Configurazione dell'integrazione di ISE 3.2 Data Connect con Splunk

Introduzione

In questo documento viene descritto come configurare l'integrazione di Cisco Identity Services Engine (ISE) 3.2 con Splunk over Data Connect per recuperare i dati di report direttamente dal database ISE. È possibile creare query personalizzate e creare report personalizzati.

Prerequisiti

Requisiti

Cisco raccomanda la conoscenza dei seguenti argomenti:

1. Cisco ISE 3.2
2. Conoscenze base delle query Oracle
3. Splunk

Componenti usati

Le informazioni fornite in questo documento si basano sulle seguenti versioni software e hardware:

1. Cisco ISE 3.2
2. Splunk 9.0.0

Le informazioni discusse in questo documento fanno riferimento a dispositivi usati in uno specifico ambiente di emulazione. Su tutti i dispositivi menzionati nel documento la configurazione è stata ripristinata ai valori predefiniti. Se la rete è operativa, valutare attentamente eventuali conseguenze derivanti dall'uso dei comandi.

Configurazione

Configurazioni

Passaggio 1. Configurazione delle impostazioni di ISE Data Connect

1. Abilita connessione dati

Ad ISE, passare a Administration > System > Settings > Data Connecte contrassegnare il pulsante Data Connect. Immettere la password e fare clic su Save .

Prendere nota delle impostazioni di connessione dati, che includono User Name, Hostname, Port, and Service Name .Per impostazione predefinita, Data Connect è abilitato su MNT secondario in una distribuzione distribuita. Per ulteriori informazioni sugli scenari di failover, vedere la Guida dell'amministratore.

2. Esporta certificato di connessione dati

Operazione in Step 1.ha attivato la creazione del certificato di connessione dati. Deve essere considerato attendibile dai client che interrogano ISE su Data Connect.

Per esportare il certificato, passare a Administration > System > Settings > Cetificate Management > Trusted Certificates,selezionare Certificato con Data Connect Certificate Nome descrittivo e fai clic su Export .

Il certificato viene esportato in formato PEM.

Passaggio 2. Configurare Splunk

Nota: L'installazione di Splunk esula dall'ambito di questo documento.

1. Installare l'app Splunk DB Connect

Fare clic su + Find More Apps dal menu principale.

Inserire Splunk DB Connect nel menu cerca e fare clic su Installcontro Splunk DB Connect App come mostrato nell'immagine.

Immettere le credenziali Splunk per installare l'app. Fare clic su Agree and Install come mostrato nell'immagine.

L'installazione dell'app richiede il riavvio. Fare clic su Restart Now.

2. Installare i driver Oracle

Come nella documentazione di Splunk, è necessario installare i driver JDBC. Installare il driver Oracle tramite i componenti aggiuntivi Splunk per DB Connect. Fare clic su Login to Download come mostrato nell'immagine.

Fare clic su Download.

Dal menu Pagina iniziale, fare clic sull'icona Ingranaggio accanto a Apps come mostrato nell'immagine.

Fare clic su Install App from File.

Selezionare File scaricato in precedenza e fare clic su Uploadcome mostrato nell'immagine.

Passa a Apps > Splunk DB Connect > Configuration > Settings > Driversfare clic su Reload.Oracle il driver deve essere visualizzato come Installed.

3. Configurare l'identità dell'app Splunk DB Connect

Nota: Affinché Splunk DB Connect App funzioni, è necessario installare Java (SE). Ai fini di questa App Java (SE), 11 è installato.

C:\Users\Administrator>java --version
java 11.0.15.1 2022-04-22 LTS
Java(TM) SE Runtime Environment 18.9 (build 11.0.15.1+2-LTS-10)
Java HotSpot(TM) 64-Bit Server VM 18.9 (build 11.0.15.1+2-LTS-10, mixed mode)

C:\Users\Administrator>

Passa a Apps > Splunk DB Connect > Configuration > Databases > Identities e fai clic su New Identity.

Configurare Identity Name (valore arbitrario), Username (dataconnect) e Password da Step 1. e fai clic su Save.

4. Configurare la connessione dell'app Splunk DB Connect

Passa a Apps > Splunk DB Connect > Configuration > Databases > Connections e poi fai clic su New Connection.

Configurare Connection Name (valore arbitrario). Seleziona Identity da Configure Splunk DB Connect App Identitypassaggio. Seleziona Connection Type come Oracle. Contrassegnare la casella di controllo con Edit JDBC URL e incollare il valore:

jdbc:oracle:thin:@(DESCRIPTION=(ADDRESS=(PROTOCOL=tcps)(HOST=10.48.17.20)(PORT=2484))(CONNECT_DATA=(SID=cpm10)))

L'HOST deve essere sostituito con l'indirizzo IP del nodo MNT dalla fase Enable Data Connect come mostrato nell'immagine.

Scorrere fino alla sezione Certificato e incollare il contenuto di DataConnectCertificate.pem e fare clic su Save come mostrato nell'immagine.

5. Configurare gli input della connessione al database Splunk

Passa a Apps > Splunk DB Connect > Data Lab > Inputs  andfare clic New Input.

Selezionare Connessione configurata nel passaggio Configure Splunk DB Connect App Connection .Immettere la query che si desidera utilizzare per il polling. In questo esempio viene utilizzata la query Authentication by ISE Node:

select access_service as allowed_protocol, sum(passed_count) as passed, sum(failed_count) as failed, sum(passed_count) + sum(failed_count) as total, round(to_char(((sum(failed_count) / (sum(passed_count) + sum(failed_count))) * 100)), 2) as failed_percentage, round(to_char(sum(total_response_time)/(sum(passed_count) + sum(failed_count))), 2) as total_response_time, max(max_response_time) as max_response_time from radius_authentication_summary group by access_service;

Clic Execute SQL per garantire il funzionamento della query, è inoltre necessario procedere oltre. Fare clic su Next come mostrato nell'immagine.

Configurare l'input Name(valore arbitrario). Seleziona Application come Splunk DB Connect. Impostare Execution Frequency (la frequenza con cui l'interrogazione viene inviata all'ISE).

Configurare Source Type e Input.

Verifica

Fare riferimento a questa sezione per verificare che la configurazione funzioni correttamente.

Per verificare e visualizzare i dati delle risposte, passare a Apps > Splunk DB Connect > Data Lab > Inputs. Fare clic su Find Events.

Dal Events , è possibile passare a Visualization.

È possibile regolare il menu Cerca e selezionare la Visualizzazione desiderata. La query nell'esempio utilizza un grafico cronologico e crea il grafico in base al numero massimo di tentativi di autenticazione passati.

index=summary sourcetype=custom source=AuthenticationsbyISENode OR source=mi_input://AuthenticationsbyISENode| timechart span=5m max(PASSED)

Risoluzione dei problemi

Al momento non sono disponibili informazioni specifiche per la risoluzione dei problemi di questa configurazione.