Cisco Firepower

Per utilizzare Firepower Management Console per connettere all’appliance Sophos un firewall che esegue Firepower Threat Defense (FTD) versione 6.4 o successiva, procedere come indicato di seguito.

Configurazione delle impostazioni syslog

1. In FMC, cliccare su Devices (Dispositivi) > Platform Settings (Impostazioni per la piattaforma).
2. Selezionare la piattaforma che si desidera connettere all’appliance e cliccare sull’icona di modifica.
3. Cliccare su Syslog.
4. Cliccare su Syslog Servers > Add (Aggiungi).

5. Immettere i seguenti dettagli di connessione per l’appliance Sophos.

   1. Indirizzo IP. L’indirizzo IP del syslog configurato in Sophos Central.
   2. Tipo di protocollo. Se è stato selezionato UDP, non è necessario attivare il formato EMBLEM.
   3. Numero di porta.

   Occorre immettere le stesse impostazioni specificate in Sophos Central al momento dell’aggiunta dell’integrazione.

6. Non selezionare *Enable secure syslog* (Abilita Syslog sicuro).

7. In Reachable by (Raggiungibile da), immettere i dettagli di rete che permettono al firewall di raggiungere l’appliance Sophos.

8. Cliccare su OK.

   Per maggiori informazioni sulle impostazioni del Server Syslog per i firewall Cisco Firepower, vedere la Configurazione di un server Syslog.

9. Cliccare su Syslog Settings (Impostazioni syslog) e configurare le impostazioni nel modo seguente:

   1. Attivare Enable timestamp on Syslog Messages (Abilita timestamp nei messaggi Syslog).
   2. In Timestamp format (Formato timestamp), selezionare RFC 5424.
   3. Attivare Enable Syslog Device ID (Abilita ID dispositivo Syslog) e selezionare Host Name (Nome host).
   4. Non attivare Netflow Equivalent Settings (Impostazioni di rete equivalenti).

10. Cliccare su Save.

11. Cliccare su Logging Setup (Impostazione log).
12. Selezionare Enable Logging (Abilita log).

13. Non selezionare le seguenti opzioni:

    1. Enable logging on the failover standby unit (Abilita log sulle unità di failover in standby)
    2. Send syslogs in EMBLEM format (Invia Syslog in formato EMBLEM)
    3. Send debug messages as syslogs (Invia messaggi di debug come Syslog)

14. Se si desidera inoltrare gli eventi VPN all’appliance Sophos, procedere come segue:

    1. Nella sezione VPN Logging Settings (Impostazioni di log per la VPN), selezionare Enable Logging to Firewall Management Center (Abilita l’invio di log a Firewall Management Center).
    2. Scegliere Debug come Logging Level (Livello di log).

15. Non occorre immettere le informazioni per Specify FTP Server Information (Specifica informazioni sul server FTP) o Specify Flash Size (Specifica dimensioni flash).

16. Cliccare su Save.

Configurazione delle impostazioni dei log per il controllo di accesso

Occorre anche configurare le impostazioni dei log per il criterio di controllo di accesso, incluso come vengono registrati i file e il malware nei log.

Per farlo, procedere come segue:

1. Cliccare su Policies (Criteri) > Access Control (Controllo di accesso).
2. Cliccare sull’icona di modifica corrispondente al criterio di controllo di accesso che si desidera configurare.
3. Cliccare su Logging (Log).
4. Selezionare Utilizzare le impostazioni syslog configurate nel criterio delle Impostazioni per la piattaforma FTD che è stato distribuito sul dispositivo.
5. In Syslog Severity (Gravità Syslog), selezionare ALERT (AVVISO).
6. Attivare Send Syslog messages for IPS events (Invia messaggi Syslog per eventi IPS).
7. Attivare Send Syslog messages for File and Malware events (Invia messaggi Syslog per gli eventi di file e malware).
8. Cliccare su Save.

Attivazione dei log per gli eventi di Security Intelligence

1. Nello stesso criterio di controllo di accesso, cliccare su Security Intelligence (Intelligence sulla sicurezza).
2. Cliccare sull’icona delle opzioni DNS Policy (Criterio DNS).

3. In DNS Blacklist Logging Options (Opzioni di log per l’elenco di blocco del DNS), attivare le seguenti opzioni:

   • Log Connections.
   • Firewall Management Center
   • Server Syslog.

4. Cliccare su OK.

5. In Blacklist (Elenco di blocco), cliccare sull’icona delle opzioni per Network (Rete).

6. In Network Blacklist Logging Options (Opzioni di log per l’elenco di blocco della rete) attivare le seguenti opzioni:

   • Log Connections
   • Firewall Management Center
   • Server Syslog

7. Cliccare su OK.

8. Scorrere verso il basso in Blacklist, fino a trovare l’icona delle opzioni per gli URL.

9. In URL Blacklist Logging Options (Opzioni di log per l’elenco di blocco degli URL), attivare le seguenti opzioni:

   • Log Connections
   • Firewall Management Center
   • Server Syslog

10. Cliccare su OK.

11. Cliccare su Save.

Attivazione della registrazione nel syslog di ogni regola di controllo di accesso

Bisogna assicurarsi che in tutte le regole del criterio di controllo di accesso sia attivata la registrazione nel syslog.

Per farlo, procedere come indicato di seguito per ogni regola del criterio.

1. Nello stesso criterio di controllo di accesso, cliccare sulla scheda Rules (Regole).
2. Cliccare su una regola per modificarla.
3. In Editing Rule (Modifica della regola), cliccare su Logging (Log).

4. Scegliere se inserire nei log l’inizio o la fine delle connessioni o entrambi.

   I log delle connessioni generano molti dati. Inserendo nei log sia l’inizio che la fine delle connessioni, si genererà circa il doppio dei dati. Non tutte le connessioni possono essere registrate nel log sia all’inizio sia alla fine. Per maggiori informazioni, accedere al proprio account Cisco e accedere alla sezione Connection Logging (Log delle connessioni) della Guida alla configurazione di Firepower Management Center. Vedere Log delle connessioni.

5. Se si desidera registrare eventi dei file, selezionare Log files (Registra file nei log).

6. Attivare Syslog Server (Server Syslog).
7. Cliccare su Save.

Attivazione della registrazione nei log degli eventi di intrusione

È anche necessario attivare la registrazione degli eventi nei log per il criterio di intrusione associato al criterio di controllo di accesso.

1. Cliccare su Policies (Criteri) > Intrusion (Intrusione).
2. Individuare il criterio di intrusione associato al criterio di controllo di accesso e cliccare su Snort 2 Version (Versione di Snort 2).
3. In Policy Information (Informazioni sul criterio), cliccare su Advanced Settings (Impostazioni avanzate).
4. In Advanced Settings (Impostazioni avanzate), selezionare Syslog Alerting (Avvisi Syslog).
5. Cliccare su Enabled (Abilitati).
6. Cliccare su Back (Indietro).
7. In Policy Information (Informazioni sul criterio), cliccare su Commit Changes (Conferma modifiche).
8. Immettere una descrizione delle modifiche e cliccare su OK.

Per informazioni sull’analisi degli eventi, vedere Analisi degli eventi con strumenti esterni.

Per le istruzioni più recenti pubblicate dal vendor, vedere Configurazione e verifica di Syslog in Firepower Device Manager.

Per connettere un dispositivo Firepower alla propria appliance Sophos utilizzando FDM, procedere come indicato di seguito.

Attivazione della registrazione nei log degli eventi relativi a file e malware.

Per attivare la registrazione nei log degli eventi relativi a file e malware e per aggiungere i dettagli di connessione dell’appliance Sophos al firewall, procedere come indicato di seguito.

1. Accedere a FDM sul dispositivo che si desidera configurare e caricare la <>scheda Device: Name (Dispositivo: Nome).
2. In System Settings (Impostazioni di sistema), cliccare su Logging Settings (Impostazioni di log).
3. Attivare FILE/MALWARE LOGGING (LOG FILE/MALWARE).
4. Cliccare su Server Syslog per visualizzare i server disponibili.
5. Se l’appliance Sophos è già stata aggiunta a questo dispositivo, selezionarla. In caso contrario, cliccare su Create new Syslog Server (Crea nuovo Server Syslog).

6. Immettere i seguenti dettagli di connessione per l’appliance Sophos.

   1. Indirizzo IP. L’indirizzo IP del syslog configurato in Sophos Central.
   2. Tipo di protocollo.
   3. Numero di porta.

   Occorre immettere le stesse impostazioni specificate in Sophos Central al momento dell’aggiunta dell’integrazione.

7. Se richiesto, selezionare una Data Interface (Interfaccia dati) o una Management Interface (Interfaccia di gestione) idonea al proprio ambiente di rete.

8. Cliccare su OK.
9. Il nuovo server verrà visualizzato in Server Syslog. Cliccarvi sopra per selezionarlo.
10. In Log at Severity Level (Log a livello di gravità), selezionare Debug.
11. Cliccare su SAVE.

Configurazione dei criteri

In ogni criterio è necessario attivare la registrazione nei log per le attività che si desidera inoltrare all’appliance Sophos. È possibile attivare il controllo di accesso e gli eventi di intrusione.

Per farlo, procedere come segue:

1. Cliccare su Policies (Criteri) > Access Control (Controllo di accesso).
2. Individuare il criterio da configurare e cliccare sull’icona di modifica.
3. Cliccare su Logging (Log).
4. In SELECT LOG ACTION (SELEZIONA AZIONE DI LOG), specificare se si desidera effettuare la registrazione nei log all’inizio o alla fine della connessione, o nessuna delle due opzioni.
5. In FILE EVENTS (EVENTI FILE), attivare Log Files
6. Se si desidera registrare nei log gli eventi di intrusione, aprire Intrusion Policy (Criterio di intrusione) e attivare INTRUSION POLICY.
7. Selezionare l’Intrusion Policy da applicare.

8. Se si desidera registrare nei log gli eventi dei file, aprire File Policy (Criterio file) e selezionare il criterio file da applicare. Le opzioni disponibili sono:

   • Block Malware All
   • Malware Cloud Lookup - No Block

9. In SEND CONNECTION EVENTS TO: (INVIA EVENTI DI CONNESSIONE A:), selezionare la propria appliance Sophos.

10. Cliccare su OK.
11. Cliccare su Intrusion (Intrusione).
12. Cliccare sul pulsante Edit Logging Settings (Modifica impostazioni di log) per configurare syslog.

13. Cliccare sull’icona a forma di più sotto Send Intrusion Events To (Invia eventi di intrusione a) e selezionare gli oggetti del server che definiscono i server syslog.

    Se gli oggetti richiesti non esistono ancora, cliccare su Create New Syslog Server (Crea nuovo server Syslog) e crearli.

14. Individuare il criterio da configurare e cliccare sull’icona delle impostazioni.

15. In Edit Logging Settings (Modifica impostazioni di log), cliccare sull’icona a forma di Più e selezionare la propria appliance Sophos.
16. Cliccare su OK.

Ripetere questi passaggi per tutti i criteri che devono inviare dati all’appliance Sophos.

Per le informazioni del vendor sui criteri di intrusione, vedere Criteri di intrusione.

Salvataggio delle modifiche

Le modifiche saranno attive sul dispositivo solo dopo la loro implementazione. Per farlo, procedere come segue:

1. Cliccare sull’icona di Implementazione.

   Sull’icona, viene visualizzato un puntino quando sono presenti modifiche non implementate.

2. In Pending Changes (Modifiche in sospeso), verificare le modifiche.

3. Cliccare su DEPLOY NOW (IMPLEMENTA ORA).

Per i dettagli completi del processo, consultare la documentazione di Cisco. Vedere Creazione di una risposta agli avvisi syslog.

Per connettere i dispositivi Firepower classici alla propria appliance Sophos, procedere come indicato di seguito.

Configurazione delle impostazioni syslog

1. Accedere al proprio Firepower Management Center (FMC).
2. Cliccare su Policies (Criteri) > Actions (Azioni) > Alerts (Avvisi).
3. In Create Alert (Crea avviso), selezionare Create Syslog Alert (Crea avviso syslog).
4. Inserire un Name (Nome) per l’avviso, ad esempio IntegrazioneSophos
5. Immettere l’indirizzo IP dell’appliance Sophos in Host.
6. Immettere il numero di porta configurato nell’appliance Sophos in Port (Porta).

7. Selezionare la Facility (Struttura).

   L’appliance Sophos accetta i dati di qualsiasi struttura. Per un elenco delle opzioni per i dati, consultare la documentazione di Cisco. Vedere la Tabella 1. Available Syslog Facilities (Strutture syslog disponibili).

8. Selezionare il livello di Severity (Gravità).

   L’appliance Sophos accetta qualsiasi livello di gravità selezionato. Per un elenco delle opzioni, consultare la documentazione di Cisco. Vedere la Tabella 2. Syslog Severity Levels (Livelli di gravità Syslog).

9. Cliccare su Save.

Quando si attiva Send Audit Log to Syslog (Invia log di audit a syslog) e si forniscono informazioni sull’Host, oltre ai registri di controllo, verranno inviati all’host anche i messaggi syslog. Se si desidera modificare questa impostazione, consultare la documentazione di Cisco. Vedere Filter Syslogs from Audit Logs (Filtra i syslog dai log di audit).

Configurazione delle impostazioni di syslog per il controllo di accesso

1. Accedere al dispositivo.
2. Cliccare su Policies (Criteri) > Access Control (Controllo di accesso).
3. Modificare il criterio di controllo di accesso applicabile.
4. Cliccare su Logging (Log).
5. Selezionare Send using specific syslog alert (Invia tramite avviso syslog specifico).
6. Selezionare l’avviso syslog creato in precedenza.
7. Cliccare su Save.

Attivazione della registrazione nei log degli eventi relativi a file e malware

1. Selezionare Send Syslog messages for File and Malware events (Invia messaggi syslog per gli eventi di file e malware).
2. Cliccare su Save.

Attivazione della registrazione nei log degli eventi di intrusione

1. Accedere al criterio delle intrusioni associato al proprio criterio di controllo di accesso.
2. Nel criterio delle intrusioni, cliccare su Advanced Settings (Impostazioni avanzate) > Syslog Alerting (Avvisi syslog) > Enabled (Attivati).
3. Cliccare su Back (Indietro).
4. In Policy Information (Informazioni sul criterio), cliccare su Commit Changes (Conferma modifiche).
5. Immettere una descrizione delle modifiche e cliccare su OK.