收集 Cisco Meraki 記錄

本文說明如何使用 Google Security Operations 轉送器收集 Cisco Meraki 記錄。

詳情請參閱「將資料擷取至 Google Security Operations」。

擷取標籤會識別剖析器，該剖析器會將原始記錄資料正規化為具結構性的 UDM 格式。本文中的資訊適用於具有 CISCO_MERAKI 攝入標籤的剖析器。

設定 Cisco Meraki

1. 登入 Cisco Meraki 資訊主頁。
2. 在 Cisco Meraki 資訊主頁中，依序選取「Configure」>「Alerts & administration」。
3. 在「記錄」部分執行下列操作：
   1. 在「伺服器 IP」欄位中，指定 Google Security Operations 轉送器 IP 位址。
   2. 在「Port」(通訊埠) 欄位中，指定通訊埠值，例如 514。
   3. 在「Roles」(角色) 欄位中，選取四個可用選項，即可取得所有記錄，或根據需求選取任何組合。
4. 按一下 [儲存變更]。

設定 Google Security Operations 轉送器和系統記錄，以便擷取 Cisco Meraki 記錄

1. 依序前往「SIEM 設定」>「轉送器」。
2. 按一下「新增轉寄者」。
3. 在「轉送器名稱」欄位中，輸入轉送器的專屬名稱。
4. 按一下「提交」。轉送器新增完成後，系統會顯示「新增收集器設定」視窗。
5. 在「收集器名稱」欄位中輸入名稱。
6. 選取「Cisco Meraki」做為「記錄類型」。
7. 選取「Syslog」做為「收集器類型」。
8. 設定下列必要輸入參數：
   • 「通訊協定」：指定通訊協定。
   • 地址：指定收集器所在位置的目標 IP 位址或主機名稱，並監聽系統記錄資料。
   • 通訊埠：指定收集器所在位置的目標通訊埠，並監聽系統記錄檔資料。
9. 按一下「提交」。

如要進一步瞭解 Google Security Operations 轉送器，請參閱 Google Security Operations 轉送器說明文件。

如要瞭解各轉送器類型的相關規定，請參閱「依類型設定轉送器」。

如果在建立轉寄者時遇到問題，請與 Google Security Operations 支援團隊聯絡。

欄位對應參考資料

這個剖析器會處理 SYSLOG 或 JSON 格式的 Cisco Meraki (識別為 Cisco/Meraki) 記錄，並將其正規化為 UDM。它會使用 grok 模式剖析系統記錄訊息，並根據 eventType 欄位採用條件邏輯，擷取相關資訊、處理各種事件類型 (例如網路流量、網址要求、防火牆事件和一般事件)、將這些事件對應至適當的 UDM 欄位，並提供額外背景資訊來擴充資料。如果輸入內容不是系統記錄，系統會嘗試將其剖析為 JSON，並將相關欄位對應至 UDM。

UDM 對應表

還有其他問題嗎？向社群成員和 Google SecOps 專業人員尋求答案。