NetFlow Version 9: настройка источника

Данное руководство описывает процесс настройки сбора событий NetFlow Version 9 и их отправки в R-Vision SIEM.

Предварительные требования

Перед настройкой сбора событий в R-Vision SIEM убедитесь в выполнении следующих условий:

У получаемого R-Vision SIEM потока NetFlow данные должны быть структурированы в соответствии со стандартом Cisco.

Настройка NetFlow Version 9

Настройка NetFlow Version 9 различается в зависимости от операционной системы сетевого оборудования (IOS-XE, IOS-XR, NX-OS и т.д.). Поэтому рекомендуется производить настройку в соответствии с эксплуатационной документацией производителя вашего оборудования.

Настройка в R-Vision SIEM

Для настройки сбора и нормализации событий источника в R-Vision SIEM выполните следующие шаги:

В интерфейсе R-Vision SIEM в карточке коллектора перейдите на вкладку Обогащение.
Добавьте таблицу обогащения netflow_tcp_flags.
Создайте новый конвейер в данном коллекторе.
Добавьте на конвейер элемент Точка входа со следующими параметрами:
- Название: введите произвольное, понятное название.
- Тип точки входа: выберите вариант NetFlow.
- Порт точки входа: введите значение в диапазоне 30000—32767.
- Протокол: выберите вариант UDP.

Добавьте на конвейер элемент VRL-трансформация со следующим содержимым:

main = .raw.netflow_packets[0].V9.flowsets[0].data.data_fields
if is_null(main) {
    . = .raw.netflow_packets[0].V9.flowsets[1].data.data_fields
} else {
    . = main
}

Соедините добавленный блок VRL-трансформации с точкой входа.

Добавьте на конвейер еще один элемент VRL-трансформация со следующим содержимым:

.raw = .
.id = uuid_v4()
.timestamp= %vector.ingest_timestamp
.tenantId = "${TENANT_ID}"
.collectorId = "${COLLECTOR_ID}"
.type = 0
.device_product = "netflow_v9"

Соедините второй блок VRL-трансформации с первым.
Добавьте на конвейер элемент Нормализатор с правилом NetFlow v9 (идентификатор правила: RV-N-272).
Соедините нормализатор со вторым блоком VRL-трансформации.
Добавьте на конвейер элемент Конечная точка типа Хранилище событий.
Соедините конечную точку с нормализатором.
Сохраните и установите конфигурацию конвейера.

Пример конфигурации конвейера:

cisco netflow pipeline

После настройки передачи событий, если настройка выполнена корректно, в хранилище начнут поступать события из NetFlow v9.

Найти события NetFlow Version 9 в хранилище можно по следующему фильтру:

normalization_rule_id = "RV-N-272"

cisco netflow storage

Была ли полезна эта страница?