DXL include un'estensione che consente di bridge un tessuto broker DXL e pxGrid infrastruttura. Per informazioni dettagliate su Cisco pxGridvedere https://www.cisco.com/c/en/us/products/security/pxgrid.html. DXL-le tecnologie integrate possono condividere le informazioni tra qualsiasi prodotto che utilizza pxGrid e tutti i prodotti che utilizzano DXL. Ad esempio, le informazioni di sistema relative a malware identificate dalle tecnologie McAfee sugli endpoint gestiti possono essere condivise tramite DXL Cisco pxGrid infrastruttura, che consente a Cisco ISE di mettere in quarantena gli endpoint interessati.

Per impostare DXL con Cisco pxGrid, fare clic per espandere la sezione che si desidera visualizzare:

Fornitura di certificati in Cisco ISE per l'utilizzo con i broker DXL

Versione Cisco ISE 2.2 e versioni successive:

1. Identificare i broker a cui si desidera connettersi Cisco pxGrid.
2. Accedere all'interfaccia utente Web ISE come amministratore e passare a Amministrazione, Servizi pxGrid, Certificati.
3. Nell'elenco a discesa "Desidero", selezionare Genera un singolo certificato (senza una richiesta di firma del certificato).
4. Digitare il nome comune e le password dei certificati.
   
   IMPORTANTE Utilizzare le stesse password di certificato quando si configura pxGrid in DXL (Impostazioni del server, Impostazioni di DXL Cisco pxGrid).


5. Nel campo "formato di download certificato", selezionare Certificato in Privacy Enhanced Electronic mail (PEM) formattare e fare clic su Creare.
6. Copiare il file. zip scaricato nel Broker in questa cartella:
   
   /var/mcafee/dxlbroker/ipe/cisco/keystore
   
   Nota È necessario uno strumento SCP o SFTP per copiare il .zip file al broker DXL.


7. Ripetere i passaggi precedenti per ogni broker a cui si desidera connettersi pxGrid.
8. Nell'elenco a discesa "Desidero", selezionare Scarica catena di certificati root e scegliere tutti i nomi degli host.
9. Nel campo "formato di download del certificato", selezionare Certificato in Privacy Enhanced Electronic mail (PEM) formattare e fare clic su Creare.
10. Copiare il file scaricato .zip file nel Broker in questa cartella:
    
    /var/mcafee/dxlbroker/ipe/cisco/truststore
    
    Ripetere l'operazione per ogni broker che si connette a pxGrid.
    
    Nota È necessario uno strumento SCP o SFTP per copiare il .zip file al broker DXL.

Vedi anche:

• Utilizzo di ISE 2.2 CA interna (CA) per distribuire Cisco Client pxGrid (non utilizzando CA esterna): https://communities.cisco.com/docs/DOC-71928
• Implementazione di pxGrid negli ambienti produttivi di ISE (versione 2.0) sezione distribuzione di pxGrid mediante ISE 2.2+ (utilizzando CA esterna): https://communities.cisco.com/docs/DOC-68284

Versione Cisco ISE 2.1:

1. Identificare i broker a cui si desidera connettersi Cisco pxGrid.
2. Accedere all'interfaccia utente Web ISE come amministratore e passare a Portale di provisioning dei certificati, Gestione del portale dei dispositivi, Provisioning dei certificati.
3. Passare alla Certificato di provisioning del portale predefinito, quindi selezionare il URL test portale.
4. Fornire le credenziali richieste e fare clic su Accedi.
5. Nell'elenco a discesa "Desidero", selezionare Genera un singolo certificato (senza una richiesta di firma del certificato).
6. Specificare il nome In comune (CN).
   
   Nota Il CN deve essere un nome di dominio completo risolubile (FQDN, Fully Qualified Domain Name) di un sistema Broker.
   
7. Fornire le password di indirizzo MAC e di certificato.
   
   IMPORTANTE È necessario utilizzare le stesse password di certificato quando si configura pxGrid in DXL (Impostazioni del server, Impostazioni di DXL Cisco pxGrid).
   
8. Nel campo "formato di download del certificato", selezionare Certificato in formato PEM e fare clic su Generare.
9. Estrarre il contenuto del file scaricato .zip file in una cartella temporanea.
10. Copiare tutti i singoli file dalla cartella temporanea al broker nella cartella seguente:
    
    /var/mcafee/dxlbroker/ipe/cisco/keystore
    
    Nota È necessario uno strumento SCP o SFTP per copiare il .zip file al broker DXL.
    
11. Copia solo il CertificateServicesRootCA-xxx.cer file e il file del certificato root esterno, caroot.cer, dalla cartella temporanea al broker nella cartella seguente:
    
    /var/mcafee/dxlbroker/ipe/cisco/truststore
    
    Nota È necessario uno strumento SCP o SFTP per copiare il .zip file al broker DXL.
    
12. Ripetere i passaggi 5 – 11 per ogni broker a cui si desidera connettersi pxGrid.

Vedi anche:

• Utilizzo di ISE 2.1 CA interna (CA) per distribuire Cisco Client pxGrid (non utilizzando CA esterna): https://communities.cisco.com/docs/DOC-71927
• Implementazione di pxGrid negli ambienti produttivi di ISE (versione 2.0) sezione distribuzione di pxGrid mediante ISE 2.1 con CA interna e certificati CA esterni per i nodi ISE: https://communities.cisco.com/docs/DOC-68284

Versione Cisco ISE 2.0:

1. Identificare i broker a cui si desidera connettersi Cisco pxGrid.
2. Scaricare e installare OpenSSL per Windows dal percorso seguente e selezionare il Win32 OpenSSL Light (per 32 bit) o Win64 OpenSSL Light (per il pacchetto a 64 bit):
   
   http://www.slproweb.com/products/Win32OpenSSL.html
   
   Se il messaggio "componente critico non è presente: Microsoft Visual C++ 2008 Redistributable" Visualizza, annullare l'installazione e download uno dei seguenti pacchetti (in base alla propria architettura):
   
   Visual C++ 2008 Redistributable (x86), disponibile all'indirizzo:
   http://www.microsoft.com/downloads/details.aspx?familyid=9B2DA534-3E03-4391-8A4D-074B9F2BC1BF
   
   Visual C++ 2008 Redistributable (x64), disponibile all'indirizzo:
   http://www.microsoft.com/downloads/details.aspx?familyid=bd2a6171-e2d6-4230-b809-9a8d7548c1b6


3. Aprire un prompt dei comandi (Avviare, Correre, cmd.exe) e impostare le seguenti variabili di ambiente OpenSSL. Regolare il percorso OpenSSL in base al percorso di installazione:
   
   C:\ > set OPENSSL_BIN = c:\OpenSSL-Win32\bin
   C:\ > set PATH =%OPENSSL_BIN%;%PATH%
   C:\ > set OPENSSL_CONF =%OPENSSL_BIN%\openssl.cfg


4. Creare e modificare la directory per i file di output:
   
   C:\ > mkdir c:\Certificates
   C:\ > CD c:\Certificates


5. Creare una chiave privata e impostarne una password. Assicurarsi che lo stesso password sia impostato in Impostazioni del server McAfee ePO, Impostazioni di DXL Cisco pxGrid video.
   
   IMPORTANTE Utilizzare le stesse password di certificato quando si configura pxGrid in DXL (Impostazioni del server, Impostazioni di DXL Cisco pxGrid).
   
   C:\Certificates > openssl genrsa-AES256-out tmp. Key 2048
   
   Generazione della chiave privata RSA, modulo a 2048 bit lungo
   .....................................................................................+++
   ..............+++
   e è 65537 (0x10001)
   Immettere la frase di passaggio per tmp. Key:
   Verifica-immettere la frase per il tasto TMP. Key:


6. Convertire la chiave in PCKS8 tipo:
   
   C:\certificates>openssl pkcs8 -in tmp.key -topk8 -out pxgrid_client.key -v1 PBE-SHA1-3DES
   
   Fornire lo stesso password di prima e assicurarsi che la password di cifratura sia impostata con lo stesso valore:
   
   Enter pass phrase for tmp.key:
   Enter Encryption Password:
   Verifying - Enter Encryption Password:


7. Generare la richiesta di firma del certificato da tale chiave.
   
   C:\certificates>openssl req -out pxgrid_client.csr -key pxgrid_client.key -new
   
   Digitare le informazioni necessarie. Assicurarsi che venga fornito un valore univoco per "In comune nome". Ad esempio, il nome host del broker DXL:
   
   Immettere la passphrase per pxgrid_client. Key:
   Verrà richiesto di immettere le informazioni che verranno integrate nella richiesta di certificato.
   Ciò che si sta per immettere è quello che viene definito un nome distinto o un DN.
   Ci sono alcuni campi, ma puoi lasciarne uno vuoto
   Per alcuni campi ci sarà un valore predefinito,
   Se si immette ' .', il campo verrà lasciato vuoto.
   -----
   Nome paese (2 codici Letter) [AU]:.
   Nome stato o provincia (nome e cognome) [stato]:.
   Nome località (ad esempio, città) []:.
   Nome organizzazione (ad esempio, azienda) [Internet Widgits Pty Ltd]:.
   Nome unità organizzativa (ad esempio, sezione) []:.
   Nome In comune (ad esempio FQDN del server o nome) []:D XLBroker1. dxl. Lab
   Indirizzo e-mail []:.
   
   Digitare i seguenti attributi "extra" da inviare con la richiesta di certificato:
   
   Una sfida password []:
   Un nome di azienda facoltativo []:


8. Firmare il certificato e importare l'autorità di certificazione nel Cisco ISE:
   • Opzione 1: Utilizzare una CA esterna per firmare il certificato:
     1. Fornire il file CSR al fornitore CA e recuperare il prodotto firmato pxgrid_client.cer.
        
        Nota Il server CA che utilizza un modello personalizzato deve firmare la richiesta di CSR. Questo modello personalizzato deve contenere un EKU di autenticazione client e autenticazione server.
        
        Come riferimento, consultare distribuzione di certificati con Cisco pxGrid-utilizzo di un'autorità di certificazione (CA) esterna con gli aggiornamenti di Cisco ISE 2.0/2.1/2.2 nella sezione Utilizzo di un modello personalizzato del server CA del certificato esterno (https://communities.cisco.com/docs/DOC-71926).
     2. Copia pxgrid_client.key e pxgrid_client.cer nel Broker in questa cartella:
        
        /var/mcafee/dxlbroker/ipe/cisco/keystore
        
        Nota È necessario uno strumento SCP o SFTP per copiare il .zip file al broker DXL.
     
     
     3. Suddividere la catena di certificati dell'autorità di certificazione in file PEM separati e copiare i file in Broker nella cartella /var/mcafee/dxlbroker/ipe/cisco/keystore (il certificato CA root). Questi file hanno l'estensione .cer.
        
        Nota È necessario uno strumento SCP o SFTP per copiare il file. zip nel Broker DXL.
     
     
     4. Accedere all'interfaccia utente Web ISE come amministratore e passare a Amministrazione, Sistema, Certificati, Gestione dei certificati, Certificati affidabili.
     5. Fare clic su Importazione e selezionare i file di certificato CA creati al passaggio 8C.
        
        Utilizzare i valori predefiniti e importare per ciascun file.
   
   
   • Opzione 2: Utilizzare una CA autofirmata:
     1. Creare il certificato CA e la chiave con il seguente comando:
        
        c:\certificates>openssl req -new -x509 -days 365 -extensions v3_ca -keyout ca.key -out ca.cer
        
        Digitare le informazioni necessarie. Assicurarsi che "In comune nome" sia univoco e che sia impostato sull'FQDN del broker DXL:
        
        Generazione di una chiave privata RSA a 2048 bit......................................................................... + + +
        ....................+++
        scrittura di una nuova chiave privata in ' ca. Key '
        Immettere la frase di passaggio PEM: verifica-immettere la frase di passaggio PEM:
        -----
        Verrà richiesto di immettere le informazioni che verranno integrate nella richiesta di certificato.
        Ciò che si sta per immettere è quello che viene definito un nome distinto o un DN.
        Ci sono alcuni campi, ma puoi lasciarne uno vuoto
        Per alcuni campi ci sarà un valore predefinito,
        Se si immette ' .', il campo verrà lasciato vuoto.
        -----
        Nome paese (2 codici Letter) [AU]:.
        Nome stato o provincia (nome e cognome) [stato]:.
        Nome località (ad esempio, città) []:.
        Nome organizzazione (ad esempio, azienda) [Internet Widgits Pty Ltd]:.
        Nome unità organizzativa (ad esempio, sezione) []:.
        Nome In comune (ad esempio FQDN server o nome utente) []:D XLpxGridClientsCA
        Indirizzo e-mail []:.
     
     
     2. Firmare il CSR con il seguente comando:
        
        c:\certificates>openssl x509 -req -in pxgrid_client.csr -CA ca.cer -CAkey ca.key -CAcreateserial -out pxgrid_client.cer -days 365
        
        Digitare il password per la chiave CA e completare la firma del certificato:
        
        Firma OK
        Subject =/CN = DXLBroker1. dxl. Lab
        Come ottenere la chiave privata CA
        Immettere la frase di passaggio per ca. Key:
     
     
     3. Copia pxgrid_client.cer, pxgrid_client.key, e ca.cer al broker nella cartella:
        
        /var/mcafee/dxlbroker/ipe/cisco/keystore
        
        Nota È necessario uno strumento SCP o SFTP per copiare il .zip file al broker DXL.
     
     
     4. Accedere all'interfaccia utente Web ISE come amministratore e passare a Amministrazione, Sistema, Certificati, Gestione dei certificati, Certificati affidabili.
     5. Fare clic su Importazione e selezionare il c:\certificates\ca.cer file. Utilizzare i valori predefiniti e importare.


9. Ripetere i passaggi 5 – 8 per ogni broker che si connette a pxGrid.
   
   Se si utilizza una CA autofirmata, è possibile riutilizzare la stessa CA per la firma delle richieste di certificato, ma è necessario genera certificati separati per ogni broker.


10. Nell'interfaccia utente Web ISE, passare a Amministrazione, Sistema, Certificati, Gestione dei certificati, Certificati di sistema.
11. Selezionare la voce del certificato "utilizzata da". pxGrid. Prendere nota del valore "emesso da", quindi fare clic su Esporta.
12. Selezionare Esporta solo certificato e fare clic su Esporta.
13. Per ogni broker DXL che si connette a pxGrid, copiare il file scaricato sul broker nella cartella:
    
    /var/mcafee/dxlbroker/ipe/cisco/truststore
    
    Nota È necessario uno strumento SCP o SFTP per copiare il file. zip nel Broker DXL.


14. Nell'interfaccia utente Web ISE, passare a Amministrazione, Sistema, Certificati, Gestione dei certificati, Certificati affidabili.
15. Selezionare la voce in cui "emesso" è uguale al valore "emesso da" al punto 11 e fare clic su Esporta.
16. Per ogni broker DXL che si connette a pxGrid, copiare il file scaricato nel Broker DXL nella cartella:
    
    /var/mcafee/dxlbroker/ipe/cisco/truststore
    
    Nota È necessario uno strumento SCP o SFTP per copiare il .zip file al broker DXL.

Vedi anche:

• Distribuzione di certificati con Cisco pxGrid-utilizzo degli aggiornamenti dei certificati autofirmati in Cisco ISE 2.0/2.1/2.2: https://communities.cisco.com/docs/DOC-71925

Torna all'inizio

Configurare le impostazioni di Cisco pxGrid in DXL utilizzando McAfee ePO

Fornire le informazioni necessarie per i broker DXL per connettersi al Cisco pxGrid infrastruttura.

1. In ePO, selezionare Menu, Configurazione, Impostazioni del server, DXL Cisco pxGrid, quindi fare clic su Modifica.
2. Completare le impostazioni nella pagina modifica DXL Cisco pxGrid video

   Campo	Descrizione
   pxGrid Host	Immettere il nome host o l'indirizzo IP per i controller pxGrid a cui si collegano i broker DXL.
   Prefisso nome client	Questo campo identifica il nome della connessione client dai broker DXL al pxGrid tessuto nella console Cisco ISE. È possibile modificare questo nome e viene aggiornato nel pxGrid interfaccia utente.
   Descrizione del client	Questo campo identifica la descrizione della connessione client dai broker DXL alla pxGrid tessuto nella console Cisco ISE. È possibile modificare questa descrizione e viene aggiornata nel pxGrid interfaccia utente.
   Gruppi client	Consente di specificare le funzionalità di gruppo per le quali i broker DXL si collegano a Cisco pxGrid richiede l'accesso. Se non si desidera che la funzionalità sia disponibile tramite il bridge tra DXL e Cisco pxGrid, fare clic sul icona meno per rimuoverlo. Per immettere una nuova funzionalità, fare clic sul pulsante icona più.
   Password certificato	Il password utilizzato per creare il certificato in Cisco ISE per l'utilizzo con DXL.
   Notifiche	Le notifiche vengono ricevute tramite il pxGrid infrastruttura. Selezionare i tipi di notifiche da bridge da pxGrid tessuto a DXL.
   Filtro sottorete di notifica della sessione	Ricevere notifiche di sessione da sottoreti specifiche. Lasciare vuoto questo campo per ricevere le notifiche di sessione per tutte le sottoreti oppure immettere un indirizzo di sottorete separato da virgole per ricevere le notifiche solo da tali sottoreti. Per esempio: 1.0.0.0/255.0.0.0, 1234::/16

Configurare i broker DXL da utilizzare con Cisco pxGrid utilizzando McAfee ePO

Selezionare i broker DXL da bridge con il Cisco pxGrid infrastruttura. Eseguire la procedura seguente per ogni broker utilizzato con Cisco pxGrid.

1. In ePO, selezionare Menu, Configurazione, Impostazioni del server, Topologia DXL, quindi fare clic su Modifica.
2. Selezionare un broker da utilizzare con Cisco pxGrid.
3. Selezionare una o più estensioni di Broker da utilizzare.
   
   È possibile disporre di diversi broker DXL che query Cisco pxGrid provider, ma solo Scegli uno Broker per ricevere notifiche, per ridurre la ridondanza e prevenire i problemi di prestazioni.

Approva Cisco connessioni pxGrid dai broker DXL in Cisco ISE

Quando un broker DXL si connette a pxGrid per la prima volta, potrebbe essere inserito in un Approvazione in sospeso stato in Cisco ISE. Prima che il broker DXL possa comunicare con pxGrid, l'amministratore ISE deve approvare la connessione DXL:

1. Accedere all'interfaccia utente Web ISE come amministratore e passare a Amministrazione, Servizi pxGrid, Client.
   
   Nota Le versioni più recenti di ISE utilizzano il nome "tutti i client" anziché i client.


2. Selezionare i nomi client che corrispondono ai broker selezionati per Cisco la connettività pxGrid e il cui stato è In sospeso.
3. Fare clic su Approvare e confermare il processo di approvazione.
   
   Lo stato della connessione del broker DXL viene modificato in Online.

Impostazione delle risposte automatiche in McAfee ePO (facoltativo)

È possibile creare una risposta automatica per inviare un'azione di attenuazione a Cisco pxGrido per applicare un endpoint di controllo di rete adattiva (ANC) policy quando si verifica un evento di minaccia. Le policy di ANC vengono create in Cisco ISE. Ad esempio, se è stata creata una regola di risposta automatica con Quarantena Poiché l'azione di mitigazione di un sistema, il sistema per cui si è verificato l'evento di minaccia viene messo in quarantena in Cisco ISE quando si verifica un evento di minaccia.

Le risposte automatiche vengono create in ePO utilizzando il Risposte automatiche funzionalità. Nella pagina azioni del Creazione risposte, selezionare Esegui query pxGrid, quindi selezionare il tipo di query, identificatore di sistemae sia il azione da intraprendere o il policy da applicare.