Cisco ISE content pack (контент багц)
Энэ хуудсыг AI-аар орчуулж, автоматаар шалгасан. Нарийн тохиргоо хийхээсээ өмнө англи эхтэй тулгаж болно.
Cisco ISE content pack (контент багц)
Cisco Identity Services Engine (ISE) нь сүлжээний аюулгүй байдлын бодлогыг нэг төвөөс удирдах хүчирхэг платформ юм. Энэ нь утастай, утасгүй болон VPN сүлжээнүүдэд төгсгөлийн төхөөрөмж (endpoint), сүлжээний төхөөрөмж, хэрэглэгчдэд зориулсан аюулгүй хандалтын бодлогыг байгууллагад хэрэгжүүлэх боломж олгодог.
Дэмжигдэх хувилбарууд
Identity Services Engine 3.2
Шаардлага
Cisco ISE GUI дээр тохируулсан remote log target мессежийн анхдагч урт 1024 байдаг. Энэ нь мессежийг таслан, Illuminate-ийн зөв задлан шинжлэхэд саад болно. Бүтэн мессеж Security Data Lake руу илгээгдэхийн тулд энэ утгыг заавал 8192 болгож тохируулах ЁСТОЙ. Дэлгэрэнгүйг Cisco-гийн баримт бичгээс үзнэ үү.
Stream-ийн тохиргоо
Энэ технологийн багц нэг stream агуулна:
"Illuminate:Cisco Device Messages"
Тэмдэглэл
Багцыг идэвхжүүлэхээс өмнө энэ stream байхгүй бол үүсгэгдэж, мессежүүдийг энэ stream болон холбогдох index set рүү чиглүүлэхээр тохируулагдана. Энэ stream-д ямар ч stream rule тохируулсан байх ёсгүй.
Index set-ийн тохиргоо
Энэ технологийн багц нэг index set тодорхойлолт агуулна:
"Cisco Devices Event Log Messages"
Тэмдэглэл
Энэ index set өмнө нь тодорхойлогдсон бол юу ч өөрчлөгдөхгүй. Байхгүй бол таны лицензийн эрхийн дагуу үүсгэгдэнэ.
Лог цуглуулалт
Логийг syslog эсвэл raw форматаар (TCP эсвэл UDP) илгээж болно. Cisco бүтээгдэхүүнүүд логт Security Data Lake-тэй нийцэхгүй байж болох timestamp оруулдгийг анхаарна уу. Ийм тохиолдолд логийг Raw эсвэл plaintext input руу илгээхийг зөвлөж байна.
Тэмдэглэл
Лицензийн хэрэглээг бууруулахын тулд message талбарыг гол талбар, утгуудыг онцолсон богино мессежээр сольсон. Шаардлагатай бол input дээр full_message сонголтыг идэвхжүүлнэ.
Лог форматын жишээ
<18>Jul 31 03:39:53 DEVICE-01 CISE_Failed_Attempts 0000001161 1 0 2024-12-18 13:10:56.252 +00:00 0045534800 5440 NOTICE RADIUS: Endpoint abandoned EAP session and started new, ConfigVersionId=53, Device IP Address=192.168.1.1, DestinationIPAddress=192.168.1.1, UserName=blah.blah, AcsSessionID=ATH-ISE-POL03/522862485/1041418, SelectedAccessService=RADIUS 802.1X Wireless, RequestLatency=36, FailureReason=5440 Endpoint abandoned EAP session and started new, Step=11001, Step=11017, Step=15049, Step=15008, Step=15048, Step=15048, Step=15048, Step=15048, Step=15048, Step=11507, Step=12500, Step=12625, Step=11006, Step=11001, Step=11018, Step=12301, Step=12300, Step=12625, Step=11006, Step=11001, Step=11018, Step=12302, Step=12319, Step=12800, Step=12805, Step=12806, Step=12807, Step=12808, Step=12810, Step=12305, Step=11006, Step=11001, Step=11018, Step=12304, Step=12305, Step=11006, Step=11001, Step=11018, Step=12304, Step=12305, Step=11006, Step=11001, Step=11018, Step=12304, Step=12305, Step=11006, Step=11001, Step=11018, Step=12304, Step=12305, Step=11006, Step=11001, Step=11018, Step=12304, Step=12305, Step=11006, Step=11001, Step=11018, Step=12304, Step=12319, Step=12810, Step=12812, Step=12803, Step=12804, Step=12801, Step=12802, Step=12816, Step=12310, Step=12305, Step=11006, Step=11001, Step=11018, Step=12304, Step=12313, Step=11521, Step=12305, Step=11006, Step=11001, Step=11018, Step=12304, Step=11522, Step=11806, Step=12305, Step=11006, Step=5440, NetworkDeviceName=HOME-HOME, NetworkDeviceGroups=Location#All Locations#HOME#HOME, NetworkDeviceGroups=Device Type#All Device Types#Wireless Controller, NetworkDeviceGroups=IPSEC#Is IPSEC Device#No, EapTunnel=PEAP, EapAuthentication=EAP-MSCHAPv2, User-Name=blah.blah, NAS-IP-Address=192.168.1.1, NAS-Port=1615, Called-Station-ID=HOME-AP1:Digital, Calling-Station-ID=1e-f7-a9-dd-d3-f7, NAS-Identifier=HOME-HOME:Home Digital, NAS-Port-Type=Wireless - IEEE 802.11, CPMSessionID=0B10A8C000171CA2D9E45D65, EndPointMACAddress=01-01-01-01-01-01, ISEPolicySetName=802.1X Wireless - Digital, StepLatency=84=13745, StepData=4= DEVICE.Device Type, StepData=5= Radius.NAS-Port-Type, StepData=6= Normalised Radius.RadiusFlowType, StepData=7= Radius.Called-Station-ID, StepData=8= DEVICE.Location, TLSCipher=ECDHE-RSA-AES256-GCM-SHA384, TLSVersion=TLSv1.2, DTLSSupport=Unknown, RadiusFlowType=Wireless802_1x, Network Device Profile=Cisco, Location=Location#All Locations#HOME#HOME, Device Type=Device Type#All Device Types#Wireless Controller, IPSEC=IPSEC#Is IPSEC Device#No, Response={RadiusPacketType=Drop; },Энэ технологийн багцаар боловсруулагдах үйл явдлууд
Cisco ISE контент багц нь дараах event ID-уудыг дэмжинэ. Жагсаалтад ороогүй event ID-уудад ерөнхий боловсруулалт хийгдэнэ.
Задлан шинжлэгдэх талбарууд (Parsed fields)
| Event code | Event message |
|---|---|
| 5200 | Authentication succeeded |
| 5201 | Authentication succeeded |
| 5202 | Command Authorization succeeded |
| 5203 | Session Authorization succeeded |
| 5205 | Dynamic Authorization succeeded |
| 5238 | Endpoint authentication problem was fixed |
| 5240 | Previously rejected endpoint was released to continue authentications |
| 5400 | Authentication failed |
| 5405 | RADIUS Request dropped |
| 5411 | Supplicant stopped responding to ISE |
| 5435 | NAS conducted several failed authentications of the same scenario |
| 5436 | RADIUS packet already in the process |
| 5440 | Endpoint abandoned EAP session and started new |
| 5441 | Endpoint started new session while the packet of previous session is being processed. Dropping new session. |
| 5449 | Endpoint failed authentication of the same scenario several times and was rejected |
GIM ангилал (GIM categorization)
| Vendor event message | GIM category | GIM subcategory | GIM event type code |
|---|---|---|---|
| Authentication succeeded | authentication | authentication.default | 109999 |
| Command Authorization succeeded | authentication | authentication.default | 109999 |
| Dynamic Authorization succeeded | authentication | authentication.default | 109999 |
| Previously rejected endpoint was released to continue authentications | authentication | authentication.default | 109999 |
| Endpoint authentication problem was fixed | authentication | authentication.default | 109999 |
| Session Authorization succeeded | authentication | authentication.default | 109999 |
Cisco ISE Spotlight content pack
Cisco ISE нь Overview, Authentication, Network гэсэн 3 табтай dashboard санал болгодог.
Энэ хуудсанд гарсан нэр томъёо
- Endpoint
- Хамгаалж буй компьютер, сервер, виртуал машин
- Network
- Таны байгууллагын бүх төхөөрөмжийн жагсаалт (Inventory)