Cisco Firepower

Para usar o Firepower Management Console (FMC) para se conectar a um firewall com Firepower Threat Defense (FTD) versão 6.3 ou posterior ao seu coletor de dados da Sophos, faça o seguinte.

Configurar os parâmetros de syslog

1. No FMC, clique em Devices > Platform Settings.
2. Selecione a plataforma que deseja conectar ao seu coletor de dados e clique no ícone de edição.
3. Clique em Syslog.
4. Clique em Syslog Servers > Add.

5. Insira os seguintes detalhes de conexão do seu coletor de dados:

   1. Endereço de IP. Este é o endereço IP do syslog que você definiu no Sophos Central.
   2. Tipo de protocolo. Se você selecionou UDP, não deve ativar o formato EMBLEM.
   3. Número de porta.

   Você deve inserir as mesmas configurações inseridas no Sophos Central quando adicionou a integração.

6. Não selecione Enable secure syslog.

7. Em Reachable By, digite os detalhes da rede que permitem que o seu firewall acesse o coletor de dados da Sophos.

8. Clique em OK.

   Para obter mais informações sobre as configurações do servidor syslog para firewalls Cisco Firepower, consulte Configure a Syslog Server.

9. Clique em Syslog Settings e defina as configurações da seguinte maneira:

   1. Ative Enable timestamp on Syslog Messages.
   2. Em Timestamp Format, selecione RFC 5424.
   3. Ative Enable Syslog Device ID e selecione Host Name.
   4. Não ative Netflow Equivalent Settings.

10. Clique em Salvar.

11. Clique em Logging Setup.
12. Selecione Enable Logging.

13. Você não deve selecionar o seguinte:

    1. Enable logging on the failover standby unit
    2. Send syslogs in EMBLEM format
    3. Send debug messages as syslogs

14. Se você quiser encaminhar eventos de VPN para o coletor de dados da Sophos, faça o seguinte:

    1. Na seção VPN Logging Settings, selecione Enable Logging to Firewall Management Center.
    2. Escolha Debug para o Logging Level.

15. Não é necessário inserir informações em Specify FTP Server Information ou Specify Flash Size.

16. Clique em Salvar.

Definir as configurações de log para controle de acesso

Você também deve definir as configurações de log para a política de controle de acesso, incluindo o log de arquivo e malware.

Para isso, siga este procedimento:

1. Clique em Policies > Access Control.
2. Clique no ícone de edição da política de controle de acesso que você deseja configurar.
3. Clique em Logging.
4. Selecione Use the syslog settings configured in the FTD Platform Settings policy deployed on the device.
5. Em Syslog Severity, selecione ALERT.
6. Ative Send Syslog messages for IPS events.
7. Ative Send Syslog messages for File and Malware events.
8. Clique em Salvar.

Ativar o registro no log de eventos do Security Intelligence

1. Na mesma política de controle de acesso, clique em Security Intelligence.
2. Clique no ícone de opções DNS Policy.

3. Em DNS Blacklist Logging Options, ative o seguinte:

   • Log Connections.
   • Firewall Management Center
   • Syslog Server.

4. Clique em OK.

5. Em Blacklist, clique em Network.

6. Em Network Blacklist Logging Options, ative o seguinte:

   • Log Connections
   • Firewall Management Center
   • Servidor Syslog

7. Clique em OK.

8. Role a lista Blacklist para baixo até encontrar o ícone de opções URL.

9. Em URL Blacklist Logging Options, ative o seguinte:

   • Log Connections
   • Firewall Management Center
   • Servidor Syslog

10. Clique em OK.

11. Clique em Salvar.

Ativar o registro em log do syslog para cada regra de controle de acesso

Certifique-se de que todas as regras na política de controle de acesso tenham o registro de syslog ativado.

Para isso, para cada regra na política, faça o seguinte.

1. Na mesma política de controle de acesso, clique na guia Rules.
2. Clique em uma regra para editá-la.
3. Em Editing Rule, clique em Logging.

4. Escolha se deseja registrar no log o início das conexões, o fim das conexões, ou ambos.

   O log de conexão gera muitos dados. Fazer o log inicial e final gera aproximadamente o dobro de dados. Nem todas as conexões podem ter um registro de log no início e no fim. Para obter mais detalhes, faça login na sua conta da Cisco e vá para a seção Connection Logging do Firepower Management Center Configuration Guide, versão 6.2. Consulte Connection, Logging.

5. Se quiser registrar o log de eventos de arquivo, selecione Log Files.

6. Ative Syslog Server.
7. Clique em Salvar.

Ativar o log de eventos de invasão

Você também deve ativar o log de eventos na política de invasão associada à sua política de controle de acesso.

1. Clique em Policies > Intrusion.
2. Encontre a política de invasão associada à sua política de controle de acesso e clique em Snort 2 Version.
3. Em Policy Information, clique em Advanced Settings.
4. Em Advanced Settings, vá para Syslog Alerting.
5. Clique em Enabled.
6. Clique em Back.
7. Em Policy Information, clique em Commit Changes.
8. Insira uma descrição das alterações e clique em OK.

Para conectar um dispositivo Firepower ao seu coletor de dados da Sophos usando FDM, faça o seguinte.

Ativar o registro em log de eventos de malware e arquivos.

Para ativar o registro em log de arquivos e eventos de malware e adicionar os detalhes de conexão do coletor de dados da Sophos ao firewall, faça o seguinte.

1. Faça login no FDM no dispositivo que deseja configurar e vá para a guia Device:<name>.
2. Em System Settings, clique em Logging Settings.
3. Ative FILE/MALWARE LOGGING.
4. Clique em Syslog Server para ver os servidores disponíveis.
5. Se você já adicionou o coletor de dados da Sophos a este dispositivo, selecione-o. Caso contrário, clique em Create new Syslog Server.

6. Insira os seguintes detalhes de conexão do seu coletor de dados:

   1. Endereço de IP. Este é o endereço IP do syslog que você definiu no Sophos Central.
   2. Tipo de protocolo.
   3. Número de porta.

   Você deve inserir as mesmas configurações inseridas no Sophos Central quando adicionou a integração.

7. Se necessário, selecione a interface de dados ou interface de gerenciamento mais adequada para o seu ambiente de rede.

8. Clique em OK.
9. Seu novo servidor aparece em Syslog Servers. Clique nele para selecioná-lo.
10. Em Log at Severity Level, selecione Debug.
11. Clique em SAVE.

Configurar políticas

Em cada política, você deve ativar o registro em log das atividades que deseja enviar ao seu coletor de dados da Sophos. Você pode ativar o controle de acesso e os eventos de invasão.

Para isso, siga este procedimento:

1. Clique em Policies > Access Control.
2. Encontre a política que deseja configurar e clique no ícone de edição.
3. Clique em Logging.
4. Em SELECT LOG ACTION, escolha se deseja fazer o registro do log no início ou no fim das conexões ou se não deseja fazer o log.
5. Em FILE EVENTS, ative Log Files
6. Se quiser registrar eventos de invasão no log, em Intrusion Policy ative INTRUSION POLICY.
7. Selecione a política de invasão que deseja aplicar.

8. Se quiser registrar os eventos de arquivos no log, em File Policy, selecione a política de arquivo que deseja aplicar. Escolha entre:

   • Block Malware All
   • Malware Cloud Lookup - No Block

9. Em SEND CONNECTION EVENTS TO:, selecione seu coletor de dados da Sophos.

10. Clique em OK.
11. Clique em Intrusion.
12. Encontre a política que deseja configurar e clique no ícone de configurações.
13. Em Edit Logging Settings, clique no ícone de mais e selecione seu coletor de dados da Sophos.
14. Clique em OK.

Repita essas etapas para cada política que enviará dados para o coletor de dados da Sophos.

Salvar as alterações

Suas alterações não são ativadas no dispositivo até que você as implante. Para isso, siga este procedimento:

1. Clique no ícone de implantação.

   O ponto no ícone aparece quando há alterações não implantadas.

2. Em Alterações pendentes, revise as alterações.

3. Clique em IMPLANTAR AGORA.

Para obter mais detalhes sobre esse processo, consulte a documentação da Cisco. Consulte Creating a Syslog Alert Response.

Para conectar os dispositivos clássicos do Firepower ao seu coletor de dados da Sophos, faça o seguinte:

Configurar os parâmetros de syslog

1. Faça login no seu Firepower Management Center (FMC).
2. Clique em Policies > Actions > Alerts.
3. Em Create Alert, selecione Create Syslog Alert.
4. Insira um Nome para o alerta, por exemplo SophosIntegration.
5. Digite o endereço IP do seu coletor de dados da Sophos em Host.
6. Insira a porta configurada no seu coletor de dados da Sophos em Port.

7. Selecione Facility.

   O coletor de dados da Sophos aceita quaisquer dados em Facility. Você encontra a lista de opções de dados na documentação da Cisco. Consulte a Tabela 1. Available Syslog Facilities.

8. Selecione um nível em Severity.

   O coletor de dados da Sophos aceita qualquer nível de severidade que você escolher. Você encontra a lista de opções na documentação da Cisco. Consulte a Tabela 2. Syslog Severity Levels.

9. Clique em Salvar.

Quando você ativa Send Audit Log to Syslog e fornece informações de Host, as mensagens de syslog são enviadas ao host e aos logs de auditoria. Se desejar alterar isso, consulte a documentação da Cisco. Consulte Filter Syslogs from Audit Logs.

Definir as configurações de syslog para o controle de acesso

1. Faça login no seu dispositivo.
2. Clique em Policies > Access Control.
3. Edite a política de controle de acesso aplicável.
4. Clique em Logging.
5. Selecione Send using specific syslog alert.
6. Selecione o alerta de syslog criado acima.
7. Clique em Salvar.

Ativar o registro em log de eventos de malware e arquivos

1. Selecione Send Syslog messages for File and Malware events.
2. Clique em Salvar.

Ativar o log de eventos de invasão

1. Vá para a política de invasão associada à sua política de controle de acesso.
2. Na política de invasão, clique em Advanced Settings > Syslog Alerting > Enabled.
3. Clique em Back.
4. Em Policy Information, clique em Commit Changes.
5. Insira uma descrição das alterações e clique em OK.