[Preterido] Conector Cisco Meraki para Microsoft Sentinel
Importante
A coleta de logs de muitos dispositivos e dispositivos agora é suportada pelo Common Event Format (CEF) via AMA, Syslog via AMA ou Custom Logs via conector de dados AMA no Microsoft Sentinel. Para obter mais informações, veja Localizar o conector de dados do Microsoft Sentinel.
O conector Cisco Meraki permite que você conecte facilmente seus logs Cisco Meraki (MX/MR/MS) com o Microsoft Sentinel. Isso lhe dá mais informações sobre a rede da sua organização e melhora seus recursos de operação de segurança.
Trata-se de conteúdo gerado automaticamente. Para alterações, entre em contato com o provedor da solução.
Atributos do conector
Atributo do conector | Description |
---|---|
Tabela(s) do Log Analytics | meraki_CL |
Suporte a regras de coleta de dados | Não é suportado atualmente |
Apoiado por | Corporação Microsoft |
Exemplos de consulta
Total de eventos por tipo de log
CiscoMeraki
| summarize count() by LogType
Top 10 Conexões Bloqueadas
CiscoMeraki
| where LogType == "security_event"
| where Action == "block"
| summarize count() by SrcIpAddr, DstIpAddr, Action, Disposition
| top 10 by count_
Pré-requisitos
Para integrar com o [Preterido] Cisco Meraki, certifique-se de:
- Cisco Meraki: deve ser configurado para exportar logs via Syslog
Instruções de instalação do fornecedor
NOTA: Este conector de dados depende de um analisador baseado numa Função Kusto para funcionar como esperado, que é implementado como parte da solução. Para visualizar o código da função no Log Analytics, abra a folha Log Analytics/Microsoft Sentinel Logs, clique em Funções e procure o alias CiscoMeraki e carregue o código da função ou clique aqui. A função geralmente leva de 10 a 15 minutos para ser ativada após a instalação/atualização da solução.
- Instalar e integrar o agente para Linux
Normalmente, você deve instalar o agente em um computador diferente daquele em que os logs são gerados.
Os logs do Syslog são coletados somente de agentes Linux .
- Configurar os logs a serem coletados
Siga as etapas de configuração abaixo para obter logs do dispositivo Cisco Meraki no Microsoft Sentinel. Consulte a Documentação do Azure Monitor para obter mais detalhes sobre estas etapas. Para logs Cisco Meraki, temos problemas ao analisar os dados pelos dados do agente do OMS usando as configurações padrão. Por isso, aconselhamos a capturar os logs na tabela personalizada meraki_CL usando as instruções abaixo.
Faça login no servidor onde você instalou o agente do OMS.
Baixar arquivo de configuração meraki.conf wget -v https://aka.ms/sentinel-ciscomerakioms-conf -O meraki.conf
Copie meraki.conf para a pasta /etc/opt/microsoft/omsagent/workspace_id/conf/omsagent.d/. cp meraki.conf /etc/opt/microsoft/omsagent/<<workspace_id>>/conf/omsagent.d/
Edite meraki.conf da seguinte forma:
a. meraki.conf usa a porta 22033 por padrão. Verifique se essa porta não está sendo usada por nenhuma outra fonte no seu servidor
b. Se você quiser alterar a porta padrão para meraki.conf, certifique-se de não usar as portas padrão do agente analítico de monitoramento/log do Azure, ou seja, (por exemplo, o CEF usa a porta TCP 25226 ou 25224)
c. substitua workspace_id pelo valor real do ID do espaço de trabalho (linhas 14,15,16,19)
Salve as alterações e reinicie o agente do Azure Log Analytics para o serviço Linux com o seguinte comando: sudo /opt/microsoft/omsagent/bin/service_control restart
Modificar o arquivo /etc/rsyslog.conf - adicione o modelo abaixo de preferência no início / antes da seção de diretivas $template meraki,"%timestamp% %hostname% %msg%\n"
Crie um arquivo conf personalizado em /etc/rsyslog.d/ por exemplo 10-meraki.conf e adicione as seguintes condições de filtro.
Com uma instrução adicionada, você precisará criar um filtro que especificará os logs provenientes do Cisco Meraki para serem encaminhados para a tabela personalizada.
Referência: Condições do filtro — rsyslog 8.18.0.master documentation
Aqui está um exemplo de filtragem que pode ser definida, isso não está completo e exigirá testes adicionais para cada instalação. se $rawmsg contém "fluxos", então @@127.0.0.1:22033; meraki & stop se $rawmsg contém "firewall" então @@127.0.0.1:22033; meraki & stop se $rawmsg contém "urls" então @@127.0.0.1:22033; meraki & stop se $rawmsg contém "ids-alerts" então @@127.0.0.1:22033; meraki & stop se $rawmsg contém "eventos" então @@127.0.0.1:22033; meraki & stop se $rawmsg contém "ip_flow_start" então @@127.0.0.1:22033; meraki & stop se $rawmsg contém "ip_flow_end" então @@127.0.0.1:22033; meraki & parar
Reiniciar rsyslog systemctl reiniciar rsyslog
Configurar e conectar o(s) dispositivo(s) Cisco Meraki
Siga estas instruções para configurar o(s) dispositivo(s) Cisco Meraki para encaminhar o syslog. Use o endereço IP ou nome de host para o dispositivo Linux com o agente Linux instalado como o endereço IP de destino.
Próximos passos
Para obter mais informações, vá para a solução relacionada no Azure Marketplace.