Cisco IOS XE: настройка источника

Данное руководство описывает процесс настройки сбора событий Cisco IOS XE и их отправки в R-Vision SIEM.

Предварительные требования

Перед настройкой пересылки событий в R-Vision SIEM убедитесь в выполнении следующих условий:

Сетевая связность между устройствами Cisco IOS XE и R-Vision SIEM (или промежуточным узлом) обеспечена, а необходимые порты открыты.

Настройка Cisco IOS XE

Настройка отправки событий в R-Vision SIEM

Отправка сообщений осуществляется посредством протокола syslog. Для настройки передачи событий выполните следующие команды в режиме глобальной конфигурации (configure terminal):

logging on
logging trap informational
logging facility local7
logging host <target> transport <protocol> port <port>
logging source-interface <interface>

Здесь:

logging on — включение логирования.
logging trap informational — установка уровня логируемых сообщений (informational).
logging facility local7 — указание категории источника (facility).
<target> — IP-адрес узла кластера K8s, на котором запущен коллектор.
<protocol> — протокол передачи (в примере конфигурации используется tcp).
<port> — порт точки входа Syslog на конвейере SIEM.
<interface> — интерфейс Cisco IOS XE, с которого будут отправляться события (g1/0/1).

При создании точки входа указывайте любой свободный порт больше 30000. Точка входа в конвейере должна быть создана заранее.

Настройка в R-Vision SIEM

Для настройки сбора и нормализации событий Cisco IOS XE в R-Vision SIEM выполните следующие шаги:

В интерфейсе R-Vision SIEM создайте новый конвейер в коллекторе.
Добавьте на конвейер элемент Точка входа со следующими параметрами:
- Название: введите произвольное, понятное название.
- Тип точки входа: выберите вариант Syslog.
- Порт точки входа: введите значение в соответствии с настройками на стороне источника (произвольный свободный порт больше 30000).
- Протокол: выберите вариант в соответствии с настройками на стороне источника.
Добавьте на конвейер элемент Нормализатор с правилом Cisco IOS XE (идентификатор правила: RV-N-25).
Соедините нормализатор с точкой входа.
Добавьте на конвейер элемент Конечная точка типа Хранилище событий.
Соедините конечную точку с нормализатором.
Сохраните и установите конфигурацию конвейера.

Пример конфигурации конвейера:

cisco ios xe pipline scheme

После настройки передачи событий, если настройка выполнена корректно, в хранилище начнут поступать события Cisco IOS XE.

Найти события Cisco IOS XE в хранилище можно по следующему фильтру:

dproduct = "IOS_XE"

cisco ios xe storage

Таблица маппинга

Таблица соответствия полей события для всех рассмотренных типов событий представлена по ссылке.

Была ли полезна эта страница?