[Deprecato] Connettore Cisco Meraki per Microsoft Sentinel

  • Articolo

Importante

La raccolta di log da molti dispositivi e appliance è ora supportata da Common Event Format (CEF) tramite AMA, syslog tramite AMA o log personalizzati tramite il connettore dati AMA in Microsoft Sentinel. Per altre informazioni, vedere Trovare il connettore dati di Microsoft Sentinel.

Il connettore Cisco Meraki consente di connettere facilmente i log di Cisco Meraki (MX/MR/MS) con Microsoft Sentinel. In questo modo è possibile ottenere maggiori informazioni sulla rete dell'organizzazione e migliorare le funzionalità operative di sicurezza.

Questo contenuto è generato automaticamente. Per modifiche, contattare il provider di soluzioni.

Attributi connettore

Attributo connettore Descrizione
Tabelle Log Analytics meraki_CL
Supporto regole di raccolta dati Non è al momento supportato
Supportata da: Microsoft Corporation

Esempi di query

Totale eventi per tipo di log

CiscoMeraki 

| summarize count() by LogType

Primi 10 connessioni bloccate

CiscoMeraki 

| where LogType == "security_event" 

| where Action == "block" 

| summarize count() by SrcIpAddr, DstIpAddr, Action, Disposition 

| top 10 by count_

Prerequisiti

Per l'integrazione con [Deprecato] Cisco Meraki assicurarsi di avere:

  • Cisco Meraki: deve essere configurato per esportare i log tramite Syslog

Istruzioni per l’installazione di Vendor

NOTA: per funzionare come previsto questo connettore dati dipende da un parser basato su una funzione Kusto, che viene distribuito come parte della soluzione. Per visualizzare il codice della funzione in Log Analytics, aprire il pannello Log Analytics/Log di Microsoft Sentinel, fare clic su Funzioni e cercare l'alias CiscoMeraki e caricare il codice della funzione oppure fare clic qui. La funzione richiede in genere 10-15 minuti per l'attivazione dopo l'installazione/aggiornamento della soluzione.

  1. Installare e caricare l'agente per Linux

È in genere consigliabile installare l'agente in un computer diverso rispetto a quello in cui vengono generati i log.

I log syslog vengono raccolti solo dagli agenti Linux.

  1. Configurare i log da raccogliere

Seguire la procedura di configurazione seguente per ottenere i log dei dispositivi Cisco Meraki in Microsoft Sentinel. Per informazioni più dettagliate su questi attributi, consultare la documentazione relativa a Monitoraggio di Azure. Per i log di Cisco Meraki, si verificano problemi durante l'analisi dei dati in base ai dati dell'agente OMS usando le impostazioni predefinite. È quindi consigliabile acquisire i log nella tabella personalizzata meraki_CL seguendo le istruzioni riportate di seguito.

  1. Accedere al server in cui è stato installato l'agente OMS.

  2. Scaricare il file di configurazione meraki.conf wget -v https://aka.ms/sentinel-ciscomerakioms-conf -O meraki.conf

  3. Copiare meraki.conf nella cartella /etc/opt/microsoft/omsagent/workspace_id/conf/omsagent.d/ . cp meraki.conf /etc/opt/microsoft/omsagent/<<workspace_id>>/conf/omsagent.d/

  4. Modificare meraki.conf come indicato di seguito:

    a. meraki.conf usa la porta 22033 per impostazione predefinita. Verificare che questa porta non venga usata da nessun'altra origine nel server

    b. Se si vuole modificare la porta predefinita per meraki.conf assicurarsi di non usare le porte predefinite dell'agente di monitoraggio di Azure /log analytics, ad esempio CEF usa la porta TCP 25226 o 25224.

    c. sostituire workspace_id con il valore reale dell'ID area di lavoro (righe 14,15,16,19)

  5. Salvare le modifiche e riavviare l'agente di Azure Log Analytics per il servizio Linux con il comando seguente: sudo /opt/microsoft/omsagent/bin/service_control restart

  6. Modificare il file /etc/rsyslog.conf : aggiungere il modello seguente preferibilmente alla sezione iniziale/prima delle direttive $template meraki,"%timestamp% %hostname% %msg%\n"

  7. Creare un file conf personalizzato in /etc/rsyslog.d/ ad esempio 10-meraki.conf e aggiungere le condizioni di filtro seguenti.

    Con un'istruzione aggiunta è necessario creare un filtro che specifichi i log provenienti da Cisco Meraki da inoltrare alla tabella personalizzata.

    riferimento: Condizioni filtro — documentazione rsyslog 8.18.0.master

    Di seguito è riportato un esempio di filtro che può essere definito, che non è completo e richiederà test aggiuntivi per ogni installazione. se $rawmsg contiene "flussi", @@127.0.0.1:22033; meraki & stop se $rawmsg contiene "firewall", quindi @@127.0.0.1:22033; meraki & stop se $rawmsg contiene "url" allora @@127.0.0.1:22033; meraki & stop se $rawmsg contiene "ids-alerts" allora @@127.0.0.1:22033; meraki & stop se $rawmsg contiene "eventi" allora @@127.0.0.1:22033; meraki & stop se $rawmsg contiene "ip_flow_start" allora @@127.0.0.1:22033; meraki & stop se $rawmsg contiene "ip_flow_end" allora @@127.0.0.1:22033; meraki & stop

  8. Riavviare rsyslog systemctl restart rsyslog

  9. Configurare e connettere i dispositivi Cisco Meraki

Seguire queste istruzioni per configurare i dispositivi Cisco Meraki per inoltrare syslog. Usare l'indirizzo IP o il nome host per il dispositivo Linux con l'agente Linux installato come indirizzo IP di destinazione.

Passaggi successivi

Per altre informazioni, visitare la soluzione correlata in Azure Marketplace.