Соединитель Cisco Meraki для Microsoft Sentinel

Мақала
04/26/2024

Соединитель Cisco Meraki позволяет легко подключать журналы Cisco Meraki (MX/MR/MS) с помощью Microsoft Sentinel. В результате вы будете получать больше полезных сведений о сети организации и расширите свои возможности для обеспечения безопасности.

Это автоматически сформированное содержимое. Для изменений обратитесь к поставщику решений.

атрибуты Подключение or

Атрибут соединителя	Description
Таблицы Log Analytics	meraki_CL
Поддержка правил сбора данных	В настоящий момент не поддерживается
Поддерживается	Корпорация Майкрософт

Примеры запросов

Общее количество событий по типу журнала

CiscoMeraki 

| summarize count() by LogType

Первые 10 заблокированных Подключение

CiscoMeraki 

| where LogType == "security_event" 

| where Action == "block" 

| summarize count() by SrcIpAddr, DstIpAddr, Action, Disposition 

| top 10 by count_

Необходимые компоненты

Чтобы интегрироваться с Cisco Meraki, убедитесь, что у вас есть:

Cisco Meraki: необходимо настроить экспорт журналов с помощью Syslog

Инструкции по установке поставщика

ПРИМЕЧАНИЕ. Этот соединитель данных зависит от средства синтаксического анализа на основе функции Kusto, которая должна работать должным образом, которая развертывается в рамках решения. Чтобы просмотреть код функции в Log Analytics, откройте колонку Log Analytics/Microsoft Sentinel Logs, щелкните "Функции" и найдите псевдоним CiscoMeraki и загрузите код функции или щелкните здесь. Функция обычно занимает 10–15 минут, чтобы активировать после установки или обновления решения.

Установка и подключение агента для Linux

Обычно агент следует устанавливать не на том же компьютере, где создаются журналы.

Журналы системного журнала собираются только из агентов Linux .

Настройка журналов для сбора

Выполните приведенные ниже действия по настройке, чтобы получить журналы устройств Cisco Meraki в Microsoft Sentinel. Дополнительные сведения об этих шагах см. в документации по Azure Monitor. Для журналов Cisco Meraki возникают проблемы при анализе данных агентом OMS с помощью параметров по умолчанию. Поэтому мы советуем записывать журналы в пользовательские таблицы meraki_CL с помощью приведенных ниже инструкций.

Войдите на сервер, на котором установлен агент OMS.
Скачать файл конфигурации meraki.conf wget -v https://aka.ms/sentinel-ciscomerakioms-conf -O meraki.conf
Скопируйте meraki.conf в папку /etc/opt/microsoft/omsagent/workspace_id/conf/omsagent.d/. cp meraki.conf /etc/opt/microsoft/omsagent/<<workspace_id>>/conf/omsagent.d/
Измените meraki.conf следующим образом:

a. meraki.conf использует порт 22033 по умолчанию. Убедитесь, что этот порт не используется другим источником на сервере

b. Если вы хотите изменить порт по умолчанию для meraki.conf, убедитесь, что вы не используете порты azure мониторинга /log analytic agent, т. е. (например, CEF использует TCP-порт 25226 или 25224)

c. замените workspace_id реальным значением идентификатора рабочей области (строки 14 15 16 19)
Сохраните изменения и перезапустите агент Azure Log Analytics для службы Linux с помощью следующей команды: sudo /opt/microsoft/omsagent/bin/service_control перезапуск
Измените файл /etc/rsyslog.conf. Добавьте приведенный ниже шаблон в начале или перед разделом директив $template meraki"%timestamp% %hostname% %msg%\n"
Создайте пользовательский файл conf в файле /etc/rsyslog.d/, например 10-meraki.conf и добавьте следующие условия фильтра.

С добавленной инструкцией необходимо создать фильтр, который будет указывать журналы, поступающие из Cisco Meraki, для пересылки в настраиваемую таблицу.

справочник. Условия фильтрации — документация по rsyslog 8.18.0.master

Ниже приведен пример фильтрации, который можно определить, это не завершено и потребует дополнительного тестирования для каждой установки. Значение @@127.0.0.1:22033, если $rawmsg содержит "потоки"; meraki &stop, если $rawmsg содержит "URL-адреса", то @@127.0.0.1:22033; meraki & stop, если $rawmsg содержит "ids-alerts", то @@127.0.0.1:22033; meraki &stop, если $rawmsg содержит "события", то @@127.0.0.1:22033; meraki &stop, если $rawmsg содержит "ip_flow_start", то @@127.0.0.1:22033; meraki &stop, если $rawmsg содержит "ip_flow_end", то @@127.0.0.1:22033; meraki &stop
Перезапуск rsyslog systemctl restart rsyslog
Настройка и подключение устройств Cisco Meraki

Следуйте этим инструкциям , чтобы настроить устройства Cisco Meraki для пересылки системного журнала. Используйте IP-адрес или имя узла для устройства Linux с агентом Linux, установленным в качестве IP-адреса назначения.

Следующие шаги

Дополнительные сведения см. в связанном решении в Azure Marketplace.

Бөлісу құралы: