[Obsoleto] Conector Cisco Meraki para Microsoft Sentinel
Importante
A coleta de logs de vários aparelhos e dispositivos agora tem suporte no Formato Comum de Evento (CEF) via AMA, Syslog via AMA, ou Logs Personalizados via conector de dados AMA no Microsoft Sentinel. Para obter mais informações, consulte Encontrar seu conector de dados do Microsoft Sentinel.
O conector Cisco Meraki permite que você conecte facilmente seus logs do Cisco Meraki (MX/MR/MS) com o Microsoft Sentinel. Isso proporciona mais insights sobre a rede da sua organização e aprimora suas funcionalidades de operação de segurança.
Este é um conteúdo gerado automaticamente. Para alterações, entre em contato com o provedor da solução.
Atributos do conector
| Atributo do conector | Description |
|---|---|
| Tabela(s) do Log Analytics | meraki_CL |
| Suporte às regras de coleta de dados | Sem suporte no momento |
| Com suporte por | Microsoft Corporation |
Exemplos de consulta
Total de eventos por tipo de log
CiscoMeraki
| summarize count() by LogType
Dez principais conexões bloqueadas
CiscoMeraki
| where LogType == "security_event"
| where Action == "block"
| summarize count() by SrcIpAddr, DstIpAddr, Action, Disposition
| top 10 by count_
Pré-requisitos
Para integrar com o Cisco Meraki [obsoleto], certifique-se de ter:
- Cisco Meraki: precisa ser configurado para exportar logs pelo Syslog
Instruções de instalação do fornecedor
OBSERVAÇÃO: esse conector de dados depende de um analisador baseado em uma Função Kusto para funcionar conforme o esperado, o que é implantado como parte da solução. Para exibir o código da função no Log Analytics, abra a folha Log Analytics/Logs do Microsoft Sentinel, clique em Funções e pesquise o alias CiscoMeraki e carregue o código da função ou clique aqui. A função geralmente leva de 10 a 15 minutos para ser ativada após a instalação/atualização da solução.
- Instalar e integrar o agente para Linux
De modo geral, você deve instalar o agente em um computador diferente daquele a partir do qual os logs são gerados.
Os logs do Syslog são coletados apenas junto a agentes do Linux.
- Configurar os logs a serem coletados
Siga as etapas de configuração abaixo para enviar os logs do dispositivo Cisco Meraki ao Microsoft Sentinel. Confira a Documentação do Azure Monitor para encontrar mais detalhes sobre essas etapas. Para os registros do Cisco Meraki, temos problemas ao analisar os dados por meio dos dados do agente OMS usando as configurações padrão. Portanto, recomendamos capturar os logs na tabela personalizada meraki_CL usando as instruções abaixo.
Faça logon no servidor em que você instalou o agente do OMS.
Baixe o arquivo de configuração meraki.conf wget -v https://aka.ms/sentinel-ciscomerakioms-conf -O meraki.conf
Copie meraki.conf para a pasta /etc/opt/microsoft/omsagent/workspace_id/conf/omsagent.d/. cp meraki.conf /etc/opt/microsoft/omsagent/<<workspace_id>>/conf/omsagent.d/
Edite o meraki.conf da seguinte maneira:
a. meraki.conf usa a porta 22033 como padrão. Verifique se essa porta não está sendo usada por nenhuma outra fonte em seu servidor
b. Se você quiser alterar a porta padrão para meraki.conf, certifique-se de não usar as portas padrão do agente analítico de monitoramento/log do Azure, ou seja, (Por exemplo, o CEF usa a porta TCP 25226 ou 25224)
c. substitua workspace_id pelo valor real da ID do espaço de trabalho (linhas 14,15,16,19)
Salve as alterações e reinicie o agente do Azure Log Analytics para o serviço do Linux com o seguinte comando: sudo /opt/microsoft/omsagent/bin/service_control restart
Modifique o arquivo /etc/rsyslog.conf – adicione o modelo abaixo preferencialmente no início/antes da seção de diretivas $template meraki,"%timestamp% %hostname% %msg%\n"
Crie um arquivo de configuração personalizado em /etc/rsyslog.d/ por exemplo, 10-meraki.conf e adicione as seguintes condições de filtro.
Com uma instrução adicionada, você precisa criar um filtro que vai especificar os logs vindos do Cisco Meraki a serem encaminhados para a tabela personalizada.
referência: Condições de filtro — documentação rsyslog 8.18.0.master
Aqui está um exemplo de filtragem que pode ser definida, entretanto, não está concluído e exigirá testes adicionais para cada instalação. se $rawmsg contiver "fluxos", @@127.0.0.1:22033; meraki & pare se $rawmsg contiver "firewall" então @@127.0.0.1:22033; meraki & stop se $rawmsg contiver "urls" então @@127.0.0.1:22033; meraki & stop se $rawmsg contiver "ids-alerts" então @@127.0.0.1:22033; meraki & stop se $rawmsg contiver "eventos" então @@127.0.0.1:22033; meraki & pare se $rawmsg contém "ip_flow_start" então @@127.0.0.1:22033; meraki & pare se $rawmsg contiver "ip_flow_end" então @@127.0.0.1:22033; meraki & pare
Reiniciar rsyslog systemctl reiniciar rsyslog
Configurar e conectar os dispositivos Cisco Meraki
Siga estas instruções para configurar os dispositivos Cisco Meraki para encaminhar o syslog. Use o endereço IP ou o nome do host para o dispositivo Linux com o agente Linux instalado como o Endereço IP de Destino.
Próximas etapas
Para obter mais informações, acesse a solução relacionada no Azure Marketplace.