WSA-Protokollübertragung an einen Remote-SCP-Server

Einleitung

In diesem Dokument wird beschrieben, wie Protokolle von der Cisco Web Security Appliance (WSA) an einen Remote-Secure Copy (SCP)-Server übertragen werden. Sie können die WSA-Protokolle, wie z. B. Zugriffs- und Authentifizierungsprotokolle, so konfigurieren, dass sie bei einem Rollover oder Wrap der Protokolle an einen externen Server mit SCP-Protokoll weitergeleitet werden.

In diesem Dokument wird beschrieben, wie Sie die Protokollrotationsregeln sowie die Secure Shell (SSH)-Schlüssel konfigurieren, die für eine erfolgreiche Übertragung an einen SCP-Server erforderlich sind.

Voraussetzungen

Anforderungen

Es gibt keine spezifischen Anforderungen für dieses Dokument.

Verwendete Komponenten

Dieses Dokument ist nicht auf bestimmte Software- und Hardware-Versionen beschränkt.

Die Informationen in diesem Dokument beziehen sich auf Geräte in einer speziell eingerichteten Testumgebung. Alle Geräte, die in diesem Dokument benutzt wurden, begannen mit einer gelöschten (Nichterfüllungs) Konfiguration. Wenn Ihr Netz Live ist, überprüfen Sie, ob Sie die mögliche Auswirkung jedes möglichen Befehls verstehen.

Konfigurieren

Gehen Sie wie folgt vor, um die WSA-Protokolle so zu konfigurieren, dass sie mit SCP auf einem Remote-Server abgerufen werden können:

1. Melden Sie sich bei der Web-GUI der WSA an.
   
   
2. Navigieren Sie zu Systemverwaltung > Protokollabonnements.
   
   
3. Wählen Sie den Namen der Protokolle aus, für die Sie diese Abrufmethode konfigurieren möchten, z. B. Zugriffsprotokolle.
   
   
4. Wählen Sie im Feld Retrieval Method die Option SCP on Remote Server aus.
   
   
5. Geben Sie den SCP-Hostnamen oder die IP-Adresse des SCP-Servers ein.
   
   
6. Geben Sie die SCP-Portnummer ein.
   

   Hinweis: Die Standardeinstellung ist Port 22.

7. Geben Sie den vollständigen Pfadnamen des SCP-Server-Zielverzeichnisses ein, an das die Protokolle übertragen werden.
   
   
8. Geben Sie den Benutzernamen für den vom SCP-Server authentifizierten Benutzer ein.
   
   
9. Wenn Sie den Host-Schlüssel automatisch scannen oder manuell eingeben möchten, aktivieren Sie Host Key Checking.
   
   
10. Klicken Sie auf Senden. Der SSH-Schlüssel, den Sie in die Datei "authorized_keys" des SCP-Servers eingeben, sollte nun oben auf der Seite "Edit Log Subscription" (Protokoll-Abonnement bearbeiten) angezeigt werden. Hier ein Beispiel für eine erfolgreiche Mitteilung der WSA:
    
    
    
    
11. Klicken Sie auf Änderungen bestätigen.
    
    
12. Wenn der SCP-Server ein Linux- oder Unix-Server oder ein Macintosh-Computer ist, fügen Sie die SSH-Schlüssel aus der WSA in die Datei authorized_keys im SSH-Verzeichnis ein:
    
    
    1. Navigieren Sie zum Verzeichnis Users > <Benutzername> > .ssh.
       
       
    2. Fügen Sie den WSA SSH-Schlüssel in die Datei authorized_keys ein, und speichern Sie die Änderungen.
       

    Hinweis: Sie müssen manuell eine authorized_keys-Datei erstellen, wenn diese nicht im SSH-Verzeichnis vorhanden ist.

Überprüfung

Führen Sie die folgenden Schritte aus, um sicherzustellen, dass die Protokolle erfolgreich an den SCP-Server übertragen wurden:

1. Navigieren Sie zur Seite WSA Log Subscriptions (WSA-Protokoll-Subscriptions).
   
   
2. Wählen Sie in der Spalte Rollover das Protokoll aus, das Sie für den SCP-Abruf konfiguriert haben.
   
   
3. Suchen Sie nach und klicken Sie auf Rollover Now.
   
   
4. Navigieren Sie zum SCP-Serverordner, den Sie für den Protokollabruf konfiguriert haben, und überprüfen Sie, ob die Protokolle an diesen Speicherort übertragen werden.

Führen Sie die folgenden Schritte aus, um die Protokollübertragung vom WSA zum SCP-Server zu überwachen:

1. Melden Sie sich über SSH bei der WSA-CLI an.
   
   
2. Geben Sie den Befehl grep ein.
   
   
3. Geben Sie die entsprechende Nummer für das Protokoll ein, das Sie überwachen möchten. Geben Sie z. B. 31 aus der Grep-Liste für system_logs ein.
   
   
4. Geben Sie scp an der Eingabeaufforderung Enter the regular expression to grep ein, um die Protokolle zu filtern, sodass Sie nur die SCP-Transaktionen überwachen können.
   
   
5. Geben Sie Y an der Eingabeaufforderung Möchten Sie bei dieser Suche die Groß-/Kleinschreibung nicht berücksichtigen? ein.
   
   
6. Geben Sie Y an der Eingabeaufforderung Möchten Sie die Protokolle weiterleiten? ein.
   
   
7. Geben Sie N an der Eingabeaufforderung Möchten Sie die Ausgabe paginieren ein. Die WSA listet dann die SCP-Transaktionen in Echtzeit auf. Das folgende Beispiel zeigt erfolgreiche SCP-Transaktionen aus den WSA system_logs:
   

   Wed Jun 11 15:06:14 2014 Info: Push success for subscription <the name of the log>:
   Log aclog@20140611T145613.s pushed to remote host <IP address of the SCP Server>:22

Fehlerbehebung

Für diese Konfiguration sind derzeit keine spezifischen Informationen zur Fehlerbehebung verfügbar.