[Tidak digunakan lagi] Konektor Cisco Meraki untuk Microsoft Azure Sentinel
Penting
Pengumpulan log dari banyak appliance dan perangkat sekarang didukung oleh Common Event Format (CEF) melalui AMA, Syslog melalui AMA, atau Log Kustom melalui konektor data AMA di Microsoft Sentinel. Untuk informasi selengkapnya, lihat Menemukan konektor data Microsoft Azure Sentinel Anda.
Konektor Cisco Meraki memungkinkan Anda untuk dengan mudah menghubungkan log Cisco Meraki (MX/MR/MS) Anda dengan Microsoft Sentinel. Hal ini memberikan lebih banyak wawasan tentang jaringan organisasi dan meningkatkan kemampuan operasi keamanan Anda.
Ini adalah konten yang dibuat secara otomatis. Untuk perubahan, hubungi penyedia solusi.
Atribut konektor
Atribut konektor | Deskripsi |
---|---|
Tabel Log Analytics | meraki_CL |
Dukungan aturan pengumpulan data | Saat ini tidak didukung |
Didukung oleh | Microsoft Corporation |
Kueri sampel
Total Peristiwa menurut Jenis Log
CiscoMeraki
| summarize count() by LogType
10 Koneksi Terblokir Teratas
CiscoMeraki
| where LogType == "security_event"
| where Action == "block"
| summarize count() by SrcIpAddr, DstIpAddr, Action, Disposition
| top 10 by count_
Prasyarat
Untuk berintegrasi dengan [Tidak digunakan lagi] Cisco Meraki pastikan Anda memiliki:
- Cisco Meraki: harus dikonfigurasi untuk mengekspor log melalui Syslog
Instruksi penginstalan vendor
CATATAN: Konektor data ini tergantung pada pengurai berdasarkan Fungsi Kusto untuk bekerja seperti yang diharapkan yang disebarkan sebagai bagian dari solusi. Untuk melihat kode fungsi di Log Analytics, buka bilah Log Analytics/Microsoft Sentinel Logs, klik Functions dan cari alias CiscoMeraki dan muat kode fungsi atau klik di sini. Fungsi ini biasanya membutuhkan waktu 10-15 menit untuk diaktifkan setelah penginstalan/pembaruan solusi.
- Instal dan onboard agen untuk Linux
Biasanya, Anda harus menginstal agen di komputer yang berbeda dari komputer tempat log dibuat.
Log Syslog dikumpulkan hanya dari agen Linux .
- Konfigurasikan log yang akan dikumpulkan
Ikuti langkah-langkah konfigurasi di bawah ini untuk mendapatkan log perangkat Cisco Meraki ke Microsoft Sentinel. Lihat Dokumentasi Azure Monitor untuk detail lebih lanjut tentang langkah-langkah ini. Untuk log Cisco Meraki, kami memiliki masalah saat mengurai data oleh data agen OMS menggunakan pengaturan default. Jadi kami menyarankan untuk menangkap log ke dalam tabel kustom meraki_CL menggunakan instruksi di bawah ini.
Masuk ke server tempat Anda telah menginstal agen OMS.
Unduh file konfigurasi meraki.conf wget -v https://aka.ms/sentinel-ciscomerakioms-conf -O meraki.conf
Salin meraki.conf ke folder /etc/opt/microsoft/omsagent/workspace_id/conf/omsagent.d/. cp meraki.conf /etc/opt/microsoft/omsagent/<<workspace_id>>/conf/omsagent.d/
Edit meraki.conf sebagai berikut:
a. meraki.conf menggunakan port 22033 secara default. Pastikan port ini tidak digunakan oleh sumber lain di server Anda
b. Jika Anda ingin mengubah port default untuk meraki.conf , pastikan Anda tidak menggunakan port agen analitik pemantauan /analitik log Azure default yaitu(Misalnya CEF menggunakan port TCP 25226 atau 25224)
c. ganti workspace_id dengan nilai nyata ID Ruang Kerja Anda (baris 14.15.16.19)
Simpan perubahan dan mulai ulang agen Azure Log Analytics untuk layanan Linux dengan perintah berikut: sudo /opt/microsoft/omsagent/bin/service_control restart
Ubah file /etc/rsyslog.conf - tambahkan templat di bawah ini sebaiknya di awal/ sebelum bagian direktif $template meraki,"%timestamp% %hostname% %msg%\n"
Buat file conf kustom di /etc/rsyslog.d/ misalnya 10-meraki.conf dan tambahkan kondisi filter berikut.
Dengan pernyataan tambahan, Anda harus membuat filter yang akan menentukan log yang berasal dari Cisco Meraki untuk diteruskan ke tabel kustom.
referensi: Kondisi Filter — dokumentasi rsyslog 8.18.0.master
Berikut adalah contoh pemfilteran yang dapat ditentukan, ini tidak lengkap dan akan memerlukan pengujian tambahan untuk setiap penginstalan. jika $rawmsg berisi "alur" maka @@127.0.0.1:22033; meraki & berhenti jika $rawmsg berisi "firewall" maka @@127.0.0.1:22033; meraki & berhenti jika $rawmsg berisi "url" maka @@127.0.0.1:22033; meraki & berhenti jika $rawmsg berisi "ids-alerts" maka @@127.0.0.1:22033; meraki & berhenti jika $rawmsg berisi "peristiwa" maka @@127.0.0.1:22033; meraki & berhenti jika $rawmsg berisi "ip_flow_start" maka @@127.0.0.1:22033; meraki & berhenti jika $rawmsg berisi "ip_flow_end" maka @@127.0.0.1:22033; meraki & berhenti
Mulai ulang rsyslog systemctl restart rsyslog
Mengonfigurasi dan menghubungkan perangkat Cisco Meraki
Ikuti petunjuk ini untuk mengonfigurasi perangkat Cisco Meraki untuk meneruskan syslog. Gunakan alamat IP atau nama host untuk perangkat Linux dengan agen Linux yang diinstal sebagai alamat IP Tujuan.
Langkah berikutnya
Untuk informasi selengkapnya, buka solusi terkait di Marketplace Azure.