Cisco IOS XR: настройка источника

Данное руководство описывает процесс настройки сбора событий Cisco IOS XR и их отправки в R-Vision SIEM.

Предварительные требования

Перед настройкой пересылки событий в R-Vision SIEM убедитесь, что сетевая связность между устройствами Cisco IOS XR и R-Vision SIEM (или промежуточным узлом) обеспечена, а необходимые порты открыты.

Настройка Cisco IOS XR

Настройка отправки событий в R-Vision SIEM

Отправка сообщений осуществляется посредством протокола syslog. Для настройки передачи событий выполните следующие команды в режиме глобальной конфигурации (configure terminal):

conf t
# 1. Основные параметры системы
hostname <router-hostname>
service timestamps log datetime msec show-timezone year

# 2. Настройка удаленного Syslog-сервера
# Указываем IP, VRF (обычно default) и кастомный порт (если нужно)
logging <target> vrf default port <port>

# Указываем интерфейс-источник (чтобы пакеты не отбивались фаерволом сервера)
logging source-interface <interface> vrf default

# Уровень детализации: informational (5)
logging trap informational

# 3. Логирование действий (кто и что настраивал)
logging events display-location

# Сохраняем настройки
commit

Здесь:

<router-hostname>: имя хоста Cisco IOS XR.
<target>: IP-адрес узла кластера K8s, на котором запущен коллектор.
<port>: порт точки входа Socket на конвейере R-Vision SIEM.
<interface>: интерфейс Cisco IOS XR, с которого будут отправляться события (g1/0/1).

При создании точки входа указывайте любой свободный порт больше 30000. Точка входа в конвейере должна быть создана заранее.

Настройка в R-Vision SIEM

Для настройки сбора и нормализации событий Cisco IOS XR в R-Vision SIEM выполните следующие шаги:

В интерфейсе R-Vision SIEM создайте новый конвейер в коллекторе.
Добавьте на конвейер элемент Точка входа со следующими параметрами:
- Название: введите название точки входа.
- Тип точки входа: выберите вариант Socket.
- Порт точки входа: введите значение в соответствии с настройками на стороне источника (любой свободный порт больше 30000).
- Протокол: выберите вариант в соответствии с настройками на стороне источника.
Добавьте элемент VRL-трансформация со следующим кодом:
```
    .device_product = "ios_xr"
```
Соедините добавленный блок VRL-трансформации с точкой входа.
Добавьте на конвейер элемент Нормализатор с правилом Cisco IOS XR (идентификатор правила: RV-N-333).
Соедините нормализатор с VRL-трансформацией.
Добавьте на конвейер элемент Конечная точка типа Хранилище событий.
Соедините конечную точку с нормализатором.
Сохраните и установите конфигурацию конвейера.

Пример конфигурации конвейера:

cisco ios xr pipline scheme

После настройки передачи событий, если настройка выполнена корректно, в хранилище начнут поступать события Cisco IOS XR.

Найти события Cisco IOS XR в хранилище можно по следующему фильтру:

device_product = "ios_xr"

Была ли полезна эта страница?