Cisco Meraki のサンプル・イベント・メッセージ
QRadarとの統合が正常に行われたことを確認する方法として、これらのサンプル・イベント・メッセージを使用します。
重要: フォーマットの問題のため、メッセージ・フォーマットをテキスト・エディターに貼り付けてから、復帰文字または改行文字を削除してください。
Syslog プロトコルを使用する場合の Cisco Meraki サンプル・メッセージ
サンプル 1: 次のサンプル・イベント・メッセージは、IP セッションを開始するために使用されるアウトバウンド・フロー・イベントを示しています。 また、送信元、宛先、およびポート番号の値と、それらが一致したファイアウォール・ルールも示しています。
<134>1 1515988859.626061236 appliance flows src=172.21.84.107 dst=10.52.193.137 mac=5C:E0:C5:22:85:E4 protocol=tcp sport=50395 dport=443 pattern: allow all| QRadarフィールド名 | 強調表示されたペイロードのフィールド名 |
|---|---|
| イベント ID | QRadarでは、これらのタイプのイベントの値は常に Outbound Flow Allow (アウトバウンド・フロー許可) になります。 |
| 送信元 IP | src |
| 宛先 IP | dst |
| 宛先 MAC | mac |
| Protocol | protocol |
| 送信元ポート | sport |
| 宛先ポート | dport |
サンプル 2: 次のサンプル・イベント・メッセージは、範囲外の配列の書き込み試行が行われたときに生成されるセキュリティー・イベントを示しています。 また、ソース、宛先、ポート番号、宛先 MAC、およびプロトコルの値も表示されます。
<134>1 1516050030.553653046 cisco.meraki.test security_event ids_alerted signature=1:45148:1priority=1 timestamp=1516050030.236281 dhost=00:00:5E:00:53:BC direction=ingress protocol=tcp/ip src=10.79.70.235:80 dst=172.21.47.130:61019 message: BROWSER-IE Microsoft Internet Explorer Array out of bounds write attempt| QRadarフィールド名 | 強調表示されたペイロードのフィールド名 |
|---|---|
| イベント ID | signature |
| 送信元 IP | src |
| 送信元ポート | 「送信元ポート」に使用される値は、src 値のコロンの後に表示されます。 例えば、80です。 |
| 宛先 IP | dst |
| 宛先ポート | 「宛先ポート」に使用される値は、dst 値のコロンの後に表示されます。 例えば、61019です。 |
| 宛先 MAC | dhost |
| Protocol | protocol |