Cisco Meraki-Connector für Microsoft Sentinel

  • Artikel

Mit dem Cisco Meraki-Connector können Sie Ihre Cisco Meraki-Protokolle (MX/MR/MS) einfach mit Microsoft Sentinel verbinden. So erhalten Sie einen besseren Einblick in das Netzwerk Ihrer Organisation und bessere Möglichkeiten für Sicherheitsvorgänge.

Connectorattribute

Connectorattribut BESCHREIBUNG
Log Analytics-Tabellen meraki_CL
Unterstützung für Datensammlungsregeln Derzeit nicht unterstützt
Unterstützt von Microsoft Corporation

Abfragebeispiele

Ereignisse insgesamt nach Protokolltyp

CiscoMeraki 

| summarize count() by LogType

Wichtigste 10 blockierte Verbindungen

CiscoMeraki 

| where LogType == "security_event" 

| where Action == "block" 

| summarize count() by SrcIpAddr, DstIpAddr, Action, Disposition 

| top 10 by count_

Voraussetzungen

Stellen Sie für die Integration in Cisco Meraki Folgendes sicher:

  • Cisco Meraki: Muss so konfiguriert sein, dass Protokolle über Syslog exportiert werden

Installationsanweisungen des Anbieters

HINWEIS: Damit dieser Datenconnector wie erwartet funktioniert, ist er von einem Parser abhängig, der auf einer Kusto-Funktion basiert, die als Teil der Lösung bereitgestellt wird. Um den Funktionscode in Log Analytics anzuzeigen, öffnen Sie das Blatt „Log Analytics-/Microsoft Sentinel-Protokolle“, klicken Sie auf „Funktionen“, suchen Sie nach dem Alias „CiscoMeraki“, und laden Sie den Funktionscode oder klicken Sie hier. Die Aktivierung der Funktion dauert in der Regel 10 bis 15 Minuten nach der Installation/Aktualisierung der Lösung.

  1. Installieren und Onboarding des Agents für Linux

In der Regel sollten Sie den Agent auf einem anderen Computer als dem installieren, auf dem die Protokolle generiert werden.

Syslog-Protokolle werden nur von Linux-Agents gesammelt.

  1. Konfigurieren der zu erfassenden Protokolle

Führen Sie die folgenden Konfigurationsschritte aus, um Cisco Meraki-Geräteprotokolle in Microsoft Sentinel abzurufen. Weitere Informationen zu diesen Schritten finden Sie in der Azure Monitor-Dokumentation. Bei Cisco Meraki-Protokollen haben wir Probleme beim Analysieren der Daten durch OMS-Agent-Daten mithilfe der Standardeinstellungen. Daher empfehlen wir, die Protokolle mithilfe der folgenden Anweisungen in der benutzerdefinierten Tabelle meraki_CL zu erfassen.

  1. Melden Sie sich bei dem Server an, auf dem Sie den OMS-Agent installiert haben.

  2. Laden Sie die Konfigurationsdatei meraki.conf wget -v https://aka.ms/sentinel-ciscomerakioms-conf -O meraki.conf herunter.

  3. Kopieren Sie meraki.conf in den Ordner /etc/opt/microsoft/omsagent/workspace_id/conf/omsagent.d/. cp meraki.conf /etc/opt/microsoft/omsagent/<<workspace_id>>/conf/omsagent.d/

  4. Bearbeiten Sie meraki.conf wie folgt:

    a. meraki.conf verwendet standardmäßig den Port 22033. Stellen Sie sicher, dass dieser Port nicht von einer anderen Quelle auf Ihrem Server verwendet wird.

    b. Wenn Sie den Standardport für meraki.conf ändern möchten, stellen Sie sicher, dass Sie nicht die Standardports des Azure Monitoring/Log Analytics-Agents verwenden. (Beispielsweise verwendet CEF TCP-Port 25226 oder 25224.)

    c. Ersetzen Sie workspace_id durch den tatsächlichen Wert Ihrer Arbeitsbereichs-ID (Zeilen 14,15,16,19).

  5. Speichern Sie die Änderungen, und starten Sie den Azure Log Analytics-Agent für Linux mit dem folgenden Befehl neu: sudo /opt/microsoft/omsagent/bin/service_control restart.

  6. Ändern Sie die Datei „/etc/rsyslog.conf“: Fügen Sie die folgende Vorlage vorzugsweise am Anfang/vor dem Anweisungenabschnitt $template meraki,„%timestamp% %hostname% %msg%\n“ hinzu.

  7. Erstellen Sie eine benutzerdefinierte Conf-Datei in /etc/rsyslog.d/ z. B. 10-meraki.conf, und fügen Sie die folgenden Filterbedingungen hinzu.

    Bei einer hinzugefügten Anweisung müssen Sie einen Filter erstellen, der die Protokolle von Cisco Meraki angibt, die an die benutzerdefinierte Tabelle weitergeleitet werden sollen.

    Referenz: Filterbedingungen – rsyslog 8.18.0.master Dokumentation

    Hier sehen Sie ein Beispiel für eine Filterung, die definiert werden kann. Das Beispiel ist nicht abschließend und erfordert zusätzliche Tests für jede Installation. wenn $rawmsg "Flows" enthält, dann @@127.0.0.1:22033; meraki & stop, wenn $rawmsg "urls" enthält, dann @@127.0.0.1:22033; meraki & stop, wenn $rawmsg "ids-alerts" enthält, dann @@127.0.0.1:22033; meraki & stop, wenn $rawmsg "Ereignisse" enthält, dann @@127.0.0.1:22033; meraki & stop, wenn $rawmsg "ip_flow_start" enthält, dann @@127.0.0.1:22033; meraki & stop, wenn $rawmsg "ip_flow_end" enthält, dann @@127.0.0.1:22033; meraki & stop

  8. Starten Sie rsyslog systemctl restart rsyslog neu.

  9. Konfigurieren und Verbinden von Cisco Meraki-Geräten

Befolgen Sie diese Anweisungen, um die Cisco Meraki-Geräte für die Weiterleitung an syslog zu konfigurieren. Verwenden Sie die IP-Adresse oder den Hostnamen für das Linux-Gerät mit installiertem Linux-Agent als Ziel-IP-Adresse.

Nächste Schritte

Weitere Informationen finden Sie in der entsprechenden Lösung im Azure Marketplace.