Cisco secure firewall threat defence virtualの syslogについて

[yuto tajima611]

Cisco FTDvの評価版(7.4.1-172)を使用してIDS/IPS機能の確認をしているのですがコンソールログに対象機能に関するログが表示されません。公式ドキュメントに記載のあるsyslogメッセージ番号430001が表示される想定です。これを表示させるようにするにはどうしたらよいでしょうか？

GUIのイベントには侵入検知としてイベントが表示されているため、機能としては有効に働いているかと思います。

また、show logging message allで表示させても430001が表示されないことも関連あるのでしょうか？

[Akira Muranaka]

こんにちは！

以下URLに設定方法や 430001 シスログ出力例が紹介されているのですが、参照頂き、設定が正しいか確認頂くと如何でしょうか？ Snort 3 を利用時は、Snort 2 ベース(ver 6.x系)と設定方法が変わってるようです。

https://community.cisco.com/t5/-/-/ta-p/4675294

抜粋：

Snort 3 では「Intrusion Policy」内の Syslog Alert 設定の代わりに、ACPの "Logging Tab" > "IPS Settings" > "Send Syslog messages for IPS events" で代用可能

[yuto tajima611]

情報ありがとうございます。

設定を確認しましたが、”Logging Tab”に”IPS Settings”という項目がありませんでした。

GUIで管理する画面にもFDMとFMCという2種類があり、提示いただいたドキュメントではFMCを利用する前提のようでした。

私が使用しているのはFDMでFMCは使用しない前提なため、項目が異なるのかもしれません。FDMの画面もしくはCLIで何か確認できればよいのですが…

[Akira Muranaka]

こんにちは！ FDM ご利用だったのですね・・

FDMは簡単にFirewallを設定・利用できるように機能を絞ったOSのため、ログの長期保存や高度な分析やアラートなど管理系機能は除外されています。

FDMで設定を探してもない場合は、Syslog 送付も高度な管理機能の1つかと思いますので、FMCをご利用頂く必要があるのかな、と思いました。 FTD 2台の管理でしたら、FMC virtual の FTD管理 2台ライセンスでしたら安価に簡単に導入できるかと思いますので、高度管理が必要時はFMCvなどをご利用頂くと如何でしょうか・・？