Connecteur Cisco ASA pour Microsoft Sentinel

Article
03/12/2023
2 minutes de lecture

Le connecteur de pare-feu Cisco ASA vous permet de connecter facilement vos journaux Cisco ASA à Microsoft Sentinel, de consulter des tableaux de bord, de créer des alertes personnalisées et d’améliorer les enquêtes. Cela vous donne plus d’informations sur le réseau de votre organisation et améliore vos capacités d’opération de sécurité.

Attributs du connecteur

Attribut du connecteur	Description
Table(s) Log Analytics	CommonSecurityLog (Cisco)
Prise en charge des règles de collecte de données	Règles de collecte de données pour la transformation de l’espace de travail
Pris en charge par	Microsoft Corporation

Exemples de requête

Tous les journaux d’activité


CommonSecurityLog 

| where DeviceVendor =~ "Cisco"

| where DeviceProduct == "ASA"

         
| sort by TimeGenerated

Refuser les actions de l'appareil


CommonSecurityLog 

| where DeviceVendor =~ "Cisco"

| where DeviceProduct == "ASA"

         
| where SimplifiedDeviceAction == "Deny"
         
| sort by TimeGenerated

Instructions d’installation du fournisseur

Configuration de l’agent Syslog Linux

Installez et configurez l’agent Linux pour collecter vos messages Syslog au format CEF (Common Event Format) et les transférer à Microsoft Sentinel.

Notez que les données de toutes les régions seront stockées dans l’espace de travail sélectionné

1.1 Sélectionner ou créer une machine Linux

Sélectionnez ou créez une machine Linux qui sera utilisée par Microsoft Sentinel comme proxy entre votre solution de sécurité et Microsoft Sentinel. Cette machine peut se trouver dans votre environnement local, dans Azure ou dans d’autres clouds.

1.2 Installer le collecteur CEF sur la machine Linux

Installez Microsoft Monitoring Agent sur votre ordinateur Linux et configurez l’ordinateur pour écouter sur le port nécessaire et transférer les messages vers votre espace de travail Microsoft Sentinel. Le collecteur CEF collecte les messages CEF sur le port TCP514.

Vérifiez que Python est installé sur votre ordinateur à l’aide de la commande suivante : python --version.

Vous devez disposer d’autorisations élevées (sudo) sur votre machine.

Exécutez la commande suivante pour installer et appliquer le collecteur CEF :

sudo wget -O cef_installer.py https://raw.githubusercontent.com/Azure/Azure-Sentinel/master/DataConnectors/CEF/cef_installer.py&&sudo python cef_installer.py {0}{1}

Transférer les journaux Cisco ASA à l'agent Syslog

Configurez Cisco ASA pour transférer les messages Syslog au format CEF à votre espace de travail Microsoft Sentinel par le biais de l’agent Syslog.

accédez à Envoyer des messages Syslog à un serveur Syslog externe et suivez les instructions pour configurer la connexion. Utilisez ces paramètres lorsque vous y êtes invité :

Affectez au « port » la valeur 514.
Affectez à « syslog_ip » l’adresse IP de l’agent. Syslog.

Valider la connexion

Suivez les instructions pour valider votre connectivité :

Ouvrez Log Analytics pour vous assurer que les journaux sont reçus à l’aide du schéma CommonSecurityLog.

Il faut environ 20 minutes pour que la connexion diffuse des données dans votre espace de travail.

Si les journaux ne sont pas reçus, exécutez le script de validation de connectivité suivant :

Vérifiez que Python est installé sur votre ordinateur à l’aide de la commande suivante : python --version

Vous devez disposer d’autorisations élevées (sudo) sur votre machine

Exécutez la commande suivante pour valider votre connectivité :

sudo wget -O cef_troubleshoot.py https://raw.githubusercontent.com/Azure/Azure-Sentinel/master/DataConnectors/CEF/cef_troubleshoot.py&&sudo python cef_troubleshoot.py {0}

Sécuriser votre machine

Veillez à configurer la sécurité de la machine en fonction de la stratégie de sécurité de votre organisation