Cisco Meraki ログを収集する

このドキュメントでは、Google Security Operations フォワーダーを使用して Cisco Meraki ログを収集する方法について説明します。

詳細については、Google Security Operations　へのデータの取り込みの概要をご覧ください。

取り込みラベルによって、未加工のログデータを構造化 UDM 形式に正規化するパーサーが識別されます。このドキュメントの情報は、取り込みラベル CISCO_MERAKI が付加されたパーサーに適用されます。

Cisco Meraki を構成する

1. Cisco Meraki ダッシュボードにログインします。
2. Cisco Meraki ダッシュボードで、[Configure] > [Alerts & administration] を選択します。
3. [Logging] セクションで、次の操作を行います。
   1. [Server IP] フィールドに、Google Security Operations フォワーダーの IP アドレスを指定します。
   2. [Port] フィールドに、ポート値（514 など）を指定します。
   3. [Roles] フィールドで、使用可能な 4 つのオプションを選択してすべてのログを取得するか、要件に応じて任意の組み合わせを選択します。
4. [変更を保存] をクリックします。

Cisco Meraki ログを取り込むように Google Security Operations フォワーダーと syslog を構成する

1. [SIEM 設定] > [フォワーダー] に移動します。
2. [新しいフォワーダーの追加] をクリックします。
3. [フォワーダーの名前] フィールドに、フォワーダーの一意の名前を入力します。
4. [送信] をクリックします。フォワーダーが追加され、[コレクタの構成を追加する] ウィンドウが表示されます。
5. [Collector name] フィールドに名前を入力します。
6. [Log type] で [Cisco Meraki] を選択します。
7. [Syslog] として [Syslog] を選択します。
8. 次の必須入力パラメータを構成します。
   • Protocol: プロトコルを指定します。
   • アドレス: コレクタが存在し、Syslog データをリッスンするターゲット IP アドレスまたはホスト名を指定します。
   • ポート: コレクタが存在し、syslog データをリッスンするターゲット ポートを指定します。
9. [送信] をクリックします。

Google Security Operations フォワーダーの詳細については、Google Security Operations フォワーダーのドキュメントをご覧ください。

各フォワーダ タイプの要件については、タイプ別のフォワーダー構成をご覧ください。

フォワーダーの作成時に問題が発生した場合は、Google Security Operations　サポートにお問い合わせください。

フィールド マッピング リファレンス

このパーサーは、SYSLOG 形式または JSON 形式の Cisco Meraki（Cisco/Meraki として識別）ログを処理し、UDM に正規化します。grok パターンを使用して syslog メッセージを解析し、eventType フィールドに基づく条件付きロジックを使用して関連情報を抽出します。ネットワーク フロー、URL リクエスト、ファイアウォール イベント、汎用イベントなどのさまざまなイベントタイプを処理し、適切な UDM フィールドにマッピングして、追加のコンテキストでデータを拡充します。入力が syslog でない場合、JSON として解析し、関連するフィールドを UDM にマッピングします。

UDM マッピング テーブル

さらにサポートが必要な場合 コミュニティ メンバーや Google SecOps のプロフェッショナルから回答を得ることができます。