Introduzione
Questo documento descrive i componenti dello stack ELK integrati di Cisco Identity Services Engine (ISE) da 3.3 a System 360 Log Analytics.
Prerequisiti
Requisiti
Cisco raccomanda la conoscenza dei seguenti argomenti:
Componenti usati
Il riferimento delle informazioni contenute in questo documento è Cisco ISE 3.3.
Le informazioni discusse in questo documento fanno riferimento a dispositivi usati in uno specifico ambiente di emulazione. Su tutti i dispositivi menzionati nel documento la configurazione è stata ripristinata ai valori predefiniti. Se la rete è operativa, valutare attentamente eventuali conseguenze derivanti dall'uso dei comandi.
Premesse
System 360 include Monitoring e Log Analytics.
La funzionalità Monitoraggio consente di monitorare un'ampia gamma di statistiche di sistema e applicazioni e gli indicatori di prestazioni chiave (KPI) di tutti i nodi di una distribuzione da una console centralizzata. Gli indicatori KPI sono utili per ottenere informazioni dettagliate sullo stato complessivo dell'ambiente del nodo. Le statistiche offrono una rappresentazione semplificata delle configurazioni di sistema e dei dati specifici dell'utilizzo.
Log Analytics fornisce un sistema di analisi flessibile per un'analisi approfondita dell'autenticazione, dell'autorizzazione e dell'accounting degli endpoint (AAA) e per l'analisi dei dati di syslog. È inoltre possibile analizzare il riepilogo dello stato di salute e gli stati del processo di Cisco ISE. È possibile generare report simili al report dei contatori Cisco ISE e del riepilogo dello stato.
Stack ELK
ELK Stack è un popolare stack di software open source utilizzato per la raccolta, l'elaborazione e la visualizzazione di grandi volumi di dati. Sta per Elasticsearch, Logstash e Kibana.
-
Elasticsearch: Elasticsearch è un motore di ricerca e analisi distribuito. È progettato per archiviare, ricercare e analizzare grandi volumi di dati in modo rapido e quasi in tempo reale. Utilizza un linguaggio di query basato su JSON ed è altamente scalabile.
-
Logstash: Logstash è una pipeline di elaborazione dei dati che acquisisce, elabora e trasforma i dati da più origini. È in grado di analizzare e arricchire i dati, rendendoli più strutturati e adatti per l'analisi. Logstash supporta un'ampia gamma di origini di input e destinazioni di output.
-
Kibana: Kibana è una piattaforma di visualizzazione dei dati che lavora con Elasticsearch. Consente agli utenti di creare dashboard interattivi, grafici e visualizzazioni per esplorare e comprendere i dati archiviati in Elasticsearch. L'interfaccia di Kibana semplifica le query e la visualizzazione dei dati.
Se combinati, questi componenti costituiscono un potente stack per la gestione e l'analisi di diversi tipi di dati, dai file di log alle metriche e altro ancora, fornendo al contempo funzionalità di visualizzazione per dare un senso alle informazioni.
Flusso ELK stack
ELK Stack as Log Analytics
- Un'istanza separata dello stack ElasticSearch+LogStash+Kibana è in esecuzione solo sui nodi MnT.
- Non esiste alcuna correlazione con Elasticsearch di Context-Visibility.
- ELK 7.17 in esecuzione
- Le MNT primarie e secondarie hanno istanze separate di ELK.
- Kibana è abilitato solo sul MNT secondario se è disponibile, visualizzando i dati solo da questo nodo.
- Log Analytics è disabilitato per impostazione predefinita.
- Utilizza le risorse Oracle.
- Memorizza fino a 7 giorni di dati.
- La dimensione totale dei dati utilizzati da Log Analytics è limitata a 10 GB.
- Una volta raggiunto uno qualsiasi dei limiti, ElasticSearch elimina i dati.
Flusso ELK come analisi del log
Diagramma di flusso di ELK in ISE
Abilita analisi registro
Log analytics è disabilitato per impostazione predefinita su ISE. Per attivarlo, passare a Operations > System 360 > Settings
come mostrato nell'immagine.
Abilita analisi registro
L'inizializzazione dello stack ELK da parte di ISE richiede circa un minuto. È possibile controllare lo stato utilizzando show app stat ise
.
È inoltre possibile controllare lo stato del contenitore dalla radice.
admin#show application status ise
ISE PROCESS NAME STATE PROCESS ID
--------------------------------------------------------------------
Database Listener running 7708
Database Server running 132 PROCESSES
Application Server running 551493
Profiler Database running 14281
ISE Indexing Engine running 553168
AD Connector running 41413
M&T Session Database running 26017
M&T Log Processor running 33547
Certificate Authority Service running 41230
EST Service running 659568
SXP Engine Service disabled
TC-NAC Service disabled
PassiveID WMI Service disabled
PassiveID Syslog Service disabled
PassiveID API Service disabled
PassiveID Agent Service disabled
PassiveID Endpoint Service disabled
PassiveID SPAN Service disabled
DHCP Server (dhcpd) disabled
DNS Server (named) disabled
ISE Messaging Service running 10937
ISE API Gateway Database Service running 13294
ISE API Gateway Service running 586762
ISE pxGrid Direct Service running 637606
Segmentation Policy Service disabled
REST Auth Service disabled
SSE Connector disabled
Hermes (pxGrid Cloud Agent) disabled
McTrust (Meraki Sync Service) disabled
ISE Node Exporter running 44422
ISE Prometheus Service running 47890
ISE Grafana Service running 51094
ISE MNT LogAnalytics Elasticsearch running 611684
ISE Logstash Service running 614339
ISE Kibana Service running 616064
ISE Native IPSec Service running 75883
MFC Profiler running 651910
Menu di spostamento
Una volta avviati i servizi ELK, è possibile accedere al menu di navigazione Elastic.
Menu di navigazione
Dashboard incorporati
- Per impostazione predefinita, ISE dispone di dashboard integrati con dati provenienti da Radius, TACACS, prestazioni del sistema e visibilità ISE.
- È possibile accedere a questi dashboard passando a
Operations > Log Analytics
.
- Dopo aver aperto Elastic UI, fare clic su
Sandwich Menu > Analytics > Dashboards
.
Dashboard incorporati
- Dashboard disponibili su ISE 3.3.
Dashboard ISE 3.3 log analytics
Crea nuovi dashboard
Passaggio 1. Crea modelli di indice (origine dati)
In Kibana, i "modelli di indice" sono configurazioni che consentono di definire il modo in cui Kibana interagisce con uno o più indici Elasticsearch.
Passa a Management > Stack Management > Kibana > Index Patterns
e fare clic su Create Index Pattern
come mostrato nell'immagine.
Crea modello di indice
Viene visualizzata la finestra successiva che elenca tutti gli indici disponibili su ISE.
- Digitare il nome dell'indice desiderato, che può essere una corrispondenza esatta o un carattere jolly utilizzando *.
- Selezionare il campo Timestamp, log_at, log_at_timezone o "Non voglio usare il filtro temporale".
- Quindi, fare clic su
Create index pattern
.
Seleziona indice
Una volta creato, l'indice elenca tutte le variabili associate che possono essere utilizzate successivamente per creare visualizzazioni.
Variabili indice
Passaggio 2. Crea effetti grafici
In Kibana le "visualizzazioni" sono rappresentazioni grafiche dei dati. Consentono di prendere i dati memorizzati in Elasticsearch e trasformarli in grafici, diagrammi e diagrammi significativi per una migliore comprensione e analisi. Di seguito sono riportati alcuni tipi comuni di effetti grafici che è possibile creare:
- Lente: crea la visualizzazione con un editor di trascinamento. Consigliato.
- Grafici a barre: visualizzano i dati in barre verticali, semplificando il confronto dei valori tra categorie o intervalli di tempo.
- Grafici a linee: nei grafici a linee i dati vengono visualizzati come una serie di coordinate collegate da linee. Sono utili per visualizzare le tendenze nel tempo.
- Grafici a torta: i grafici a torta rappresentano i dati in un grafico circolare, in cui ogni segmento della torta rappresenta una categoria e le dimensioni del segmento ne indicano le proporzioni.
- Grafici ad area: simili ai grafici a linee, anche i grafici ad area mostrano le tendenze nel tempo, ma riempiono l'area sotto le linee, rendendo più facile vedere l'entità delle modifiche.
- Mappe termiche: le mappe termiche utilizzano i colori per rappresentare i valori dei dati in una matrice o griglia. Sono utili per mostrare concentrazioni o variazioni nei dati.
- Visualizzazioni metriche: visualizzano singoli valori numerici, ad esempio conteggi o medie. Vengono spesso utilizzati per visualizzare indicatori di prestazioni chiave (KPI).
- Tabelle di dati: le tabelle di dati presentano dati non elaborati in formato tabulare, consentendo di visualizzare informazioni dettagliate e di ordinare o filtrare i dati.
- Istogrammi: gli istogrammi dividono i dati in raccoglitori o intervalli e visualizzano la frequenza o il conteggio dei dati in ciascun raccoglitore. Sono utili per comprendere le distribuzioni dei dati.
- Mappe coordinate: consentono di visualizzare i dati geospaziali e di utilizzare diversi marcatori, colori o dimensioni per rappresentare gli attributi dei dati.
- Tag cloud: le tag cloud visualizzano le frequenze delle parole, con le dimensioni di ogni parola che ne indicano l'importanza o la frequenza in un dataset.
Passa a Analytics > Visualize Library
, quindi scegliere Create Visualization
come mostrato nell'immagine.
Crea visualizzazione
Selezionare la visualizzazione della preferenza, in questo esempio Lente è preferibile per praticità.
Seleziona tipo di visualizzazione
Obiettivo Kibana, gli elementi di navigazione sono costituiti da:
- Selezione origine dati: nel pannello a sinistra, è possibile selezionare l'origine dati o il modello di indice di ricerca elastica da utilizzare per la visualizzazione.
- Area di visualizzazione: l'area centrale è quella in cui è possibile creare la visualizzazione trascinando e rilasciando i campi, selezionando i tipi di grafico e configurando le impostazioni del grafico.
- Barra degli strumenti Visualizzazione: nella parte superiore dell'area di lavoro è disponibile una barra degli strumenti che consente di personalizzare la visualizzazione, incluse le opzioni per la modifica dei tipi di grafico, l'aggiunta di filtri e la configurazione delle impostazioni del grafico.
-
Pannello dati: sul lato destro, è possibile accedere al pannello "Dati", che consente di gestire la trasformazione dei dati, l'aggregazione e le impostazioni dei campi.
- Gestione livelli: a seconda del tipo di visualizzazione che si sta creando (ad esempio, i grafici a livelli), è possibile disporre di un'area di gestione dei livelli per la configurazione di più livelli nella visualizzazione.
-
Anteprima: quando si apportano modifiche alla visualizzazione, in genere viene fornita un'anteprima in tempo reale che consente di verificare l'aspetto del grafico con le impostazioni correnti.
-
Impostazioni visualizzazione: a seconda del tipo di grafico selezionato, è possibile accedere a impostazioni specifiche per il tipo di visualizzazione, ad esempio la configurazione degli assi, le combinazioni di colori e le etichette.
-
Impostazioni interattività: è possibile aggiungere interazioni e azioni alla visualizzazione, consentendo agli utenti di filtrare i dati o di passare ad altre parti dei dashboard Kibana.
-
Salva e condividi: nella parte superiore dell'interfaccia dell'obiettivo sono in genere disponibili opzioni per salvare la visualizzazione, aggiungerla a un dashboard o condividerla con altri utenti.
Visualizzazione dell'obiettivo
A causa dell'ID bug Cisco CSCwh48057, nel pannello sinistro non vengono visualizzati i campi disponibili per l'uso. Tuttavia, dal lato destro è possibile selezionare i campi obbligatori e lo stile del diagramma. In questo esempio, poiché la latenza di autenticazione è un argomento di interesse comune, il grafico viene creato per visualizzare la latenza di autenticazione rispetto all'ID dell'endpoint.
ID endpoint e latenza
Al termine, è possibile fare clic sul pulsante Save
nell'angolo destro, come mostrato nell'immagine.
Salva visualizzazione
Passaggio 3. Creare un dashboard
Aggiunge automaticamente la nuova visualizzazione in un nuovo dashboard. È importante ricordare che i dashboard Kibana consentono agli utenti di creare, personalizzare e condividere visualizzazioni e report interattivi basati sui dati archiviati negli indici Elasticsearch.
Nuovo dashboard
Risoluzione dei problemi
- Verificare che i servizi dello stack ELK siano in esecuzione sul MNT.
- Poiché Kibana, Logstash ed Elasticsearch sono in esecuzione su contenitori, i registri sono disponibili in:
admin#show logging application ise-kibana/kibana.log
admin#show logging application ise-logstash/logstash.log
admin#show logging application mnt-la-elasticsearch/mnt-la-elasticsearch.log
Informazioni correlate