Guida utente dell'app CISCO Security Cloud

Applicazione cloud di sicurezza CISCO

Specifiche

• Nome del prodotto: Applicazione Cisco Security Cloud
• Produttore: Cisco
• Integrazione: Funziona con vari prodotti Cisco

Istruzioni per l'uso del prodotto

Imposta un'applicazione
Application Setup è l'interfaccia utente iniziale per Security Cloud App. Segui questi passaggi per configurare un'applicazione:

1. Accedere alla pagina Configurazione applicazione > Prodotti Cisco.
2. Selezionare l'applicazione Cisco desiderata e fare clic su Configura applicazione.
3. Compila il modulo di configurazione che include una breve descrizione dell'app, link alla documentazione e dettagli sulla configurazione.
4. Fai clic su Salva. Assicurati che tutti i campi siano compilati correttamente per abilitare il pulsante Salva.

Configurare i prodotti Cisco
Per configurare i prodotti Cisco nell'app Security Cloud, attenersi alla seguente procedura:

1. Nella pagina Prodotti Cisco, seleziona il prodotto Cisco specifico che desideri configurare.
2. Fare clic su Configura applicazione per quel prodotto.
3. Compila i campi obbligatori, tra cui Nome input, Intervallo, Indice e Tipo sorgente.
4. Salva la configurazione. Correggi eventuali errori se il pulsante Salva è disabilitato.

Configurazione Cisco Duo
Per configurare Cisco Duo nell'app Security Cloud, seguire questi passaggi:

1. Nella pagina Configurazione Duo, immettere il Nome input.
2. Specificare le credenziali dell'API di amministrazione nei campi Chiave di integrazione, Chiave segreta e Nome host API.
3. Se non disponi di queste credenziali, registra un nuovo account per ottenerle.

Domande frequenti (FAQ)

• D: Quali sono i campi comuni richiesti per la configurazione delle applicazioni?
  A: I campi comuni includono Nome input, Intervallo, Indice e Tipo sorgente.
• D: Come posso gestire l'autorizzazione con Duo API?
  A: L'autorizzazione con Duo API viene gestita tramite Duo SDK per Python. Devi fornire l'API Hostname ottenuto dal Duo Admin Panel insieme ad altri campi facoltativi, come richiesto.

Questo capitolo ti guida attraverso il processo di aggiunta e configurazione di input per varie applicazioni (prodotti Cisco) all'interno della Security Cloud App. Gli input sono cruciali perché definiscono le origini dati che la Security Cloud App utilizza per scopi di monitoraggio. Una corretta configurazione degli input garantisce che la tua copertura di sicurezza sia completa e che tutti i dati siano visualizzati correttamente per il monitoraggio e il tracciamento futuri.

Imposta un'applicazione

Application Setup è la prima interfaccia utente per la Security Cloud App. La pagina Application Setup è composta da due sezioni:

Figura 1: Le mie app

• La sezione Le mie app nella pagina Configurazione applicazione mostra tutte le configurazioni di input dell'utente.
• Fare clic sul collegamento ipertestuale di un prodotto per accedere alla dashboard del prodotto.
• Per modificare gli input, fare clic su Modifica configurazione nel menu azioni.
• Per eliminare gli input, fare clic su Elimina nel menu Azione.

Figura 2: Prodotti Cisco

• La pagina Prodotti Cisco mostra tutti i prodotti Cisco disponibili integrati con Security Cloud App.
• In questa sezione è possibile configurare gli input per ciascun prodotto Cisco.

Configurare un'applicazione

• Alcuni campi di configurazione sono comuni a tutti i prodotti Cisco e sono descritti in questa sezione.
• I campi di configurazione specifici di un prodotto sono descritti nelle sezioni successive.

Tabella 1: Campi comuni

Campo	Descrizione
Nome di input	(Obbligatorio) Un nome univoco per gli input dell'applicazione.
Intervallo	(Obbligatorio) Intervallo di tempo in secondi tra le query API.
Indice	(Obbligatorio) Indice di destinazione per i log delle applicazioni. Può essere modificato se necessario. Per questo campo è disponibile il completamento automatico.
Tipo di origine	(Obbligatorio) Per la maggior parte delle app è un valore predefinito ed è disabilitato. Puoi modificarne il valore in Impostazioni avanzate.

• Passo 1 Nella pagina Configurazione applicazione > Prodotti Cisco, accedere all'applicazione Cisco richiesta.
• Passo 2 Fare clic su Configura applicazione.
  La pagina di configurazione è composta da tre sezioni: Breve descrizione dell'app, Documentazione con link a risorse utili e Modulo di configurazione.
• Passo 3 Compila il modulo di configurazione. Nota quanto segue:
  • I campi obbligatori sono contrassegnati con un asterisco *.
  • Ci sono anche campi facoltativi.
  • Seguire le istruzioni e i suggerimenti descritti nella sezione specifica dell'app nella pagina.
• Passo 4 Fare clic su Salva.
  Se c'è un errore o dei campi vuoti, il pulsante Salva è disabilitato. Correggi l'errore e salva il modulo.

Cisco Duo

Figura 3: Pagina di configurazione Duo

Oltre ai campi obbligatori descritti nella sezione Configura un'applicazione, a pagina 2, per l'autorizzazione con Duo API sono richieste le seguenti credenziali:

• ikey (chiave di integrazione)
• skey (chiave segreta)

L'autorizzazione è gestita dal Duo SDK per Python.

Tabella 2: Campi di configurazione Duo

Campo	Descrizione
Nome host API	(Obbligatorio) Tutti i metodi API utilizzano il nome host dell'API. https://api-XXXXXXXX.duosecurity.com. Ottieni questo valore dal pannello di amministrazione Duo e utilizzalo esattamente come mostrato lì.
Registri di sicurezza Duo	Opzionale.
Livello di registrazione	(Facoltativo) Livello di registrazione per i messaggi scritti nei log di input in $SPLUNK_HOME/var/log/splunk/duo_splunkapp/

• Passo 1 Nella pagina di configurazione di Duo, immettere il Nome input.
• Passo 2 Inserisci le credenziali dell'API di amministrazione nei campi Chiave di integrazione, Chiave segreta e Nome host API. Se non hai queste credenziali, registrare un nuovo account.
  • Vai su Applicazioni > Proteggi un'applicazione > API di amministrazione per creare una nuova API di amministrazione.
• Passo 3 Definire quanto segue se necessario:
  • Registri di sicurezza Duo
  • Livello di registrazione
• Passo 4 Fare clic su Salva.

Analisi malware sicura Cisco

Figura 4: Pagina di configurazione di Secure Malware Analytics

Nota
Per l'autorizzazione con l'API Secure Malware Analytics (SMA) è necessaria una chiave API (api_key). Passare la chiave API come tipo di portatore nel token di autorizzazione della richiesta.

Dati di configurazione di Secure Malware Analytics

1. Ospite: (Obbligatorio) Specifica il nome dell'account SMA.
2. Impostazioni proxy: (Facoltativo) Consiste in Tipo proxy, Proxy URL, Porta, Nome utente e Password.
3. Impostazioni di registrazione: (Facoltativo) Definire le impostazioni per la registrazione delle informazioni.

• Passaggio 1 Nella pagina di configurazione di Secure Malware Analytics, immettere un nome nel campo Nome input.
• Passaggio 2 Inserisci i campi Host e Chiave API.
• Passaggio 3 Definire quanto segue, se necessario:
  • Impostazioni Proxy
  • Impostazioni di registrazione
• Passaggio 4 Fare clic su Salva.

Centro di gestione del firewall sicuro Cisco

Figura 5: Pagina di configurazione del Secure Firewall Management Center

• È possibile importare dati nell'applicazione Secure Firewall utilizzando uno qualsiasi dei due processi semplificati: eStreamer e Syslog.
• La pagina di configurazione del Secure Firewall fornisce due schede, ciascuna corrispondente a un diverso metodo di importazione dati. È possibile passare da una scheda all'altra per configurare i rispettivi input dati.

Firewall e-Streamer

Kit di sviluppo software eStreamer viene utilizzato per la comunicazione con il Secure Firewall Management Center.

Figura 6: Scheda E-Streamer del firewall sicuro

Tabella 3: Dati di configurazione del firewall sicuro

Campo	Descrizione
Ospite FMC	(Obbligatorio) Specifica il nome dell'host del centro di gestione.
Porta	(Obbligatorio) Specifica la porta per l'account.
Certificato PKCS	(Obbligatorio) Il certificato deve essere creato sulla Firewall Management Console – Certificato eStreamer Creazione. Il sistema supporta solo pkcs12 file tipo.
Password	(Obbligatorio) Password per il certificato PKCS.
Tipi di evento	(Obbligatorio) Scegli il tipo di eventi da acquisire (Tutti, Connessione, Intrusione, File, Pacchetto di intrusione).

• Passaggio 1 Nella scheda E-Streamer della pagina Aggiungi firewall sicuro, nel campo Nome input, immettere un nome.
• Passaggio 2 Nello spazio Certificato PKCS, carica un file .pkcs12 file per impostare il certificato PKCS.
• Passaggio 3 Nel campo Password, immettere la password.
• Passaggio 4 Scegli un evento in Tipi di evento.
• Passaggio 5 Definire quanto segue se necessario:
  • Registri di sicurezza Duo
  • Livello di registrazione
    Nota
    Se si passa tra le schede E-Streamer e Syslog, viene salvata solo la scheda di configurazione attiva. Pertanto, è possibile impostare solo un metodo di importazione dati alla volta.
• Passaggio 6 Fare clic su Salva.

Registro di sistema del firewall
Oltre ai campi obbligatori descritti nella sezione Configura un'applicazione, di seguito sono riportate le configurazioni richieste sul lato del centro di gestione.

Tabella 4: Dati di configurazione del firewall sicuro Syslog

Campo	Descrizione
TCP/UDP	(Obbligatorio) Specifica il tipo di dati di input.
Porta	(Obbligatorio) Specifica una porta univoca per l'account.

• Passaggio 1 Nella scheda Syslog della pagina Aggiungi firewall sicuro, imposta la connessione sul lato del centro di gestione, nel campo Nome input, immetti un nome.
• Passaggio 2 Selezionare TCP o UDP come tipo di input.
• Passaggio 3 Nel campo Porta, immettere il numero di porta
• Passaggio 4 Selezionare un tipo dall'elenco a discesa Tipo di origine.
• Passaggio 5: scegliere i tipi di evento per il tipo di sorgente selezionato.
  Nota
  Se si passa tra le schede E-Streamer e Syslog, viene salvata solo la scheda di configurazione attiva. Pertanto, è possibile impostare solo un metodo di importazione dati alla volta.
• Passaggio 6 Fare clic su Salva.

Difesa multicloud di Cisco

Figura 7: Pagina di configurazione di Secure Malware Analytics

• Multicloud Defense (MCD) sfrutta la funzionalità HTTP Event Collector di Splunk anziché comunicare tramite un'API.
• Creare un'istanza in Cisco Defense Orchestrator (CDO) seguendo i passaggi definiti nella sezione Guida all'installazione della pagina di configurazione di Multicloud Defense.

Per l'autorizzazione con Multicloud Defense sono richiesti solo i campi obbligatori definiti nella sezione Configura un'applicazione.

• Passaggio 1 Installare un'istanza Multicloud Defense in CDO seguendo la Guida all'installazione nella pagina di configurazione.
• Passaggio 2 Immettere un nome nel campo Nome input.
• Passaggio 3 Fare clic su Salva.

Cisco XDR

Figura 8: Pagina di configurazione XDR

Per l'autorizzazione con Private Intel API sono necessarie le seguenti credenziali:

• ID cliente
• segreto_cliente

Ogni esecuzione di input genera una chiamata all'endpoint GET /iroh/oauth2/token per ottenere un token valido per 600 secondi.

Tabella 5: Dati di configurazione Cisco XDR

Campo	Descrizione
Regione	(Obbligatorio) Selezionare una regione prima di selezionare un metodo di autenticazione.
Autenticazione Metodo	(Obbligatorio) Sono disponibili due metodi di autenticazione: tramite ID client e OAuth.
Intervallo di tempo di importazione	(Obbligatorio) Sono disponibili tre opzioni di importazione: Importa tutti i dati dell'incidente, Importa dalla data e ora di creazione e Importa dalla data e ora definite.
Promuovere gli incidenti XDR ai notabili ES?	(Facoltativo) Splunk Enterprise Security (ES) promuove i Notables. Se non hai abilitato Enterprise Security, puoi comunque scegliere di promuovere gli eventi a notabili, ma gli eventi non verranno visualizzati in quell'indice o nelle macro notabili. Dopo aver abilitato Enterprise Security, gli eventi saranno presenti nell'indice. Puoi scegliere il tipo di incidenti da acquisire (Tutti, Critici, Medi, Bassi, Info, Sconosciuti, Nessuno).

• Passaggio 1 Nella pagina di configurazione di Cisco XDR, immettere un nome nel campo Nome input.
• Passaggio 2 Selezionare un metodo dall'elenco a discesa Metodo di autenticazione.
  • Identificativo cliente:
    • Fare clic sul pulsante Vai a XDR per creare un client per il tuo account in XDR.
    • Copia e incolla l'ID cliente
    • Imposta una password (Client_secret)
  • OAuth:
    • Segui il link generato e autenticati. Devi avere un account XDR.
    • Se il primo link con il codice non funziona, nel secondo link copia il codice utente e incollalo manualmente.
• Passaggio 3 Definire un orario di importazione nel campo Intervallo di tempo di importazione.
• Passaggio 4 Se necessario, selezionare un valore nel campo Promuovi incidenti XDR a notabili ES.
• Passaggio 5 Fare clic su Salva.

Difesa dalle minacce della posta elettronica sicura Cisco

Figura 9: Pagina di configurazione della difesa dalle minacce della posta elettronica protetta

Per l'autorizzazione delle API Secure Email Threat Defense sono necessarie le seguenti credenziali:

• chiave_api
• ID cliente
• segreto_cliente

Tabella 6: Dati di configurazione della difesa dalle minacce della posta elettronica sicura

Campo	Descrizione
Regione	(Obbligatorio) Puoi modificare questo campo per cambiare la regione.
Intervallo di tempo di importazione	(Obbligatorio) Sono disponibili tre opzioni: Importa tutti i dati del messaggio, Importa dalla data e ora di creazione o Importa dalla data e ora definite.

• Passaggio 1 Nella pagina di configurazione di Secure Email Threat Defense, immettere un nome nel campo Nome di input.
• Passaggio 2: immettere la chiave API, l'ID client e la chiave segreta client.
• Passaggio 3 Selezionare una regione dall'elenco a discesa Regione.
• Passaggio 4: Imposta un orario di importazione in Intervallo di tempo di importazione.
• Passaggio 5 Fare clic su Salva.

Analisi della rete sicura Cisco

Secure Network Analytics (SNA), precedentemente noto come Stealthwatch, analizza i dati di rete esistenti per aiutare a identificare le minacce che potrebbero aver trovato un modo per aggirare i controlli esistenti.

Figura 10: Pagina di configurazione di Secure Network Analytics

Credenziali richieste per l'autorizzazione:

• smc_host: (indirizzo IP o nome host della Stealthwatch Management Console)
• tenant_id (ID di dominio della console di gestione Stealthwatch per questo account)
• nome utente (nome utente della console di gestione Stealthwatch)
• password (password della console di gestione Stealthwatch per questo account)

Tabella 7: Dati di configurazione di Secure Network Analytics

Campo	Descrizione
Tipo di proxy	seleziona un valore dall'elenco a discesa: • Ospite • Porto • Nome utente • Parola d'ordine
Intervallo	(Obbligatorio) Intervallo di tempo in secondi tra le query API. Per impostazione predefinita, 300 sec.
Tipo di fonte	(Obbligatorio)
Indice	(Obbligatorio) Specifica l'indice di destinazione per i registri di sicurezza SNA. Per impostazione predefinita, stato: cisco_sna.
Dopo	(Obbligatorio) Il valore iniziale after viene utilizzato quando si interroga l'API Stealthwatch. Per impostazione predefinita, il valore è 10 minuti fa.

• Passaggio 1 Nella pagina di configurazione di Secure Network Analytics, immettere un nome nel campo Nome input.
• Passaggio 2: immettere l'indirizzo del gestore (IP o host), l'ID del dominio, il nome utente e la password.
• Passaggio 3 Se necessario, impostare quanto segue nelle Impostazioni proxy:
  • Selezionare un proxy dall'elenco a discesa Tipo di proxy.
  • Inserisci l'host, la porta, il nome utente e la password nei rispettivi campi.
• Passaggio 4 Definire le configurazioni di input:
  • Imposta un tempo in Intervallo. Per impostazione predefinita, l'intervallo è impostato su 300 secondi (5 minuti).
  • Se necessario, puoi modificare il tipo di origine in Impostazioni avanzate. Il valore predefinito è cisco:sna.
  • Immettere l'indice di destinazione per i registri di sicurezza nel campo Indice.
• Passaggio 5 Fare clic su Salva.