Cisco IOS XE: настройка источника

Данное руководство описывает процесс настройки сбора событий Cisco IOS XE и их отправки в R-Vision SIEM.

Предварительные требования

Перед настройкой пересылки событий в R-Vision SIEM убедитесь, что сетевая связность между устройствами Cisco IOS XE и R-Vision SIEM (или промежуточным узлом) обеспечена, а необходимые порты открыты.

Настройка Cisco IOS XE

Настройка отправки событий в R-Vision SIEM

Отправка сообщений осуществляется посредством протокола syslog. Для настройки передачи событий выполните следующие команды в режиме глобальной конфигурации (configure terminal):

# Укажите IP-адрес вашего сервера мониторинга
logging host <target> transport <protocol> port <port>

# Уровень важности логов для отправки (7 - всё, 6 - информационные, 4 - предупреждения)
logging trap informational

# Укажите категорию источника сообщений (`facility`)
logging facility local7

# Укажите интерфейс, с которого будут уходить логи (важно для VPN/VRF)
logging source-interface <interface>

# Укажите использовать имя хоста в заголовке логов
hostname <router-hostname>
logging origin-id hostname

# Настройте метки времени в логах
service timestamps log datetime msec localtime show-timezone year
no service sequence-numbers

# Настраиваем аудит
archive
 log config
  logging enable
  notify syslog
  hidekeys  # Скрывать пароли в логах
 exit
exit

# В режиме (config)
login on-failure log   # Логировать неудачные попытки входа
login on-success log   # Логировать успешные входы
exit

# Сохраняем настройки
write mem

Здесь:

<router-hostname>: имя хоста Cisco IOS XE.
<target>: IP-адрес узла кластера K8s, на котором запущен коллектор.
<protocol>: транспортный протокол (tcp или udp).
<port>: порт точки входа на конвейере R-Vision SIEM.
<interface>: интерфейс Cisco IOS XE, с которого будут отправляться события (g1/0/1).

При создании точки входа указывайте любой свободный порт больше 30000. Точка входа в конвейере должна быть создана заранее.

Настройка в R-Vision SIEM

Для настройки сбора и нормализации событий Cisco IOS XE в R-Vision SIEM выполните следующие шаги:

В интерфейсе R-Vision SIEM перейдите в раздел Ресурсы → Коллекторы и откройте карточку коллектора.
На вкладке Обогащение добавьте таблицы обогащения cisco_ios_xe_categorization (идентификаторы таблиц: RV-ET-42, RV-ET-43).
В интерфейсе R-Vision SIEM создайте новый конвейер в коллекторе.
Добавьте на конвейер элемент Точка входа со следующими параметрами:
- Название: введите название точки входа.
- Тип точки входа: выберите вариант Socket.
- Порт точки входа: введите значение в соответствии с настройками на стороне источника (любой свободный порт больше 30000).
- Протокол: выберите вариант в соответствии с настройками на стороне источника.
Добавьте элемент VRL-трансформация со следующим кодом:
```
.device_product = "ios_xe"
```
Соедините добавленную точку входа и VRL-трансформацию.
Добавьте на конвейер элемент Нормализатор с правилом Cisco IOS XE (идентификатор правила: RV-N-330).
Соедините нормализатор с VRL-трансформацией.
Добавьте на конвейер элемент Конечная точка типа Хранилище событий.
Соедините конечную точку с нормализатором.
Сохраните и установите конфигурацию конвейера.

Пример конфигурации конвейера:

cisco ios xe pipline scheme

После настройки передачи событий, если настройка выполнена корректно, в хранилище начнут поступать события Cisco IOS XE.

Найти события Cisco IOS XE в хранилище можно по следующему фильтру:

device_product = "ios_xe"

Была ли полезна эта страница?