Elastic Stack 8 - Filebeat pour la supervision des pare-feux Cisco Firepower

Mise à jour le 25 avril 2025

Les Cisco Firepower sont les pires firewalls de l'univers, mais ce n'est pas le sujet ici… Je parlerai uniquement du moyen de monitorer cette daube avec un environnement Elastic Stack.

Pour se faire, nous allons travailler avec le module Filebeat.

Le point positif est que Filebeat propose un module Cisco capable de gérer les logs Firepower envoyés via syslog. Le point négatif est qu'il n'existe pas de dashboard préconfiguré, nous allons donc devoir en créer un manuellement.

Elastic Stack Dashboard visualisant le trafic, les ports et les politiques ACL de Cisco Firepower à l'aide de Filebeat. — Dashboard du Cisco Firepower.

Architecture Filebeat

Diagramme d’architecture montrant les journaux Cisco Firepower envoyés en syslog vers Filebeat, traités par Elasticsearch puis visualisés dans Kibana — Architecture Filebeat.

Configuration Cisco Firepower

La première chose que l'on doit faire est de configurer notre Firepower Cisco afin qu'il envoit les informations syslog à notre agent Filebeat. Pour se faire, nous allons devoir déclarer un serveur syslog et activer la journalisation sur les règles que l'on souhaite monitorer.

Ajout d'un objet de type serveur syslog

Aller dans Objects > Syslog servers et cliquer sur Add button :

Entrer les informations de notre serveur Syslog (notre serveur Elastic) puis cliquer sur OK :

Fenêtre Cisco Firepower pour configurer un serveur Syslog avec adresse IP, protocole et interface de journalisation

Configurer la journalisation

Depuis le menu principal du Firewall aller dans Logging Settings :

Menu des paramètres système de Cisco Firepower avec l’option Paramètres de journalisation mise en évidence

Aller dans le menu Logging Settings et configurer Logging :

Configuration de la journalisation sur Cisco Firepower affichant le serveur Syslog, les niveaux de gravité et les options de journalisation des fichiers et malwares

Activer la journalisation sur nos règles

Éditer le(s) règle(s) de Firewall que l'on souhaite monitorer :

Interface Cisco Firepower mettant en évidence l’icône d’édition d’une règle de pare-feu dans les politiques de contrôle d’accès

Activer la journalisation :

Paramètres de journalisation de Cisco Firepower pour une règle d’accès montrant les actions de connexion et l’adresse IP du serveur Syslog de destination

Installer Filebeat

Note : J'installerais filebeat sur la même machine que le moteur Elasticsearch.

Si la clé PGP Elasticsearch n'a pas encore été importé et que le repository n'a pas été ajouté, voir la partie I.

Installer Filebeat :

root@host:~# apt install filebeat

Éditer le fichier /etc/filebeat/modules.d/cisco.yml pour activer le module ftd/firepower :

  ftd:
    enabled: true

    var.syslog_host: 0.0.0.0
    var.syslog_port: 514

Éditer le fichier /etc/filebeat/filebeat.yml pour paramétrer filebeat :

# ---------------------------- Elasticsearch Output ----------------------------
output.elasticsearch:
  # Array of hosts to connect to.
  hosts: ["localhost:9200"]

  # Protocol - either `http` (default) or `https`.
  protocol: "https"

  # Authentication credentials - either API key or username/password.
  #api_key: "id:api_key"
  username: "elastic"
  password: "elastic_password;)"
  ssl.verification_mode: none


# =================================== Kibana ===================================

# Starting with Beats version 6.0.0, the dashboards are loaded via the Kibana API.
# This requires a Kibana endpoint configuration.
setup.kibana:

  # Kibana Host
  # Scheme and port can be left out and will be set to the default (http and 5601)
  # In case you specify and additional path, the scheme is required: http://localhost:5601/path
  # IPv6 addresses should always be defined as: https://[2001:db8::1]:5601
  host: "https://X.X.X.X:5601"
  ssl.verification_mode: none