Konfigurieren von FMC zum Senden von Audit-Protokollen an einen Syslog-Server

Einleitung

In diesem Dokument wird beschrieben, wie die Überwachungsprotokolle von Secure Firewall Management Center konfiguriert werden, die an einen Syslog-Server gesendet werden.

Voraussetzungen

Anforderungen

Cisco empfiehlt, dass Sie über Kenntnisse in folgenden Bereichen verfügen:

• Grundlegende Benutzerfreundlichkeit des Cisco Firewall Management Center (FMC)
• Verständnis des Syslog-Protokolls

Verwendete Komponenten

Die Informationen in diesem Dokument basierend auf folgenden Software- und Hardware-Versionen:

• Cisco Firewall Management Center Virtual v7.4.0
• Syslog-Server von Drittanbietern

Die Informationen in diesem Dokument beziehen sich auf Geräte in einer speziell eingerichteten Testumgebung. Alle Geräte, die in diesem Dokument benutzt wurden, begannen mit einer gelöschten (Nichterfüllungs) Konfiguration. Wenn Ihr Netzwerk in Betrieb ist, stellen Sie sicher, dass Sie die möglichen Auswirkungen aller Befehle kennen.

Hintergrundinformationen

Das Secure Firewall Management Center zeichnet Benutzeraktivitäten in schreibgeschützten Audit-Protokollen auf. Ab Firepower 7.4.0 können Sie Konfigurationsänderungen als Teil der Prüfprotokolldaten in Syslog streamen, indem Sie das Konfigurationsdatenformat und die Hosts angeben. Durch das Streaming von Prüfprotokollen an einen externen Server können Sie außerdem Platz im Management Center sparen. Dies ist nützlich, wenn Sie Prüfprotokolle von Konfigurationsänderungen bereitstellen müssen.

Bei hoher Verfügbarkeit wird nur der aktive Verwaltungszentrum sendet die Konfigurationsänderungs-Syslog an die externen Syslog-Server. Die Protokolldatei wird zwischen den HA-Paaren synchronisiert, sodass bei einem Failover oder Switchover die neue aktive Verwaltungszentrum würde das Senden der Änderungsprotokolle fortsetzen. Falls das HA-Paar im Split-Brain-Modus arbeitet, Verwaltungszentrums des Paars sendet das Konfigurationsänderungs-Syslog an die externen Server.

Konfigurieren

Schritt 1: Überwachungsprotokolle für Syslog aktiviert

Um diese Funktion zu aktivieren, damit FMC Prüfprotokolle an einen Syslog-Server sendet, navigieren Sie zu System > Configuration > Audit Log > Send Audit Log to Syslog > Enabled.

Dieses Bild zeigt, wie Sie die Funktion "Prüfprotokoll an Syslog senden" aktivieren:

Das FMC kann Prüfprotokolldaten an maximal fünf Syslog-Server streamen.

Schritt 2: Syslog-Informationen konfigurieren

Nachdem der Service aktiviert wurde, können Sie die Syslog-Informationen konfigurieren. Um die Syslog-Informationen zu konfigurieren, navigieren Sie zu System > Configuration > Audit Log.

Wählen Sie je nach Anforderungen Send Configuration Changes, Hosts, Facility, Severity

Dieses Bild zeigt die Parameter für die Konfiguration des Syslog-Servers für Audit-Protokolle:

Überprüfung

Um zu überprüfen, ob die Parameter richtig konfiguriert sind, wählen Sie System > Configuration > Audit Log > Test Syslog Server aus.

Dieses Bild zeigt einen erfolgreichen Syslog-Servertest:

Eine weitere Möglichkeit zur Überprüfung der Syslog-Funktionalität besteht darin, die Syslog-Schnittstelle zu überprüfen, um sicherzustellen, dass die Überwachungsprotokolle empfangen werden.

Dieses Bild zeigt einige Beispiele der Überwachungsprotokolle, die vom Syslog-Server empfangen wurden:

Nachfolgend finden Sie einige Beispiele für Konfigurationsänderungen, die Sie in Ihrem Syslog-Server erhalten können:

2023-09-29 16:12:18 localhost 172.16.10.2 Sep 29 16:12:23 firepower: [FMC-AUDIT] mojo_server.pl: admin@10.26.166.110, /ui/ddd/, Page View
2023-09-29 16:12:20 localhost 172.16.10.2 Sep 29 16:12:25 firepower: [FMC-AUDIT] sfdccsm: admin@10.1.1.10, Devices > NAT, Page View
2023-09-29 16:12:23 localhost 172.16.10.2 Sep 29 16:12:28 firepower: [FMC-AUDIT] sfdccsm: admin@10.1.1.10, Devices > NAT > NGFW NAT Policy Editor, Page View
2023-09-29 16:13:39 localhost 172.16.10.2 Sep 29 16:13:44 firepower: [FMC-AUDIT] sfdccsm: admin@10.1.1.10, Objects > Object Management > NetworkObject, create csm-lab
2023-09-29 16:14:32 localhost 172.16.10.2 Sep 29 16:14:37 firepower: [FMC-AUDIT] sfdccsm: admin@10.1.1.10, Devices > NAT > NAT Policy Editor, Save Policy NATPolicy
2023-09-29 16:14:32 localhost 172.16.10.2 Sep 29 16:14:37 firepower: [FMC-AUDIT] sfdccsm: admin@10.1.1.10, Devices > NAT > NGFW NAT Policy Editor, Page View
2023-09-29 16:14:54 localhost 172.16.10.2 Sep 29 16:14:59 firepower: [FMC-AUDIT] ActionQueueScrape.pl: csm_processes@Default User IP, Login, Login Success
2023-09-29 16:14:55 localhost 172.16.10.2 Sep 29 16:15:00 firepower: [FMC-AUDIT] ActionQueueScrape.pl: admin@localhost, Task Queue, Successful task completion : Pre-deploy Global Configuration Generation

Fehlerbehebung

Nachdem die Konfiguration angewendet wurde, stellen Sie sicher, dass das FMC mit dem Syslog-Server kommunizieren kann.

Das System verwendet ICMP/ARP- und TCP SYN-Pakete, um sicherzustellen, dass der Syslog-Server erreichbar ist. Anschließend verwendet das System standardmäßig den Port 514/UDP zum Streamen von Audit-Protokollen und den TCP-Port 1470, wenn Sie den Kanal sichern.

Um eine Paketerfassung auf dem FMC zu konfigurieren, wenden Sie die folgenden Befehle an:

• tcpdump. Dieser Befehl erfasst den Datenverkehr im Netzwerk.

> expert
admin@firepower:~$ sudo su
Password: 

root@firepower:/Volume/home/admin# tcpdump -i eth0 host 172.16.10.11 and port 514

Um die ICMP-Erreichbarkeit zu testen, verwenden Sie zusätzlich den folgenden Befehl:

• Ping Mit diesem Befehl können Sie überprüfen, ob ein Gerät erreichbar ist, und die Latenz der Verbindung ermitteln.

> expert
admin@firepower:~$ sudo su
Password: 
root@firepower:/Volume/home/admin#ping 172.16.10.11
PING 172.16.10.11 (172.16.10.11) 56(84) bytes of data.
64 bytes from 172.16.10.11: icmp_seq=1 ttl=128 time=3.07 ms
64 bytes from 172.16.10.11: icmp_seq=2 ttl=128 time=2.06 ms
64 bytes from 172.16.10.11: icmp_seq=3 ttl=128 time=2.04 ms
64 bytes from 172.16.10.11: icmp_seq=4 ttl=128 time=0.632 ms

Zugehörige Informationen

• Technischer Support und Dokumentation für Cisco Systeme
• Administratorleitfaden für Cisco Secure Firewall Management Center