Connettore Cisco Meraki per Microsoft Sentinel

  • Articolo

Il connettore Cisco Meraki consente di connettere facilmente i log di Cisco Meraki (MX/MR/MS) con Microsoft Sentinel. In questo modo è possibile ottenere maggiori informazioni sulla rete dell'organizzazione e migliorare le funzionalità operative di sicurezza.

attributi Connessione or

Attributo Connessione or Descrizione
Tabelle di Log Analytics meraki_CL
Supporto delle regole di raccolta dati Non è al momento supportato
Supportato da Microsoft Corporation

Esempi di query

Totale eventi per tipo di log

CiscoMeraki 

| summarize count() by LogType

Primi 10 Connessione bloccati

CiscoMeraki 

| where LogType == "security_event" 

| where Action == "block" 

| summarize count() by SrcIpAddr, DstIpAddr, Action, Disposition 

| top 10 by count_

Prerequisiti

Per l'integrazione con Cisco Meraki, assicurarsi di avere:

  • Cisco Meraki: deve essere configurato per esportare i log tramite Syslog

Istruzioni di installazione fornitore

NOTA: questo connettore dati dipende da un parser basato su una funzione Kusto per funzionare come previsto, che viene distribuito come parte della soluzione. Per visualizzare il codice della funzione in Log Analytics, aprire il pannello Log Analytics/Log di Microsoft Sentinel, fare clic su Funzioni e cercare l'alias CiscoMeraki e caricare il codice della funzione oppure fare clic qui. La funzione richiede in genere 10-15 minuti per l'attivazione dopo l'installazione/aggiornamento della soluzione.

  1. Installare ed eseguire l'onboarding dell'agente per Linux

È in genere consigliabile installare l'agente in un computer diverso rispetto a quello in cui vengono generati i log.

I log syslog vengono raccolti solo dagli agenti Linux .

  1. Configurare i log da raccogliere

Seguire la procedura di configurazione seguente per ottenere i log dei dispositivi Cisco Meraki in Microsoft Sentinel. Per altri dettagli su questi passaggi, vedere la documentazione di Monitoraggio di Azure. Per i log di Cisco Meraki, si verificano problemi durante l'analisi dei dati in base ai dati dell'agente OMS usando le impostazioni predefinite. È quindi consigliabile acquisire i log nella tabella personalizzata meraki_CL seguendo le istruzioni riportate di seguito.

  1. Accedere al server in cui è stato installato l'agente OMS.

  2. Scaricare il file di configurazione meraki.conf wget -v https://aka.ms/sentinel-ciscomerakioms-conf -O meraki.conf

  3. Copiare meraki.conf nella cartella /etc/opt/microsoft/omsagent/workspace_id/conf/omsagent.d/ . cp meraki.conf /etc/opt/microsoft/omsagent/<<workspace_id>>/conf/omsagent.d/

  4. Modificare meraki.conf come indicato di seguito:

    a. meraki.conf usa la porta 22033 per impostazione predefinita. Verificare che questa porta non venga usata da nessun'altra origine nel server

    b. Se si vuole modificare la porta predefinita per meraki.conf assicurarsi di non usare le porte predefinite dell'agente di monitoraggio di Azure /log analytics, ad esempio CEF usa la porta TCP 25226 o 25224.

    c. sostituire workspace_id con il valore reale dell'ID area di lavoro (righe 14.15.16.19)

  5. Salvare le modifiche e riavviare l'agente di Azure Log Analytics per il servizio Linux con il comando seguente: sudo /opt/microsoft/omsagent/bin/service_control restart

  6. Modificare il file /etc/rsyslog.conf : aggiungere il modello seguente preferibilmente alla sezione iniziale/prima delle direttive $template meraki,"%timestamp% %hostname% %msg%\n"

  7. Creare un file conf personalizzato in /etc/rsyslog.d/ ad esempio 10-meraki.conf e aggiungere le condizioni di filtro seguenti.

    Con un'istruzione aggiunta è necessario creare un filtro che specifichi i log provenienti da Cisco Meraki da inoltrare alla tabella personalizzata.

    reference: Filter Conditions — rsyslog 8.18.0.master documentation

    Di seguito è riportato un esempio di filtro che può essere definito, che non è completo e richiederà test aggiuntivi per ogni installazione. se $rawmsg contiene "flussi", @@127.0.0.1:22033; meraki & stop se $rawmsg contiene "url" allora @@127.0.0.1:22033; meraki & stop se $rawmsg contiene "ids-alerts" allora @@127.0.0.1:22033; meraki & stop se $rawmsg contiene "eventi" allora @@127.0.0.1:22033; meraki & stop se $rawmsg contiene "ip_flow_start" allora @@127.0.0.1:22033; meraki & stop se $rawmsg contiene "ip_flow_end" allora @@127.0.0.1:22033; meraki & stop

  8. Riavviare rsyslog systemctl restart rsyslog

  9. Configurare e connettere i dispositivi Cisco Meraki

Seguire queste istruzioni per configurare i dispositivi Cisco Meraki per inoltrare syslog. Usare l'indirizzo IP o il nome host per il dispositivo Linux con l'agente Linux installato come indirizzo IP di destinazione.

Passaggi successivi

Per altre informazioni, vedere la soluzione correlata in Azure Marketplace.