Cisco: monitorando a entrada de usuários

7

Existe uma maneira de monitorar a entrada de um usuário em um dispositivo Cisco?

Esclarecimento: os comandos que um usuário digitou como no modo de configuração E no modo normal. (modo especialmente normal. O modo de configuração pode ser feito com "show history").

cisco monitoring

— Bulki
fonte

8

Dê uma olhada neste post do IOSHints: comando do CLI que registra sem TACACS + . E o título parece sugerir que também pode ser feito com o TACACS +.

— Gerben
fonte

2

TACACS + é realmente o caminho, mas às vezes você não tem escolha. Esse link que você forneceu para colocar o log em um gerenciador de eventos fez o truque. Thx :)

— Bulki 17/05

8

Supondo que você esteja usando o TACACS +, você pode configurar:

tacacs-server host x.x.x.x key xxxxx

aaa accounting commands 0 default start-stop group tacacs+
aaa accounting commands 15 default start-stop group tacacs+

Inclua também uma linha para qualquer outro nível de ativação que você possa usar.

— Mike Marotta
fonte

2

O TACACS + também possui o benefício adicional de incorporar autenticação, para que você possa realmente correlacionar os comandos registrados às contas de usuário individuais. Você também terá persistência nos logs, pois os comandos não são limpos no final de cada sessão do usuário.

— Henklu 17/05

5

Como sua pergunta não está restrita ao IOS: nos dispositivos Cisco ASA, você pode ver comandos executados no syslog. Eles ficam assim:

May 17 11:45:12 192.168.0.1 %ASA-5-514008: User 'stefan' executed the 'write memory' command.

Portanto, você pode filtrar essas mensagens, por exemplo, usando grepe um trabalho cron. Obviamente, você precisa ter o nível de gravidade necessário definido, aqui 5 para notificação .

Eu usei o splunk para receber e armazenar diretamente mensagens de syslog do firewall, programei um alerta de execução diária que me envia todas as linhas de syslog do ASA que contêm "executado" como um email de resumo. Fiz isso porque eu já tinha atuado para monitorar e gerar relatórios.

— Stefan
fonte

5

TACACS + é o método preferido para registrar comandos da CLI em qualquer nível de ativação. Veja os comandos AAA e TACACS para configuração. Existe software de código aberto se você não possui ou não pode pagar o Cisco ACS ou produtos similares.

Mas, para um recurso muito interessante e raramente usado, você pode fazer com que o próprio switch execute uma diferença de configuração na running-config e startup-config e envie por e-mail as alterações ou deltas para você!

Veja como eu tenho os switches 4510R configurados para enviar alterações de configuração por email. Isso usa o gerenciador de eventos para fazer o trabalho.

Primeiro, algumas configurações comuns para o servidor de email, de e para endereços.

    event manager environment _email_server a.b.c.d.
    event manager environment _email_from netops@example.com
    event manager environment _email_to netops@example.com

Em seguida, o applet real para fazer a diferença. Isso é bastante auto-explicativo.

    event manager applet config_diff_email authorization bypass
    event syslog pattern ".*%SYS-5-CONFIG.*"
    action 1.0 info type routername
    action 1.1 cli command "enable"
    action 1.2 cli command "show archive config diff nvram:/startup-config system:/running-config"
    action 1.3 mail server "$_email_server" to "$_email_to" from "$_email_from" subject "Config Change Alert ($_info_routername)" body "$_cli_result"
    action 1.4 syslog msg "Config Change Alert emailed"

Note que mesmo entrar na configuração e não fazer alterações ainda aciona o e-mail diff. E uma desvantagem disso é o pico de CPU que ocorre por cerca de 10 segundos enquanto é executado.

— generalnetworkerror
fonte

1

Eu uso a seguinte configuração e ela registra os comandos de configuração, além de alguns outros como 'enable':

archive
 log config
  logging enable
  notify syslog
  hidekeys

— Yosef Gunsburg
fonte

Isso registra comandos de não configuração? É nisso que o OP parece mais interessado.

— Craig Constantine

11

Ele não registra a maioria dos comandos que não são de configuração (comandos no modo exec), portanto 'show [...]' não será registrado. Mas registra alguns deles.

— Yosef Gunsburg