Cisco ASA Firepower content pack (контент багц)
Энэ хуудсыг AI-аар орчуулж, автоматаар шалгасан. Нарийн тохиргоо хийхээсээ өмнө англи эхтэй тулгаж болно.
Cisco ASA (Adaptive Security Appliance) нь Cisco-гийн олон зориулалттай firewall төхөөрөмж бөгөөд ерөнхийдөө пакет шүүхэд ашиглагддаг боловч stateful шүүлт, аппликейшний шалгалт (application inspection), NAT, DHCP, чиглүүлэлт, VPN зэрэг олон нэмэлт боломжийг дэмждэг. Энэ технологийн багц нь Cisco ASA логийг боловсруулж, нийтлэг сонирхолтой үйл явдлуудыг нормчилж, баяжуулна.
Firepower нь ASA-ийн өргөтгөл юм.
Шаардлага
- Энэ контент багц нь 9.x хүртэлх Cisco ASA эсвэл Cisco Firepower 7.1 ба түүнээс дээш хувилбарыг дэмжинэ.
- ASA/Firepower-ийг Security Data Lake руу лог илгээхээр тохируулна (албан ёсны ASA баримт бичгийг үзнэ үү: Configure Adaptive Security Appliance (ASA) Syslog) (PIX 500-д зориулсан холбоос).
- Security Data Lake raw/syslog input (ASA syslog формат нь RFC-д нийцэхгүй тул Security Data Lake үүнийг татгалзаж болно. Security Data Lake Syslog input ашиглахын тулд RFC 5424 output тохируулна. Эсвэл логийг Security Data Lake Raw эсвэл plaintext input руу илгээнэ).
Дэмжигдэх хувилбарууд
9.x хүртэлх хувилбарууд эсвэл Cisco Firepower 7.1 ба түүнээс дээш.
Stream-ийн тохиргоо
Энэ технологийн багц нэг stream агуулна:
"Illuminate:Cisco Device Messages"
Index set-ийн тохиргоо
Энэ технологийн багц нэг index set тодорхойлолт агуулна:
"Cisco Devices Event Log Messages"
Тэмдэглэл
Хэрэв энэ index set өмнө нь тодорхойлогдсон бол юу ч өөрчлөгдөхгүй. Хэрэв байхгүй бол таны лицензийн эрхийн дагуу үүсгэгдэнэ.
Лог форматын жишээнүүд
ASA logs
%ASA-6-305011: Built dynamic TCP translation from DL_172_16:192.168.10.10/1234 to L3_Internet:10.10.10.10/1234Jul 13 2021 14:13:19: %ASA-6-302014: Teardown TCP connection 8065 for inside:10.10.0.100/50511 to identity:172.10.124.136/51311 duration 0:00:00 bytes 422 TCP Reset-IFirepower logs
Jul 13 2021 14:13:19: %FTD-6-302014: Teardown TCP connection 8065 for inside:10.10.0.100/50511 to identity:172.10.124.136/51311 duration 0:00:00 bytes 422 TCP Reset-I%NGIPS-1-430002: EventPriority: Low, DeviceUUID:11133c5c-a6a1-11eb-a6e7-be0b98331111, InstanceID: 2, FirstPacketSecond:2023-02-30T11:31:19Z, ConnectionID: 4, AccessControlRuleAction: Allow, SrcIP:172.10.10.10, DstIP: 172.16.20.10, ICMPType: Echo Request, ICMPCode: NoCode, Protocol: icmp, IngressInterface:inside, EgressInterface: outside, ACPolicy:Default Allow All Traffic, AccessControlRuleName: mytest, Client:ICMP client, ApplicationProtocol: ICMP,InitiatorPackets: 11, ResponderPackets: 0, InitiatorBytes: 74, ResponderBytes: 0, NAPPolicy: Tuned Security and Connectivity%NGFW-1-430002: EventPriority: Low, DeviceUUID:11133c5c-a6a1-11eb-a6e7-be0b98331111, InstanceID: 2, FirstPacketSecond:2023-02-30T11:31:19Z, ConnectionID: 4, AccessControlRuleAction: Allow, SrcIP:172.10.10.10, DstIP: 172.16.20.10, ICMPType: Echo Request, ICMPCode: NoCode, Protocol: icmp, IngressInterface:inside, EgressInterface: outside, ACPolicy:Default Allow All Traffic, AccessControlRuleName: mytest, Client:ICMP client, ApplicationProtocol: ICMP,InitiatorPackets: 11, ResponderPackets: 0, InitiatorBytes: 74, ResponderBytes: 0, NAPPolicy: Tuned Security and ConnectivityТэмдэглэл
ASA-ийн IP-ээс hostname болгох боломж бүрэн дэмжигдээгүй. Security Data Lake Illuminate нь хоосон зайтай сүлжээний интерфэйсийн нэрийг дэмждэггүй.
Routing table
Дэмжигдэх Cisco үйл явдлын төрлүүд:
| Cisco type | event_source_product |
|---|---|
| %ASA | CISCO-ASA |
| %NGIPS | CISCO-ASA |
| %NGFW | CISCO-ASA |
| %FTD | CISCO-ASA |
Юу багтсан бэ
- Cisco ASA логийг Security Data Lake схемтэй нийцтэй талбарууд болгон задлах parsing дүрмүүд.
- 4 табтай overview dashboard. Эдгээр табууд: ASA Overview, Network, Device Authentication, High Priority Messages.
- IDS/IPS мессежүүдэд зориулсан dashboard. Эдгээр мессежийг авахын тулд Cisco ASA тусгай лиценз шаардаж болно.
ASA мессежийн боловсруулалт
Illuminate-ийн ASA Firewall лог мессежийн боловсруулалт дараахыг хангана:
- SFOS лог мессежүүдийн талбар задлалт, нормчлол, мессежийн баяжуулалт.
- Дараах мессежүүдийн GIM ангилал:
| GIM event type code | GIM event type | Cisco event code |
|---|---|---|
| 129999 | Network Message | 106002, 106018, 313004 |
| 120000 | Network Connection | 106100, 106102, 106103, 106001, 106006, 106007, 106015, 110002, 410002, 421001, 500005, 507003, 710002, 710003, 710005, 815002 |
| 129999 | Network Connection | 710006 |
| 170001 | Network Alert | 106016, 106017 |
| 120100 | Network Routing | 110003 |
| 109999 | Authentication Message | 113008, 113012 |
| 100000 | Logon | 113021, 113006, 113007, 605004, 605005, 606001, 606003, 772003, 772004, 772005, 772006 |
| 100000 | Logout | 606002, 606004 |
| 120200 | Network Connection Initiated | 302013, 302015, 302022, 302024, 302026, 302303 |
| 120300 | Network Connection Initiated | 302014, 302016, 302018, 302023, 302025, 302027, 302036, 302304, 302306 |
| 179999 | Alert Message | 338001, 338002, 338003, 338004, 338005, 338006, 338007, 338008, 338201, 338202, 338203, 338204 |
| 170001 | Alert Message | 400000 - 400050 (бүх код: 400000-400006, 400007-400009, 400010-400022, 400023-400033, 400034-400040, 400041, 400042-400049, 400050) |
| 110000 | Account Created | 502101 |
| 110500 | Account Locked | 502102 |
| 299999 | DHCP Default Event | 604103 |
| 100500 | Credential Validation | 611101, 611102 |
| 102500 | Logoff | 611103 |
ASA болон Firepower-д дэмжигдэх event ID-ууд
106001 | 106002 | 106006 | 106007 | 106010 | 106012 | 106013 | 106014 | 106016 | 106017 | 106018 | 106021 | 106023 | 106100 | 106101 | 106102 | 106103 | 109005 | 109006 | 109007 | 109008| 109024 | 109025 | 110002 | 110003 | 111007 | 111008 | 111009 | 111010 | 113003 | 113004 | 113005 | 113006 | 113007 | 113008 | 113009 | 113011 | 113012 | 113019 | 113021 | 113022 | 113023| 113029 | 113030 | 113031 | 113032 | 113033 | 113034 | 113035 | 113036 | 113038 | 113039 | 199020 | 199021 |
201002 | 201003 | 201004 | 201005 | 201006 | 201009 | 201010 | 201011 | 201012 | 201013 | 202010 | 209003 | 209004 | 209005 | 216001 |
302010 | 302013 | 302014 | 302015 | 302016 | 302018 | 302020 | 302021 | 302022 | 302023 | 302024 | 302025 | 302026 | 302027 | 302036 | 302304 | 302305 | 302306 | 303002 | 304001 | 304002| 304003 | 304004 | 304005 | 304006 | 304007 | 305005 | 305006 | 305011 | 305012 | 305019 | 305020 | 308001 | 313001 | 313004 | 313005 | 313008 | 313009 | 316001 | 318001 | 318101 | 321005| 321006 | 322002 | 322003 | 325001 | 325002 | 326013 | 331001 | 331002 |
400010 | 400014 | 400011 | 400014 | 405001 | 410001 | 401002 | 401003 | 401004 | 401005 | 405002 | 407001 | 407002 | 410002 | 414001 | 415007 | 415008 | 415009 | 415010 | 415011 | 415012| 415013 | 415014 | 418001 | 419002 | 419005 | 419006 | 420002 | 420003 | 421001 | 421002 | 421007 | 429002 | 429003 | 434002 | 434003 |
500001 | 500002 | 500004 | 500005 | 502101 | 502102 | 502103 | 502111 | 502112 | 507003 |
602303 | 602304 | 602305 | 604101 | 604102 | 604103 | 604104 | 604105 | 604201 | 604202 | 604203 | 604204 | 604205 | 604206 | 604207 | 604208 | 605005 | 606001 | 606002 | 606003 | 606004| 607001 | 608001 | 608002 | 608003 | 608004 | 608005 | 609001 | 609002 | 602101 | 611101 | 611102 | 611103 | 611301 | 611303 | 613004 | 620001 |
710002 | 710005 | 710003 | 710006 | 713041 | 713042 | 713049 | 713050 | 713120 | 713172 | 713201 | 713230 | 713231 | 713257 | 713903 | 713904 | 713905 | 716001 | 716002 | 716055 | 716056| 716057 | 716058 | 716059 | 716060 | 716500 | 716501 | 716502 | 716503 | 716504 | 716505 | 716506 | 716508 | 716509 | 716510 | 716512 | 716513 | 716515 | 716516 | 716517 | 716518 | 716519| 716520 | 716521 | 716522 | 721001 | 721002 | 721003 | 721004 | 721005 | 721006 | 721007 | 721008 | 721009 | 721010 | 721011 | 721012 | 721013 | 721014 | 721015 | 721016 | 721017 | 721018| 721019 | 722004 | 722005 | 722006 | 722007 | 722008 | 722009 | 722010 | 722011 | 722012 | 722013 | 722014 | 722021 | 722022 | 722023 | 722026 | 722027 | 722028 | 722032 | 722033 | 722034| 722037 | 722038 | 722042 | 722043 | 722044 | 722046 | 722047 | 722048 | 722049 | 722050 | 722051 | 725002 | 725001 | 725003 | 725007 | 725016 | 733100 | 737001 | 737002 | 737003 | 737004| 737005 | 737006 | 737007 | 737008 | 737009 | 737010 | 737011 | 737012 | 737013 | 737014 | 737015 | 737016 | 737017 | 737018 | 737019 | 737023 | 737024 | 737025 | 737027 | 737028 | 737029| 737030 | 737031 | 737032 | 737033 | 737034 | 737035 | 737036 | 737038 | 746014 | 746015 | 746016 | 750001 | 750002 | 750003 | 750004 | 750005 | 750006 | 750007 | 750008 | 750009 | 750010| 750014 | 750015 | 750016 | 751001 | 751002 | 751003 | 751004 | 751005 | 751006 | 751007 | 751008 | 751009 | 751010 | 751011 | 751012 | 751013 | 751014 | 751015 | 751016 | 751017 | 751019| 751020 | 751021 | 751022 | 751023 | 751024 | 751025 | 751026 | 751027 | 751028 | 752002 | 752003 | 752004 | 752005 | 752006 | 752007 | 752010 | 752012 | 752013 | 752014 | 752015 | 752016| 768001 | 768002 | 768003 | 768004 | 769001 | 769002 | 769003 | 769004 | 769005 | 769006 | 769007 | 769008 | 769009 | 772002 | 772003 | 772004 | 772005 | 772006 | 775001 | 775003 | 775004| 775005 | 779003 | 779004 | 779005 | 779006 | 779007 |CTS SXP event ID-уудын үндсэн дэмжлэг (application_name болон vendor_event_description)
776001 | 776002 | 776003 | 776004 | 776005 | 776006 | 776007 | 776008 | 776009 | 776010 | 776011 | 776012 | 776013 | 776014 | 776015 | 776016 | 776017 | 776018 | 776019 | 776020|805001 | 805002 | 805003 | 812002|Үндсэн дэмжлэг (Basic support)
338001 | 338002 | 338003 | 338004 | 338005 | 338006 | 338007 | 338008 | 338101 | 338102 | 338103 | 338104 | 338201 | 338202 | 338203 | 338204|Нэмэлт Firepower event ID-ууд
430001, 430002, 430003, 430004, 430005Энэ хуудсанд гарсан нэр томъёо
- Network
- Таны байгууллагын бүх төхөөрөмжийн жагсаалт (Inventory)