שילוב של ArcSight Logger עם Google SecOps

במאמר הזה מוסבר איך לשלב את ArcSight Logger עם Google Security Operations ‏ (Google SecOps).

פרמטרים של שילוב

הוראות מפורטות להגדרת שילוב ב-Google Security Operations מופיעות במאמר הגדרת שילובים.

משתמשים בפרמטרים הבאים כדי להגדיר את השילוב:

שם הפרמטר סוג ערך ברירת המחדל חובה תיאור
שם המכונה String לא רלוונטי לא שם המופע שרוצים להגדיר עבורו שילוב.
תיאור String לא רלוונטי לא תיאור המופע.
כתובת השרת String https://<host>:<port> כן כתובת השרת של מופע ArcSight Logger.
שם משתמש String לא רלוונטי כן שם המשתמש של חשבון ArcSight Logger.
סיסמה סיסמה לא רלוונטי כן הסיסמה לחשבון ArcSight Logger.
אימות SSL תיבת סימון התיבה לא מסומנת לא אם האפשרות הזו מופעלת, צריך לוודא שאישור ה-SSL של החיבור לשרת ArcSight Logger תקף.
הרצה מרחוק תיבת סימון התיבה לא מסומנת לא מסמנים את התיבה כדי להריץ את השילוב שהוגדר מרחוק. אחרי שמסמנים את התיבה, מופיעה האפשרות לבחור את המשתמש (הסוכן) מרחוק.

פעולות

פינג

בודקים את הקישוריות ל-ArcSight Logger באמצעות הפרמטרים שמופיעים בדף הגדרת השילוב בכרטיסייה Google Security Operations Marketplace.

פרמטרים

לא רלוונטי

הפעלה ב-

הפעולה לא מופעלת בישויות.

תוצאות הפעולה

תוצאת סקריפט
שם התוצאה של הסקריפט אפשרויות ערך דוגמה
is_success נכון/לא נכון is_success:False
Case Wall
סוג התוצאות תיאור סוג
הודעת פלט*

הפעולה לא אמורה להיכשל או להפסיק את ההרצה של פלייבוק:

אם לא מופיעות שגיאות ומוחזרים נתונים: "ההתחברות אל ArcSight Logger בוצעה בהצלחה עם פרמטרי החיבור שסופקו!"

הפעולה צריכה להיכשל ולהפסיק את ההרצה של מדריך ההפעלה:

אם מדווחת שגיאה: "הייתה שגיאה בביצוע הפעולה 'פינג'. הסיבה: {0}''.format(error.Stacktrace)

 כללי

שליחת שאילתה

שולחים שאילתה כדי לקבל מידע על אירועים קשורים ממנהל יומן האירועים של ArcSight Logger.

פרמטרים

שם הפרמטר סוג ערך ברירת המחדל חובה תיאור
שאילתה String "" כן מציינים את השאילתה לשליחה לחיפוש אירועים ב-ArcSight Logger.
מספר מקסימלי של אירועים להחזרה מספר שלם 100 לא

מציינים את מספר האירועים שרוצים להחזיר.

המגבלה היא 10,000. זוהי מגבלה של ArcSight Logger.
מסגרת זמן String שעה לא

מציינים את מסגרת הזמן שתשמש לאחזור אירועים.

ערכים אפשריים:
1m - 1 minute ago

לפני שעה (1h)

‫1d - 1 day ago

הערה: אי אפשר לשלב ערכים שונים, כמו 1d2h30m.
שדות לאחזור ערכים מופרדים בפסיקים ללא לא מציינים אילו שדות לשלוף מ-ArcSight Logger. אם לא מציינים כלום, כל השדות הזמינים יוחזרו.
הכללת נתונים גולמיים של אירועים תיבת סימון סימן אישור לא אם האפשרות הזו מופעלת, נתוני האירועים הגולמיים נכללים בתשובה.
חיפוש מקומי בלבד תיבת סימון התיבה לא מסומנת לא מציין שחיפוש האירועים ב-ArcSight Logger הוא מקומי בלבד, ולא כולל עמיתים של ArcSight Logger. מגדירים את הערך כ-false אם רוצים לכלול עמיתים ללימודים בחיפוש האירועים.
חיפוש שדות תיבת סימון סימן אישור לא מציין שחיפוש ב-ArcSight Logger צריך לנסות לגלות שדות באירועים שנמצאו.
מיון String סדר עולה לא

מציינים באיזו שיטת מיון רוצים להשתמש.

ערכים אפשריים:

סדר עולה

סדר יורד

הפעלה ב-

הפעולה הזו לא מופעלת על ישויות.

תוצאות הפעולה

תוצאת סקריפט
שם התוצאה של הסקריפט אפשרויות ערך דוגמה
is_success נכון/לא נכון is_success:False
תוצאת JSON
{
  "fields": [
      {
          "name": "_rowId",
          "type": "string",
          "alias": "_rowId"
      },
      {
          "name": "_raw",
          "type": "string",
          "alias": "_raw"
      },
      {
          "name": "Event Time",
          "type": "date",
          "alias": "Event Time"
      },
      {
          "name": "Logger",
          "type": "string",
          "alias": "Logger"
      },
      {
          "name": "Device",
          "type": "string",
          "alias": "Device"
      },
      {
          "name": "Receipt Time",
          "type": "date",
          "alias": "Receipt Time"
      },
      {
          "name": "deviceReceiptTime",
          "type": "date",
          "alias": "deviceReceiptTime"
      },
      {
          "name": "deviceCustomString2",
          "type": "string",
          "alias": "deviceCustomString2"
      },
      {
          "name": "destinationAddress",
          "type": "string",
          "alias": "destinationAddress"
      },
      {
          "name": "deviceCustomNumber3Label",
          "type": "string",
          "alias": "deviceCustomNumber3Label"
      },
      {
          "name": "globalEventId",
          "type": "number",
          "alias": "globalEventId"
      },
      {
          "name": "deviceVersion",
          "type": "string",
          "alias": "deviceVersion"
      },
      {
          "name": "name",
          "type": "string",
          "alias": "name"
      },
      {
          "name": "deviceAddress",
          "type": "string",
          "alias": "deviceAddress"
      },
      {
          "name": "deviceVendor",
          "type": "string",
          "alias": "deviceVendor"
      },
      {
          "name": "Version",
          "type": "string",
          "alias": "Version"
      },
      {
          "name": "deviceCustomNumber1Label",
          "type": "string",
          "alias": "deviceCustomNumber1Label"
      },
      {
          "name": "deviceEventCategory",
          "type": "string",
          "alias": "deviceEventCategory"
      },
      {
          "name": "endTime",
          "type": "date",
          "alias": "endTime"
      },
      {
          "name": "fileName",
          "type": "string",
          "alias": "fileName"
      },
      {
          "name": "deviceCustomNumber2",
          "type": "number",
          "alias": "deviceCustomNumber2"
      },
      {
          "name": "deviceCustomNumber1",
          "type": "number",
          "alias": "deviceCustomNumber1"
      },
      {
          "name": "baseEventCount",
          "type": "number",
          "alias": "baseEventCount"
      },
      {
          "name": "startTime",
          "type": "date",
          "alias": "startTime"
      },
      {
          "name": "deviceCustomNumber3",
          "type": "number",
          "alias": "deviceCustomNumber3"
      },
      {
          "name": "agentSeverity",
          "type": "string",
          "alias": "agentSeverity"
      },
      {
          "name": "fsize",
          "type": "string",
          "alias": "fsize"
      },
      {
          "name": "deviceProduct",
          "type": "string",
          "alias": "deviceProduct"
      },
      {
          "name": "deviceEventClassId",
          "type": "string",
          "alias": "deviceEventClassId"
      },
      {
          "name": "deviceCustomNumber2Label",
          "type": "string",
          "alias": "deviceCustomNumber2Label"
      },
      {
          "name": "deviceCustomString2Label",
          "type": "string",
          "alias": "deviceCustomString2Label"
      },
      {
          "name": "fileType",
          "type": "string",
          "alias": "fileType"
      }
  ],
  "results": [
      [
          "4BFEFD-86@Local",
          "CEF:0|ArcSight|Logger|7.0.0.8280.0|storagegroup:100|Storage Group Space Used|1| cat=/Monitor/StorageGroup/Space/Used cn1=15 cn1Label=Percent Used cn2=180 cn2Label=retention period (days) cn3=2048 cn3Label=used (MB) cs2=CurrentValue cs2Label=timeframe dst=10.0.2.185 dvc=10.0.2.185 end=1585661238546 fileType=storageGroup fname=Default Storage Group fsize=13 geid=0 rt=1585661238546",
          1585661238546,
          "Local",
          "Logger",
          1585661364960,
          1585661238546,
          "CurrentValue",
          "10.0.2.185",
          "used (MB)",
          0,
          "7.0.0.8280.0",
          "Storage Group Space Used",
          "10.0.2.185",
          "ArcSight",
          "0",
          "Percent Used",
          "/Monitor/StorageGroup/Space/Used",
          1585661238546,
          "Default Storage Group",
          180,
          15,
          1,
          1585661238546,
          2048,
          "1",
          "13",
          "Logger",
          "storagegroup:100",
          "retention period (days)",
          "timeframe",
          "storageGroup"
      ],
      [
          "4BFEFD-87@Local",
          "CEF:0|ArcSight|Logger|7.0.0.8280.0|storagegroup:100|Storage Group Space Used|1| cat=/Monitor/StorageGroup/Space/Used cn1=33 cn1Label=Percent Used cn2=365 cn2Label=retention period (days) cn3=1024 cn3Label=used (MB) cs2=CurrentValue cs2Label=timeframe dst=10.0.2.185 dvc=10.0.2.185 end=1585661238546 fileType=storageGroup fname=Internal Event Storage Group fsize=3 geid=0 rt=1585661238546",
          1585661238546,
          "Local",
          "Logger",
          1585661364960,
          1585661238546,
          "CurrentValue",
          "10.0.2.185",
          "used (MB)",
          0,
          "7.0.0.8280.0",
          "Storage Group Space Used",
          "10.0.2.185",
          "ArcSight",
          "0",
          "Percent Used",
          "/Monitor/StorageGroup/Space/Used",
          1585661238546,
          "Internal Event Storage Group",
          365,
          33,
          1,
          1585661238546,
          1024,
          "1",
          "3",
          "Logger",
          "storagegroup:100",
          "retention period (days)",
          "timeframe",
          "storageGroup"
      ]
  ]
}
Case Wall
סוג התוצאות תיאור סוג
הודעת פלט*

הפעולה לא אמורה להיכשל או להפסיק את ההרצה של פלייבוק:

>אם הסטטוס מוגדר כ'הושלם' וההתאמה גדולה מאפס: 'הוחזרו אירועים בהצלחה לשאילתה "{0}" מ-ArcSight Logger'.format(query)

אם הסטטוס מוגדר כ'הושלם' וההתאמה מוגדרת כ-0: (is_success == false): "לא נמצאו אירועים עבור השאילתה "{0}" ב-ArcSight Logger".format(query).

>אם הסטטוס מוגדר כשגיאה: "לא ניתן להריץ את השאילתה "{0}" ב-ArcSight Logger".format(query).

אם קוד הסטטוס הוא 409 בבקשה הראשונה: "לא ניתן להריץ את השאילתה {0} ב-ArcSight Logger. הסיבה: {1}".format(query, errors/message from first response)"

הודעת פלט אסינכרונית: "מתחיל עיבוד של שאילתה {0} ב-ArcSight Logger".format(query)

הפעולה צריכה להיכשל ולהפסיק את ההרצה של מדריך ההפעלה:

אם מדווחת שגיאה קריטית (פרטי כניסה שגויים, שגיאת חיבור, קריסת פעולה): "שגיאה בהפעלת הפעולה 'שליחת שאילתה'". הסיבה: {0}''.format(error.Stacktrace)

 כללי
טבלה

שם הטבלה: {Query}

עמודות: כל העמודות שזמינות בתגובה. פרטים נוספים זמינים בקטע 'התנהגות הפעולה'.

כללי

הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.