Firepower eStreamer 集成指南 版本 6.3
非歧视性语言
此产品的文档集力求使用非歧视性语言。在本文档集中，非歧视性语言是指不隐含针对年龄、残障、性别、种族身份、族群身份、性取向、社会经济地位和交叉性的歧视的语言。由于产品软件的用户界面中使用的硬编码语言、基于 RFP 文档使用的语言或引用的第三方产品使用的语言，文档中可能无法确保完全使用非歧视性语言。 深入了解思科如何使用包容性语言。
当地语言翻译版本说明
思科可能会在某些地方提供本内容的当地语言翻译版本。请注意，翻译版本仅供参考，如有任何不一致之处，以本内容的英文版本为准。
- Updated:
- 2022年3月22日
Chapter: 配置 eStreamer
配置eStreamer
创建一个客户端应用之后，您可以将其连接至 eStreamer 服务器，启动 eStreamer 服务，开始交换数据。
1. 在 eStreamer 服务器上启用 eStreamer。
有关允许访问 eStreamer 服务器、添加客户端以及生成身份验证凭证以建立已验证连接的信息，请参阅在 eStreamer 服务器上配置 eStreamer。
2. 如需要，请手动运行 eStreamer 服务 (eStreamer)。您可以停止、启动以及查看服务的状态，
并使用命令行选项调试客户端-服务器的通信。
有关详细信息，请参阅管理 eStreamer 服务。
3. 或者，要使用 eStreamer 标准客户端对连接或数据流进行故障排除，请在准备用于运行客户端的计算机上设置标准客户端。
在 eStreamer 服务器上配置 eStreamer
在您想要用作 eStreamer 服务器的管理中心或受管设备可以开始将事件流传输到客户端应用之前，您必须配置用于向客户端发送事件的 eStreamer 服务器，提供关于客户端的信息，并生成一套要在建立通信时使用的身份验证凭证。您可以从管理中心或受管设备用户界面执行所有这些任务。
配置 eStreamer 事件类型
您可以控制 eStreamer 服务器能够向客户端应用传输其所请求的事件的类型。
请注意，堆叠 3D9900 对中的主设备和辅助设备像独立受管设备一样向管理中心报告入侵事件。如果在 3D9900 堆栈中的主设备上配置与 eStreamer 客户端通信，则也需要在辅助设备上配置该客户端；客户端配置不会复制。同样，如果要删除该客户端，请将主设备和辅助设备上的该客户端都删除。如果以堆栈配置为管理 管理中心 3D9900 的配置 eStreamer 客户端，请注意，管理中心会报告从两个受管设备收到的所有事件，即使两个设备报告的是同一事件。
如果以高可用性配置在管理中心上配置 eStreamer 客户端，客户端配置将不从主管理中心复制至辅助管理中心。
要配置 eStreamer 捕获的事件类型，请执行以下操作：
系统将显示 eStreamer 页面和 eStreamer 事件配置 (eStreamer Event Configuration) 菜单。
步骤 3 选中想要 eStreamer 捕获并转发至请求客户端的事件类型旁的复选框。请注意，如果现在不选中该复选框，则其对应的数据不会被捕获。取消选中复选框不会删除已捕获的数据。
系统会保存您的设置，并且在收到请求时，会将您选择的事件转发至 eStreamer 客户端。
为 eStreamer 客户端添加身份验证
只有先将客户端添加至 eStreamer 服务器的对等数据库，eStreamer 才能向客户端发送事件。
还必须将 eStreamer 服务器生成的身份验证证书复制至客户端。
步骤 2 点击 创建客户端 (Create Client) 。
系统将显示“创建客户端”(Create Client) 页面。
步骤 3 在 主机名 (Hostname) 字段中，输入运行 eStreamer 客户端的主机的主机名称或 IP 地址。
步骤 4 如果要对证书文件进行加密，请在 密码 (Password) 字段中输入密码。
eStreamer 服务器允许客户端计算机访问管理中心上的 8302 端口，并创建在客户端-服务器身
份验证过程中使用的身份验证证书。系统再次显示“eStreamer 客户端”(eStreamer Client) 页面，新的客户端将在
eStreamer 客户端 (eStreamer Client)
下列出。
)。步骤 7 将证书文件保存至客户端计算机用于 SSL 身份验证的目录。
)。请注意，无需重启管理中心上的主机输入服务；访问权限将立即撤消。
管理 eStreamer 服务
您可以从用户界面管理 eStreamer 服务。您也可以使用命令行启动和停止服务。以下部分介绍 eStreamer 命令行选项：
- 启动和停止 eStreamer 服务介绍如何启动和停止 eStreamer 服务。
- eStreamer 服务选项介绍可用于 eStreamer 服务的命令行选项及其使用方法。
启动和停止 eStreamer 服务
您可以用
manage_estreamer.pl
脚本管理 eStreamer 服务，通过该脚本，您可以启动、停止、
重新加载以及重新启动服务。
下表介绍您可以在管理中心或受管设备上使用的
manage_estreamer.pl
脚本中的选项。
eStreamer 服务选项
eStreamer 提供许多允许您对服务进行故障排除的服务选项。您可以使用下表中描述的 eStreamer 服务选项。
通过首先停止 eStreamer 服务，然后用您想要的选项运行该服务，最后重新启动该服务来使用以上选项。例如，您可以按照在调试模式下运行 eStreamer 服务中提供的说明调试 eStreamer 功能。
在调试模式下运行 eStreamer 服务
您可以在调试模式下运行 eStreamer 服务，以查看该服务在您的终端屏幕上生成的所有状态消息。使用以下程序进行调试。
要在调试模式下运行 eStreamer 服务，请执行以下操作：
步骤 2 使用
manage_estreamer.pl
，并选择选项
2
来停止 eStreamer 服务。
步骤 3 使用
./usr/local/sf/bin/sfestreamer --nodaemon --debug
在调试模式下重新启动 eStreamer 服务。
步骤 4 调试完成后，通过使用
manage_estreamer.pl
和选择选项
4
在正常模式下重新启动该服务。
配置 eStreamer 标准客户端
配备 eStreamer SDK 的
标准客户端
是一组示例客户端脚本和 Perl 模块，用于说明如何使用 eStreamer API。您可以运行它们以熟悉 eStreamer 输出，或者使用它们调试您的定制客户
端的安装问题。
了解 eStreamer Perl 标准客户端
您可以从
思科支持网站
下载包含 eStreamer Perl 标准客户端的
eStreamerSDK.zip
软件包。
eStreamerSDK.zip
软件包包含以下文件：
snmp.pm
文件用此 MIB 文件为 SNMP 设置陷阱。
此 Perl 模块解析客户端证书并允许客户端连接到 eStreamer 服务器。
您可以使用此 Perl 脚本测试 SSL 连接上的入侵事件请求。
配置用于 eStreamer 标准客户端的通信
标准客户端使用安全套接字层 (SSL) 进行数据通信。您必须在打算用作客户端的计算机上安装 OpenSSL，并根据环境对其进行适当配置。
libssl-dev
组件作为此下载的一部分进行安装。
加载用于 Perl 标准客户端的通用前提条件
在运行 eStreamer Perl 标准客户端之前，必须在客户端计算机上安装
IO::Socket::SSL
Perl 模块。
您可以手动安装该模块或用
cpan
进行安装。
Net::SSLeay
模块，请也安装该模块。与 OpenSSL 进行通信需要使用
Net::SSLeay
。
您也需要安装并配置 OpenSSL，以支持与 eStreamer 服务器的 SSL 连接。有关详细信息，请参阅配置用于 eStreamer 标准客户端的通信。
加载用于 Perl SNMP 标准客户端的前提条件
在运行 Perl 标准客户端的 eStreamer SNMP 模块之前，必须先在客户端计算机上安装客户端操作系统可用的最新
net-snmp
Perl 模块。
下载与解压 Perl 标准客户端
您可以从
思科支持网站
下载包含 eStreamer Perl 标准客户端的
EventStreamerSDK.zip
文件。
了解测试脚本请求的数据
默认情况下，当您使用标准客户端中的
ssl_test -o
设置时，您请求下表中所示的数据。
|
主机数据（请参阅主机数据和多主机数据消息格式） |
|||
|
|
流传输指定域的事件信息（请参阅域流传输请求消息格式） |
||
|
事件数据（请参阅事件流请求消息格式、关联策略记录、关联规则记录、发现事件的元数据、按事件类型划分的主机发现结构和按事件类型划分的用户数据结构） |
|||
|
数据包数据（请参阅事件数据消息格式和数据包记录 4.8.0.2+） |
|||
|
入侵事件数据（请参阅事件数据消息格式和入侵事件记录 6.0+） |
|||
|
入侵事件数据（请参阅事件数据消息格式和入侵事件记录 6.0+） |
|||
|
入侵事件数据（请参阅事件数据消息格式和入侵事件记录 6.0+） |
修改测试脚本请求的数据类型
SFStreamer.pm
Perl 模块可定义多个您可以在示例脚本中用于请求数据的请求标志变量。下表指出在事件流请求消息中设置每个请求标志需要调用什么请求标志变量。如果您想用其中一个输出模块请求不同的数据，您可以编辑该模块中的
$FLAG
设置。
有关请求标志及其请求的数据以及与每个标志相对应的产品版本的详细信息，请参阅请求标志。
|
与 |
||
创建用于 Perl 标准客户端的证书
在使用 Perl 标准客户端之前，您需要在管理中心或受管设备上为您想要其运行客户端的计算机创建一个证书。然后将该证书文件下载到客户端计算机上，并用它创建证书 (
server.crt
) 和 RSA 密钥文件 (
server.key
)。
步骤 2 点击 创建客户端 (Create Client) 。
系统将显示“创建客户端”(Create Client) 页面。
步骤 3 在 主机名 (Hostname) 字段中，输入运行 eStreamer 客户端的主机的主机名称或 IP 地址。
步骤 4 如果要对证书文件进行加密，请在 密码 (Password) 字段中输入密码。
eStreamer 服务器允许客户端计算机访问管理中心上的 8302 端口，并创建在客户端-服务器身份验证过程中使用的身份验证证书。系统再次显示“eStreamer 客户端”(eStreamer Client) 页面，
新的客户端将在
eStreamer 客户端 (eStreamer Client)
下列出。
)。步骤 7 将证书文件保存至客户端计算机用于 SSL 身份验证的目录。
)。请注意，无需重启管理中心上的主机输入服务；访问权限将立即撤消。
运行 eStreamer Perl 标准客户端
eStreamer Perl 标准客户端脚本设计用于配备 Linux 内核的 64 位操作系统，但是，只要客户端计算机满足设置 eStreamer Perl 标准客户端中规定的前提条件，该标准客户端应该可以在任何基于 POSIX 的 64 位操作系统上使用。
用主机请求测试经由 SSL 的客户端连接
您可以使用
ssl_test.pl
脚本测试 eStreamer 服务器与 eStreamer 客户端之间的连接。
ssl_test.pl
脚本可处理任何记录类型并将其打印到 STDOUT 或您指定的输出插件。当您使用不具有输出选项的
-h
选项时，它会将指定主机的主机数据流传输到您的终端。
通过以下语法用
ssl_test.pl
脚本将主机数据发送到标准输出：
例如，通过与 IP 地址为 10.10.0.4 的 eStreamer 服务器的连接测试 10.0.0.0/8 子网中主机的主机数据接收情况：
用标准客户端捕获 PCAP
您可以用标准客户端捕获 PCAP 文件中流传输的数据包数据，以查看客户端接收的数据的结构。请注意，使用
-o pcap
输出选项时，必须使用
-f
来指定目标文件。
通过以下语法用
ssl_test.pl
脚本捕获 PCAP 文件中流传输的数据包：
例如，用 IP 地址为 10.10.0.4 的 eStreamer 服务器流传输的事件创建名为
test.pcap
的 PCAP 文件：
用标准客户端捕获 CSV 记录
您也可以用标准客户端捕获 CSV 文件中流传输的入侵事件数据，以查看客户端接收的数据的结构。
./ssl_test.pl
eStreamerServerIPAddress
-o csv -f
ResultingCSVFile
例如，用 IP 地址为 10.10.0.4 的 eStreamer 服务器流传输的事件创建名为
test.csv
的 CSV 文件：
用标准客户端将记录发送到 SNMP 服务器
您也可以使用标准客户端将入侵事件数据流传输到 SNMP 服务器。使用
-f
选项指示应接收事件的 SNMP 陷阱服务器的名称。请注意，此输出方法需要路径中有一个名为
snmptrapd
的二进制文件，因此只能用于 UNIX 类系统。
例如，用 IP 地址为 10.10.0.4 的 eStreamer 服务器流传输的事件将事件发送到 IP 地址为 10.10.0.3 的 SNMP 服务器：
反餽