收集 Cisco Meraki 日志

本文档介绍了如何使用 Google Security Operations 转发器收集 Cisco Meraki 日志。

如需了解详情，请参阅将数据注入 Google Security Operations。

注入标签用于标识将原始日志数据标准化为结构化 UDM 格式的解析器。本文档中的信息适用于具有 CISCO_MERAKI 注入标签的解析器。

配置 Cisco Meraki

1. 登录 Cisco Meraki 控制面板。
2. 在 Cisco Meraki 信息中心内，依次选择配置 > 提醒和管理。
3. 在日志记录部分中，执行以下操作：
   1. 在服务器 IP 字段中，指定 Google Security Operations 转发器的 IP 地址。
   2. 在端口字段中，指定端口值，例如 514。
   3. 在角色字段中，选择四个可用选项以获取所有日志，或根据需要选择任意组合。
4. 点击保存更改。

配置 Google Security Operations 转发器和 syslog 以注入 Cisco Meraki 日志

1. 依次前往 SIEM 设置 > 转发器。
2. 点击添加新转发器。
3. 在 Forwarder Name（转发器名称）字段中，输入转发器的唯一名称。
4. 点击提交。系统会添加转发器，并显示添加收集器配置窗口。
5. 在收集器名称字段中，输入一个名称。
6. 选择 Cisco Meraki 作为日志类型。
7. 选择 Syslog 作为收集器类型。
8. 配置以下必需的输入参数：
   • 协议：指定协议。
   • 地址：指定收集器所在的并监听 syslog 数据的目标 IP 地址或主机名。
   • 端口：指定收集器所在的并监听 syslog 数据的目标端口。
9. 点击提交。

如需详细了解 Google Security Operations 转发器，请参阅 Google Security Operations 转发器文档。

如需了解每种转发器类型的要求，请参阅按类型划分的转发器配置。

如果您在创建转发器时遇到问题，请与 Google 安全运营支持团队联系。

字段映射参考

此解析器可处理 SYSLOG 或 JSON 格式的 Cisco Meraki（标识为 Cisco/Meraki）日志，并将其标准化为 UDM。它使用 grok 模式解析 syslog 消息，并根据 eventType 字段使用条件逻辑提取相关信息，处理各种事件类型（例如网络流、网址请求、防火墙事件和通用事件），将这些事件类型映射到相应的 UDM 字段，并使用其他上下文信息丰富数据。如果输入不是 syslog，则尝试将其解析为 JSON，并将相关字段映射到 UDM。

UDM 映射表

需要更多帮助？从社区成员和 Google SecOps 专业人士那里获得解答。