文章目录
1. 总览
用于Splunk的Firepower应用程序显示了Firepower管理中心（FMC）提供的关键安全信息，可帮助分析人员专注于高优先级的安全事件。该应用程序提供了许多仪表板和表格，旨在在熟悉的Spunk环境中提高Firepower事件分析的效率。它是某些用户的替代用户界面，而另一些用户则是补充界面。思科致力于根据您的直接反馈不断改进此应用程序。
1.1. 主要功能包括
- 威胁摘要仪表板
- 具有方向性的高级影响事件分析
- 具有IoC和防火墙规则使用的网络事件数据仪表板（允许/阻止）
- 带有地理位置地图的上下文资源管理器
- 从恶意软件哈希链接回FMC以获取文件轨迹
- 链接回FMC以获取主机配置文件
- CIDR阻止和允许/阻止规则操作的过滤器
2. 详情
用户指南在此处发布https://cisco.com/go/firepower-for-splunk
使用Firepower管理中心（FMC）的威胁和流量数据发现和调查威胁。Splunk比FMC可以存储更多的数据，因此您可以更好地了解网络上的活动。
该应用程序是对Splunk的现有Cisco Firepower eNcore应用程序（https://splunkbase.splunk.com/app/3663/） 的重大改进。您可以选择同时运行两个应用程序。
2.1. 设置应用
2.1.1. 要求，先决条件和限制
- 用于Splunk的Cisco Firepower应用程序提供了从运行6.0或更高版本的Firepower管理中心发送到Splunk的安全和网络事件信息。
可用功能受Firepower版本的影响。 - 在使用此应用之前，您的Firepower事件数据必须位于Splunk中。
要将您的Firepower数据带入Splunk，请使用Splunk的Cisco eStreamer eNcore插件。可从 https://splunkbase.splunk.com/app/3662/ 获得此技术附件（TA）。
可从以下位置获得该技术支持的文档
https://www.cisco.com/c/en/us/support/security/defense-center/products-programming-reference-guides-list.html. - 可用于分析的数据类型在
https://splunkbase.splunk.com/app/3662/.
2.1.2. 安装
2.1.2.1. 在开始之前
满足要求，先决条件和限制中的要求和先决条件。
2.1.2.2. 安装过程
- 访问 https://splunkbase.splunk.com/app/4388/
- 以管理员身份登录到Splunk。
- 下载App。
- 选择Apps > Manage Apps.
- 点击Install App from File.
- 导航到应用程序“ Splunk的Cisco Firepower应用程序”
- 点击Upgrade app.
如果您尚未安装此应用程序的现有版本，则此操作将进行全新安装，或覆盖任何以前的版本。 - 按照说明重新启动Splunk。
2.1.3. 最佳实践
配置网络设置（特别是识别您的家庭网络），以便您可以轻松识别源自网络内部的攻击。
2.1.4. 配置
至少应指定定义内部和外部网络的IP地址，以便您可以轻松查看源于网络的威胁。
2.1.4.1. 配置过程
- 访问标准Splunk位置以配置应用程序的设置：
- 在窗口的左上角，选择App: Cisco Firepower App for Splunk > Manage Apps.
- 在适用于Splunk的Cisco Firepower应用的行中，点击Set Up.
- 指定内部网络上的IP地址和范围，以便您可以确定利用方向：
- 在Homenet Settings部分中：
- 指定定义内部网络的IP地址和范围。
- 启用右键单击适用数据的功能，以快速旋转以在Firepower管理中心中查看数据。
例如，主机配置文件信息仅在FMC上可用。- 在FMC Link部分中：
- 输入FMC管理界面的IP地址。
- 点击Save。
2.2. App的使用
2.2.1. 建议的调查
- 确认您的系统正在阻止系统已识别的威胁：
在Threats > Threat Summary页面中，筛选不受威胁的威胁，无论方向如何。
在Threats > Intrusion Events页面中，未屏蔽影响1威胁的过滤器。 - 查找受感染的内部主机：
内部主机发起的攻击始终表明存在危害。- 在Threats > Intrusion Events页面中，过滤影响3威胁是否被阻止，然后在时间线下方的饼图中单击相关的内部主机选项。在页面底部的表中调查内部IP地址。
- 然后对“影响2”事件执行相同的操作。
- 在Threats > Threat Summary页面中，过滤源于内部主机（无论是否被阻止）的方向，并调查所涉及的内部主机，而不管威胁是否被阻止。
- 在已知是威胁的情况下，确定受到进入您网络的恶意软件影响的主机：
使用Threats > Threat Summary页面上的追溯性恶意软件事件图来识别受影响的主机。 - 查找网络上的异常，例如未批准的应用程序或正在使用的非标准端口：
- 检查Network页面上的图形。
- 在Network页面上的Top Server Applications In Use with Least Seen TCP Ports图中突出显示的位置，查找不常见端口上的活动。
- 查看数据中的异常值-意外或经常看到的活动或参数。
- 调查网络上所有意外的主机：
如果在网络上没有相关主机发现，则0级入侵事件可能表明存在幻影网络。
（0级入侵事件也可能表明您的网络发现策略未正确实施。） - 寻找随时间推移或针对关键主机（例如服务器）的高优先级攻击的峰值或趋势：
在Threats菜单下每页的时间线图中最容易看到这些。
选择各种时间范围以查看突出的内容。 - 消除大量无关紧要的数据，以便使重要数据脱颖而出。
- 仔细查看独特的事件，这可能表示高度针对性的攻击。
- 深入研究有趣的物品。
当您发现引发标志的模式，主机，用户，应用程序，端口等时，进行向下钻取和筛选，以查看涉及相关实体的其他事务。
另外，右键单击项目以查看是否有其他信息。 - 在探索时，请寻找其他可疑行为。例如：
- 随着时间的推移，单个URL意外地与多个IP地址和MAC地址相关联。
- 主机在过去一个小时内使用SSH意外连接到30个不同的端点。
- 查找与特定IP地址关联的事件和数据：
使用Threats > Context Explorer页面。 - 另请参阅入侵事件影响级别。
注意：
如果您的过滤器包含许多IP地址，则该应用程序可能会变得非常慢，这取决于您如何设置数据。
小部件说明：
此应用程序中的大多数小部件与Firepower管理中心中的小部件相同。有关这些小部件的信息，配置手册在：https://www.cisco.com/c/en/us/support/security/defense-center/products-installation-and-configuration-guides-list.html.
2.2.2. 入侵事件影响等级
表1.
| 影响等级 | 说明和建议措施 |
|---|---|
| 0 | 网络上的意外主机 按照Firepower管理中心的发现策略中的定义，源主机IP地址和目标主机IP地址均不在网络内。 如果正确配置了发现策略，则影响等级0事件可能表明网络（影子网络）上存在未经授权的设备。 单击此影响级别，然后查看页面底部的表，以确定哪个传感器正在接收此流量，并请您的网络团队查找和隔离这些设备。 |
| 1 | 高优先级入侵事件 目标主机很容易受到攻击。 这些事件可能是OS，服务器或客户端漏洞，也可能是Cisco Talos定义的破坏迹象。 要按类型查看这些事件的细分，请参阅下面的Impact 1 – High Priority Events部件，或查看页面底部的表以查看有风险主机的列表。 |
| 2 | 可能受损的主机 如果该漏洞利用源于您的网络内部，则表明主机已受损，您应调查源IP地址。 Firepower尚未在目标主机上发现该漏洞的已知漏洞。 但是，无论源IP是什么，都应验证目标主机没有受到威胁。 |
| 3 | 可能受损的主机 影响等级3事件通常仅在内部主机成为漏洞利用源时才会发生。 内部来源的事件始终表示主机受到入侵。 单击下面的相关部件，以在页面底部的表中显示内部来源的事件，然后调查该表中的源IP地址。 |
| 4 | 主机未完全集成到网络中 主机在Firepower管理中心的发现策略中配置的IP地址的预期范围内，但没有主机配置文件。 主机可能是您网络中的新主机，例如，这是尚未正确配置的采集或网络扩展的一部分。 |
2.3. 排障
2.3.1. 查看现有说明
验证您是否满足设置应用程序中所述的要求和前提条件。
2.3.2. 获取帮助
此应用按原样提供，不提供任何担保，并且受社区支持。请尝试以下操作：
- 思科社区，例如：
- https://community.cisco.com/t5/security/ct-p/4561-security
- https://cisco.com/go/ngfw-community
- Splunk社区：Splunk Answers
- 报告错误并请求功能：[email protected]
2.4. 更多关于Firepower
有关Firepower（并非特定于Splunk）的信息，请参阅您所用版本的Firepower管理中心文档：
- FMC中的联机帮助（在浏览器窗口右上角附近的“帮助”菜单下。）
- 《 Firepower管理中心配置指南》为HTML或PDF：
https://www.cisco.com/c/en/us/support/security/defense-center/products-installation-and-configuration-guides-list.html - 其他FMC资源：
https://www.cisco.com/c/en/us/support/security/defense-center/tsd-products-support-series-home.html
