问题描述
我正在尝试集成来自几个 Cisco Meraki 设备的一些日志。
方法:
Meraki 设备能够使用端口 514 (UDP) 将日志流式传输到远程系统,在这种情况下,运行 Ubuntu-Server 18.04 的 Azure 虚拟机安装了 rsyslog 作为系统日志服务器。由于这是一个托管 VM,Azure Sentinel/Log Analytics 可以轻松安装所需的代理来提取数据并将它们存储到 Log Analytics 工作簿中。此步骤需要指定 Azure 将侦听的设施。就我而言,它是 local0。这样就完成了“Syslog”数据连接。
然后,可以使用 a custom Meraki Kusto parser(查询)过滤提取的数据,将数据转换为有意义的防火墙友好日志。查询可以存储为一个函数,并将别名设置为“CiscoMeraki”。一旦此查询开始提取数据,“Cisco Meraki”数据连接就会被标记为活动状态。
问题:
我已经设法配置了它,现在我可以看到来自网络设备的日志(几乎是实时的)。问题是“SyslogMessage”字段中的内容被截断,与驻留在虚拟机中的日志不匹配。
示例:
- 存储在 VM 中的日志:
Mar 24 15:52:36 {MERAKI_IP} 1616601156.382142022 {MERAKI_DEVICE_NAME} events content_filtering_block url='https://laptop-updates.brave.com/...' category0='Shareware and Freeware' server='151.101.193.32:443' client_mac='{PERSONAL_COmpuTER_MAC}'
- SyslogMessage 列:
//laptop-updates.brave.com/...' category0='Shareware and Freeware' server='151.101.193.32:443' client_mac='{PERSONAL_COmpuTER_MAC}'
占位符 | 说明 |
---|---|
{MERAKI_IP} | Meraki 设备(日志生成器)的公共 IP 地址 |
{MERAKI_DEVICE_NAME} | 为 Meraki 设备设置的友好名称 |
{PERSONAL_COmpuTER_MAC} | 尝试连接到黑名单网站的计算机的 MAC 地址 |
我知道虚拟机中的日志是结构化的,会被拆分成列(例如TimeGenerated、Computer),但是丢失的数据不会出现在任何地方。上面提到的自定义解析器产生空单元格,因为首先无法从 Syslog 表中找到数据。
解决方法
暂无找到可以解决该程序问题的有效方法,小编努力寻找整理中!
如果你已经找到好的解决方法,欢迎将解决方案带上本链接一起发送给小编。
小编邮箱:dio#foxmail.com (将#修改为@)