NSEL を使用した NetFlow の構成

NSEL を使用して NetFlow イベントを転送するように Cisco ASA を構成できます。

1. Cisco ASA デバイスのコマンド・ライン・インターフェース (CLI) にログインします。
2. 以下のコマンドを入力して、特権 EXEC モードにアクセスします。

   enable

3. 以下のコマンドを入力して、グローバル構成モードにアクセスします。

   conf t

4. 以下のように、出力オブジェクト名オプションを無効にします。

   no names

5. 以下のコマンドを入力して、NetFlow エクスポートを有効にします。

   flow-export destination <interface-name> <ipv4-address または hostname> <udp-port>

   各項目の意味は次のとおりです。

   • <interface-name> は、NetFlow コレクター用の Cisco Adaptive Security Appliance インターフェースの名前です。

   • <ipv4-address or hostname> は、 NetFlow コレクター・アプリケーションを使用する Cisco ASA デバイスの IP アドレスまたはホスト名です。

   • <udp-port> は、 NetFlow パケットが送信される UDP ポート番号です。

   注: IBM QRadar は通常、 QRadar QFlow Collector 上の NetFlow イベント・データにポート 2055 を使用します。 NSEL を使用して、NetFlow 用の Cisco Adaptive Security Appliance で別の UDP ポートを構成する必要があります。
6. 以下のコマンドを入力して、NSEL class-map を構成します。

   class-map flow_export_class

7. 以下のいずれかのトラフィック・オプションを選択します。

   特定のトラフィックに一致するように NetFlow アクセス・リストを構成するには、以下のコマンドを入力します。

   match access-list flow_export_acl

8. 任意のトラフィックに一致するように NetFlow を構成するには、以下のコマンドを入力します。

   match any

   注: 「 NetFlow Using NSEL の構成」でトラフィック・マッチング・オプションを定義する前に、Cisco ASA デバイスにアクセス制御リスト (ACL) が存在している必要があります。
9. 以下のコマンドを入力して、NSEL policy-map を構成します。

   policy-map flow_export_policy

10. 以下のコマンドを入力して、flow-export アクションのクラスを定義します。

    class flow_export_class

11. 以下のコマンドを入力して、flow-export アクションを構成します。

    flow-export event-type all destination <IP アドレス>

    ここで、 <IP address> は QRadarの IP アドレスです。

    注: v8.3 より前のバージョンの Cisco ASA を使用している場合は、「 NetFlow 「NSEL を使用した NSEL の構成 (Using NSEL)」 をスキップして、デバイスのデフォルトをフロー・エクスポート宛先にすることができます。 詳しくは、ご使用の Cisco ASA の資料 を参照してください。
12. 以下のコマンドを入力して、サービス・ポリシーをグローバルに追加します。

    service-policy flow_export_policy global

13. 以下のように、構成を終了します。

    exit

14. 以下のように、変更を保存します。

    write mem

    コレクター・アプリケーションがイベントを相関付けるために「イベント時刻 (Event Time)」フィールドを使用していることを確認する必要があります。