Cisco Secure Network Analytics (Stealthwatch)

구독
다운로드 0
업데이트 2026. 11. 4.

설치 매뉴얼

개요

Cisco Secure Network Analytics (Stealthwatch) 앱은 Cisco Secure Network Analytics(이전 제품명 Stealthwatch)의 관리 콘솔(SMC)이 보내는 알람 Syslog를 수집해 위험도·출발지·목적지·호스트 그룹 기준으로 정규화합니다. 수집한 로그는 앱에 포함된 Cisco Secure Network Analytics 대시보드에서 바로 확인할 수 있습니다.

적용 범위

Note
소나 4.0.2502.0 이상에서 동작합니다. Cisco Secure Network Analytics 7.x(Stealthwatch 7.x)의 Response Management 기능으로 Syslog를 보내는 환경을 기준으로 작성했습니다.

요구 사항

항목요구사항비고
SMC 권한Response Management 설정 권한이 있는 관리자 계정권한이 부족하면 전송 설정 불가
네트워크 허용UDP/514 (SMC → 소나 수집 노드, Inbound)다른 포트를 쓰면 SMC와 방화벽에 같은 포트 반영
Syslog 형식아래 Secure Network Analytics 설정의 사용자 정의 형식CEF·LEEF 등 다른 형식으로 보내면 파싱되지 않습니다

Secure Network Analytics 설정

SMC가 알람을 아래 형식의 Syslog로 로그프레소 수집 노드에 보내도록 설정합니다. SMC에서는 Response Management 기능으로 Syslog 메시지 형식, 전송 동작, 규칙을 차례로 등록합니다. 화면 구성과 메뉴 이름은 SMC 버전마다 다르므로 자세한 조작 방법은 Cisco 문서를 참고하세요.

단계 1: Syslog 메시지 형식 만들기

SMC의 Syslog 형식 편집기에서 아래 구조로 메시지 형식을 만듭니다. 각 키의 값에는 SMC가 제공하는 알람 변수 중 설명에 맞는 것을 넣습니다.

메시지는 다음 헤더로 시작합니다. 한글로 적은 칸에 해당 알람 변수를 넣고, 각 칸은 파이프(|)로 구분합니다.

Cisco|Stealthwatch|Notification:알람유형ID|알람유형이름|심각도ID|

헤더 뒤에는 공백으로 구분한 key=value를 이어 씁니다.

key넣을 값
alarm_desc알람 유형 설명. 큰따옴표로 감쌉니다
details알람 상세 내용. 큰따옴표로 감쌉니다
src, dst출발지 IP, 목적지 IP
dpt, proto목적지 포트, 프로토콜 번호(예: 6)
start, end알람 시작·종료 시각. yyyy-MM-ddTHH:mm:ssZ 형식
category알람 분류
Alarm_ID알람 ID
Source_HG, Target_HG출발지·목적지 호스트 그룹 이름
Source_HostSnapshot, Target_HostSnapshotSMC의 출발지·목적지 호스트 상세 화면 URL
FC_Name, FC_IPFlow Collector 이름, IP
Domain도메인 ID(숫자)
signature알람 유형 이름
vendor_severity심각도 이름(Informational, Trivial, Minor, Major, Critical)
severity_id심각도 ID
alarm_type알람 유형 ID

SMC가 보낸 Syslog가 로그프레소에 아래처럼 들어오면 정상입니다.

Nov  3 09:08:47 smc.example.com Stealthwatch[36331]: Cisco|Stealthwatch|Notification:47|Policy Violation|4| alarm_desc="The subject is exhibiting behavior that violates normal network policies." details="Observed 9.6k points." dst=192.0.2.2 src=192.0.2.1 start=2026-11-03T00:07:00Z end= category=Policy Violation Alarm_ID=8D-1KTD-I78H-OP0X-W Source_HG=Inside Hosts Target_HG=Servers Source_HostSnapshot=https://example.com/lc-landing-page/smc.html#/host/192.0.2.1 Target_HostSnapshot=https://example.com/lc-landing-page/smc.html#/host/192.0.2.2 dpt=80 proto=6 FC_Name=fc-01 FC_IP=192.0.2.20 Domain=301 signature=Policy Violation vendor_severity=Major severity_id=4 alarm_type=47
Caution
헤더의 Cisco|Stealthwatch|Notification: 문구와 key 이름은 바꾸지 마세요. 값이 없는 key는 비워 둬도 되지만, vendor_severity가 없으면 위험도가 계산되지 않아 대시보드의 위험도별 위젯에 나타나지 않습니다.
Note
Syslog 헤더는 MMM d HH:mm:ss hostname program: 형식(RFC 3164)이어야 합니다. RFC 5424 형식 헤더나 CEF·LEEF 형식으로 보내면 로그가 미분류로 저장됩니다.

단계 2: 전송 동작과 규칙 등록

  1. Syslog 메시지 전송 동작을 만들고, 대상에 소나 수집 노드의 IP와 수신 포트(기본 UDP 514)를, 형식에 단계 1에서 만든 형식을 지정합니다.
  2. 로그프레소로 보낼 알람의 규칙(호스트 알람, Flow Collector 시스템 알람 등)에 이 동작을 연결합니다. 보낼 알람 유형과 심각도는 규칙 조건으로 고릅니다.
Caution
SMC의 시간대를 소나 서버와 같게 맞추세요. Syslog 헤더 시각에는 시간대 정보가 없어 소나 서버 시간대 기준으로 기록됩니다. 예를 들어 SMC가 UTC로 보내고 소나 서버가 한국 시간이면 로그 시각이 9시간 어긋납니다.

로그프레소 수집 설정

단계 1: 소나에서 Syslog 수집기 추가

수집 > 수집기에서 추가 버튼을 클릭하고 아래 값을 입력합니다.

수집기 추가 화면 - 수집 모델과 테이블 입력

구분항목설정
필수이름수집기를 식별할 고유한 이름
선택자산 IP등록된 자산과 연결할 때 선택
필수실행 방식, 주기기본값 유지
필수적재 위치로그를 적재할 노드 선택
선택수집 위치센트리에서 Syslog를 받을 때 해당 센트리 선택
필수수집 모델Cisco Secure Network Analytics (Stealthwatch)
필수테이블NDR_STEALTHWATCH로 시작하는 테이블 이름 입력 (예: NDR_STEALTHWATCH)
Note
앱에 포함된 Cisco Secure Network Analytics 대시보드는 이름에 NDR_STEALTHWATCH가 들어간 테이블만 조회합니다. 다른 이름을 쓰면 수집은 되지만 대시보드에 표시되지 않습니다.

단계 2: 수신 옵션 설정

같은 화면 아래쪽의 수집기 옵션을 입력하고 저장합니다.

수집기 옵션 화면 - 원격지 IP와 포트 입력

구분항목설정
선택원격지 IPSMC의 IP. 단일 IP, IP1-IP2 범위, CIDR 표기 지원
선택포트수신 포트 필터. 미입력 시 모든 수신 포트의 로그를 받습니다
Note
같은 노드로 여러 장비가 Syslog를 보내는 경우 원격지 IP로 장비별 수집기를 구분하세요. 원격지 IP를 비워 두면 다른 장비의 로그까지 이 테이블에 미분류로 섞여 적재될 수 있습니다.

참고 자료