Elastic Stack 8 - Filebeat pour monitorer les Firewalls Cisco Firepower

Mise à jour le 16 avril 2022

Les Cisco Firepower sont les pires firewalls de l'univers, mais ce n'est pas le sujet ici… Je parlerai uniquement du moyen de monitorer cette daube avec un environnement Elastic Stack.

Pour se faire, nous allons travailler avec le module Filebeat.

Le point positif est que Filebeat propose un module Cisco capable de gérer les logs Firepower envoyés via syslog. Le point négatif est qu'il n'existe pas de dashboard préconfiguré, nous allons donc devoir en créer un manuellement.

Kibana | Firepower Dashboard — Dashboard Cisco Firepower.

Architecture Filebeat

SIEM | Schéma Filebeat avec elasticsearch and kibana — Architecture Filebeat.

Configuration Cisco Firepower

La première chose que l'on doit faire est de configurer notre Firepower Cisco afin qu'il envoit les informations syslog à notre agent Filebeat. Pour se faire, nous allons devoir déclarer un serveur syslog et activer la journalisation sur les règles que l'on souhaite monitorer.

Ajout d'un objet de type serveur syslog

Aller dans Objects > Syslog servers et cliquer sur Add button :

Entrer les informations de notre serveur Syslog (notre serveur Elastic) puis cliquer sur OK :

Configurer la journalisation

Depuis le menu principal du Firewall aller dans Logging Settings :

Aller dans le menu Logging Settings et configurer Logging :

FirePower | Menu System settings, logging settings, paramétrer un serveur syslog

Activer la journalisation sur nos règles

Éditer le(s) règle(s) de Firewall que l'on souhaite monitorer :

Activer la journalisation :

Installer Filebeat

Note : J'installerais filebeat sur la même machine que le moteur Elasticsearch.

Si la clé PGP Elasticsearch n'a pas encore été importé et que le repository n'a pas été ajouté, voir la partie I.

Installer Filebeat :

root@host:~# apt install filebeat

Éditer le fichier /etc/filebeat/modules.d/cisco.yml pour activer le module ftd/firepower :

  ftd:
    enabled: true

    var.syslog_host: 0.0.0.0
    var.syslog_port: 514

Éditer le fichier /etc/filebeat/filebeat.yml pour paramétrer filebeat :

# ---------------------------- Elasticsearch Output ----------------------------
output.elasticsearch:
  # Array of hosts to connect to.
  hosts: ["localhost:9200"]

  # Protocol - either `http` (default) or `https`.
  protocol: "https"

  # Authentication credentials - either API key or username/password.
  #api_key: "id:api_key"
  username: "elastic"
  password: "elastic_password;)"
  ssl.verification_mode: none


# =================================== Kibana ===================================

# Starting with Beats version 6.0.0, the dashboards are loaded via the Kibana API.
# This requires a Kibana endpoint configuration.
setup.kibana:

  # Kibana Host
  # Scheme and port can be left out and will be set to the default (http and 5601)
  # In case you specify and additional path, the scheme is required: http://localhost:5601/path
  # IPv6 addresses should always be defined as: https://[2001:db8::1]:5601
  host: "https://X.X.X.X:5601"
  ssl.verification_mode: none