Cisco Meraki content pack (контент багц)

← Контент багцууд

Cisco Meraki content pack (контент багц)

Cisco Meraki нь техник хангамж нийлүүлэгч бөгөөд нэгдсэн удирдлагатай платформоор дамжуулан үүлэн (cloud) удирдлагатай аюулгүй байдлын төхөөрөмж (firewall), свитч, wireless access point зардаг. Энэхүү технологийн багц (technology pack) нь Cisco Meraki логуудыг боловсруулж, сонирхол татах нийтлэг үйл явдлуудыг нормчилж (normalization), баяжуулна (enrichment).

Дэмжигдэх хувилбарууд

• MX16.9+ хүртэл
• MR 30.x хүртэл

Дэмжигдэх MR логийн төрлүүд

association, disassociation, wpa_auth, wpa_deauth, flows, 8021x_eap_failure, 8021x_deauth, 8021x_auth, 8021x_eap_success, splash_auth, mac_spoofing, multiple_servers, device_packet_flood

Stream-ийн тохиргоо

Энэ технологийн багц нэг stream агуулна:

"Illuminate:Cisco Device Messages"

Хэрэв энэ stream аль хэдийн үүсгэгдсэн бол юу ч өөрчлөгдөхгүй. Байхгүй бол үүсгэгдэж, мессежүүдийг Cisco Devices index set рүү чиглүүлэхээр тохируулагдана. Энэ stream-д ямар ч дүрэм тохируулсан байх ёсгүй.

Index set-ийн тохиргоо

Энэ технологийн багц нэг index set тодорхойлолт агуулна:

"Cisco Devices Event Log Messages"

Хэрэв энэ index set өмнө нь тодорхойлогдсон бол юу ч өөрчлөгдөхгүй. Байхгүй бол таны лицензийн эрхийн дагуу үүсгэгдэнэ.

Лог форматын жишээ

1 1619032507.590967163 ip_flow_end src=1.1.1.1 dst=2.2.2.2 protocol=icmp translated_dst_ip=4.4.4.4

1 1619032507.495518695 DEVICE_NAME flows src=1.1.1.1 dst=2.2.2.2 protocol=udp sport=1900 dport=1900 pattern: 1 all

Шаардлага

Cisco Meraki-г Syslog-ийг таны Bitdefender Forwarder Syslog input руу дамжуулахаар тохируулна.

Meraki Syslog ба nanosecond timestamp

Cisco Meraki төхөөрөмжүүд заримдаа nanosecond нарийвчлалтай epoch timestamp илгээхээр тохируулагдсан байдаг. Security Data Lake-ийн syslog input эдгээр мессежийг задлан шинжилж чадахгүй тул устгана. Хэрэв таны төхөөрөмж nanosecond timestamp илгээхээр тохируулагдсан бол Security Data Lake дээр UDP дээрх Raw эсвэл plaintext input тохируулж, Meraki-г логоо энэ input руу илгээхээр тохируулна. Энэ input нь одоо байгаа бусад UDP input-ийн портоос өөр порт ашиглах ёстой. Epoch timestamp-ийг задлан шинжлэх боломжийг Security Data Lake-ийн дараагийн хувилбарт шийдвэрлэнэ.

Юу багтсан бэ

Cisco Meraki логуудыг Security Data Lake-ийн схемтэй нийцэх талбарууд болгон гаргаж авах задлан шинжлэх дүрмүүд.