Konektor Cisco Meraki untuk Microsoft Azure Sentinel

  • Artikel

Konektor Cisco Meraki memungkinkan Anda untuk dengan mudah menghubungkan log Cisco Meraki (MX/MR/MS) Anda dengan Microsoft Sentinel. Hal ini memberikan lebih banyak wawasan tentang jaringan organisasi dan meningkatkan kemampuan operasi keamanan Anda.

Ini adalah konten yang dibuat secara otomatis. Untuk perubahan, hubungi penyedia solusi.

atribut Koneksi or

Atribut konektor Deskripsi
Tabel Log Analytics meraki_CL
Dukungan aturan pengumpulan data Saat ini tidak didukung
Didukung oleh Microsoft Corporation

Kueri sampel

Total Peristiwa menurut Jenis Log

CiscoMeraki 

| summarize count() by LogType

10 Koneksi Yang Diblokir Teratas

CiscoMeraki 

| where LogType == "security_event" 

| where Action == "block" 

| summarize count() by SrcIpAddr, DstIpAddr, Action, Disposition 

| top 10 by count_

Prasyarat

Untuk berintegrasi dengan Cisco Meraki, pastikan Anda memiliki:

  • Cisco Meraki: harus dikonfigurasi untuk mengekspor log melalui Syslog

Instruksi penginstalan vendor

CATATAN: Konektor data ini tergantung pada pengurai berdasarkan Fungsi Kusto untuk bekerja seperti yang diharapkan yang disebarkan sebagai bagian dari solusi. Untuk melihat kode fungsi di Log Analytics, buka bilah Log Analytics/Microsoft Sentinel Logs, klik Functions dan cari alias CiscoMeraki dan muat kode fungsi atau klik di sini. Fungsi ini biasanya membutuhkan waktu 10-15 menit untuk diaktifkan setelah penginstalan/pembaruan solusi.

  1. Instal dan onboard agen untuk Linux

Biasanya, Anda harus menginstal agen di komputer yang berbeda dari komputer tempat log dibuat.

Log Syslog dikumpulkan hanya dari agen Linux .

  1. Konfigurasikan log yang akan dikumpulkan

Ikuti langkah-langkah konfigurasi di bawah ini untuk mendapatkan log perangkat Cisco Meraki ke Microsoft Sentinel. Lihat Dokumentasi Azure Monitor untuk detail lebih lanjut tentang langkah-langkah ini. Untuk log Cisco Meraki, kami memiliki masalah saat mengurai data oleh data agen OMS menggunakan pengaturan default. Jadi kami menyarankan untuk menangkap log ke dalam tabel kustom meraki_CL menggunakan instruksi di bawah ini.

  1. Masuk ke server tempat Anda telah menginstal agen OMS.

  2. Unduh file konfigurasi meraki.conf wget -v https://aka.ms/sentinel-ciscomerakioms-conf -O meraki.conf

  3. Salin meraki.conf ke folder /etc/opt/microsoft/omsagent/workspace_id/conf/omsagent.d/. cp meraki.conf /etc/opt/microsoft/omsagent/<<workspace_id>>/conf/omsagent.d/

  4. Edit meraki.conf sebagai berikut:

    a. meraki.conf menggunakan port 22033 secara default. Pastikan port ini tidak digunakan oleh sumber lain di server Anda

    b. Jika Anda ingin mengubah port default untuk meraki.conf , pastikan Anda tidak menggunakan port agen analitik pemantauan /analitik log Azure default yaitu(Misalnya CEF menggunakan port TCP 25226 atau 25224)

    c. ganti workspace_id dengan nilai nyata ID Ruang Kerja Anda (baris 14.15.16.19)

  5. Simpan perubahan dan mulai ulang agen Azure Log Analytics untuk layanan Linux dengan perintah berikut: sudo /opt/microsoft/omsagent/bin/service_control restart

  6. Ubah file /etc/rsyslog.conf - tambahkan templat di bawah ini sebaiknya di awal/ sebelum bagian direktif $template meraki,"%timestamp% %hostname% %msg%\n"

  7. Buat file conf kustom di /etc/rsyslog.d/ misalnya 10-meraki.conf dan tambahkan kondisi filter berikut.

    Dengan pernyataan tambahan, Anda harus membuat filter yang akan menentukan log yang berasal dari Cisco Meraki untuk diteruskan ke tabel kustom.

    referensi: Kondisi Filter — dokumentasi rsyslog 8.18.0.master

    Berikut adalah contoh pemfilteran yang dapat ditentukan, ini tidak lengkap dan akan memerlukan pengujian tambahan untuk setiap penginstalan. jika $rawmsg berisi "alur" maka @@127.0.0.1:22033; meraki & berhenti jika $rawmsg berisi "url" maka @@127.0.0.1:22033; meraki & berhenti jika $rawmsg berisi "ids-alerts" maka @@127.0.0.1:22033; meraki & berhenti jika $rawmsg berisi "peristiwa" maka @@127.0.0.1:22033; meraki & berhenti jika $rawmsg berisi "ip_flow_start" maka @@127.0.0.1:22033; meraki & berhenti jika $rawmsg berisi "ip_flow_end" maka @@127.0.0.1:22033; meraki & berhenti

  8. Mulai ulang rsyslog systemctl restart rsyslog

  9. Mengonfigurasi dan menghubungkan perangkat Cisco Meraki

Ikuti petunjuk ini untuk mengonfigurasi perangkat Cisco Meraki untuk meneruskan syslog. Gunakan alamat IP atau nama host untuk perangkat Linux dengan agen Linux yang diinstal sebagai alamat IP Tujuan.

Langkah berikutnya

Untuk informasi selengkapnya, buka solusi terkait di Marketplace Azure.