicken Sie auf Speichern.

Protokollierung für Datei- und Malware-Ereignisse aktivieren

  1. Wählen Sie Send Syslog messages for File and Malware events.
  2. Klicken Sie auf Speichern.

Protokollierung für Intrusion-Ereignisse aktivieren

  1. Rufen Sie die Intrusion-Richtlinie auf, die Ihrer Zugriffskontroll-Richtlinie zugeordnet ist.
  2. Klicken Sie in Ihrer Intrusion-Richtlinie auf Advanced Settings > Syslog Alerting > Enabled.
  3. Klicken Sie auf Zurück.
  4. Klicken Sie in den Richtlinieninformationen auf Commit Changes.
  5. Geben Sie eine Beschreibung der Änderung ein und klicken Sie auf OK.

Ihre Cisco Firepower-Alarme sollten nach der Validierung im Sophos Data Lake angezeigt werden.