שילוב של ArcSight Logger עם Google SecOps

במאמר הזה מוסבר איך לשלב את ArcSight Logger עם Google Security Operations ‏ (Google SecOps).

פרמטרים של שילוב

הוראות מפורטות להגדרת שילוב ב-Google Security Operations מופיעות במאמר הגדרת שילובים.

כדי להגדיר את השילוב, משתמשים בפרמטרים הבאים:

שם הפרמטר סוג ערך ברירת המחדל חובה תיאור
שם המכונה String לא רלוונטי לא שם המכונה שרוצים להגדיר לה את השילוב.
תיאור String לא רלוונטי לא תיאור המכונה.
כתובת השרת String https://<host>:<port> כן כתובת השרת של המכונה של ArcSight Logger.
שם משתמש String לא רלוונטי כן שם המשתמש של החשבון ב-ArcSight Logger.
סיסמה סיסמה לא רלוונטי כן הסיסמה של החשבון ב-ArcSight Logger.
אימות SSL תיבת סימון התיבה לא מסומנת לא אם ההגדרה מופעלת, צריך לוודא שאישור ה-SSL של החיבור לשרת ArcSight Logger תקף.
הפעלה מרחוק תיבת סימון התיבה לא מסומנת לא מסמנים את התיבה כדי להפעיל את השילוב שהוגדר מרחוק. אחרי שמסמנים את התיבה, מופיעה האפשרות לבחור את המשתמש המרוחק (הנציג).

פעולות

פינג

בדקו את הקישוריות ל-ArcSight Logger באמצעות הפרמטרים שצוינו בדף הגדרת השילוב בדף Google SecOps Content Hub.

פרמטרים

לא רלוונטי

הפעלה ב-

הפעולה לא פועלת על ישויות.

תוצאות הפעולה

תוצאת הסקריפט
שם תוצאת הסקריפט אפשרויות לערכים דוגמה
is_success נכון/לא נכון is_success:False
קיר נרתיקים
סוג התוצאות תיאור סוג
הודעת פלט*

הפעולה לא אמורה להיכשל או להפסיק את ההפעלה של הפלייבוק:

אם אין שגיאות והנתונים הוחזרו: "החיבור ל-ArcSight Logger בוצע בהצלחה באמצעות פרמטרי החיבור שסופקו!"

הפעולה אמורה להיכשל ולעצור את ההפעלה של הפלייבוק:

אם מדווחת שגיאה: "Error executing action "Ping".‎ הסיבה: {0}''.format(error.Stacktrace)

 כללי

שליחת שאילתה

שליחת שאילתה כדי לקבל מידע על אירועים קשורים ממנהל יומן האירועים של ArcSight Logger.

פרמטרים

שם הפרמטר סוג ערך ברירת המחדל חובה תיאור
שאילתה String "" כן צריך לציין את השאילתה שתישלח לחיפוש האירועים של ArcSight Logger.
מספר האירועים המקסימלי להחזרה מספר שלם 100 לא

מציינים את מספר האירועים שרוצים להחזיר.

המגבלה היא 10,000. זו מגבלה של ArcSight Logger.
מסגרת זמן String שעה לא

מציינים את מסגרת הזמן שבה המערכת תאחזר אירועים.

ערכים אפשריים:
‫1m – לפני דקה

‫1h – לפני שעה

‫1d – לפני יום אחד

הערה: אי אפשר לשלב ערכים שונים, כמו 1d2h30m.
שדות לאחזור ערכים מופרדים בפסיקים ללא לא מציינים אילו שדות לאחזר מ-ArcSight Logger. אם לא מציינים שדות, כל השדות הזמינים יוחזרו.
הכללת נתוני אירועים גולמיים תיבת סימון סימן אישור לא אם האפשרות מופעלת, נתוני האירועים הגולמיים נכללים בתגובה.
חיפוש מקומי בלבד תיבת סימון התיבה לא מסומנת לא מציין שחיפוש האירועים של ArcSight Logger הוא מקומי בלבד, ולא כולל עמיתים של ArcSight Logger. צריך להגדיר את הערך False אם רוצים לכלול עמיתים בחיפוש האירועים.
שדות של Discover תיבת סימון סימן אישור לא מציין שהחיפוש ב-ArcSight Logger צריך לנסות לגלות שדות באירועים שנמצאו.
מיון String סדר עולה לא

ציינו באיזו שיטת מיון להשתמש.

ערכים אפשריים:

סדר עולה

סדר יורד

הפעלה ב-

הפעולה הזו לא פועלת על ישויות.

תוצאות הפעולה

תוצאת הסקריפט
שם תוצאת הסקריפט אפשרויות לערכים דוגמה
is_success נכון/לא נכון is_success:False
תוצאת JSON
{
  "fields": [
      {
          "name": "_rowId",
          "type": "string",
          "alias": "_rowId"
      },
      {
          "name": "_raw",
          "type": "string",
          "alias": "_raw"
      },
      {
          "name": "Event Time",
          "type": "date",
          "alias": "Event Time"
      },
      {
          "name": "Logger",
          "type": "string",
          "alias": "Logger"
      },
      {
          "name": "Device",
          "type": "string",
          "alias": "Device"
      },
      {
          "name": "Receipt Time",
          "type": "date",
          "alias": "Receipt Time"
      },
      {
          "name": "deviceReceiptTime",
          "type": "date",
          "alias": "deviceReceiptTime"
      },
      {
          "name": "deviceCustomString2",
          "type": "string",
          "alias": "deviceCustomString2"
      },
      {
          "name": "destinationAddress",
          "type": "string",
          "alias": "destinationAddress"
      },
      {
          "name": "deviceCustomNumber3Label",
          "type": "string",
          "alias": "deviceCustomNumber3Label"
      },
      {
          "name": "globalEventId",
          "type": "number",
          "alias": "globalEventId"
      },
      {
          "name": "deviceVersion",
          "type": "string",
          "alias": "deviceVersion"
      },
      {
          "name": "name",
          "type": "string",
          "alias": "name"
      },
      {
          "name": "deviceAddress",
          "type": "string",
          "alias": "deviceAddress"
      },
      {
          "name": "deviceVendor",
          "type": "string",
          "alias": "deviceVendor"
      },
      {
          "name": "Version",
          "type": "string",
          "alias": "Version"
      },
      {
          "name": "deviceCustomNumber1Label",
          "type": "string",
          "alias": "deviceCustomNumber1Label"
      },
      {
          "name": "deviceEventCategory",
          "type": "string",
          "alias": "deviceEventCategory"
      },
      {
          "name": "endTime",
          "type": "date",
          "alias": "endTime"
      },
      {
          "name": "fileName",
          "type": "string",
          "alias": "fileName"
      },
      {
          "name": "deviceCustomNumber2",
          "type": "number",
          "alias": "deviceCustomNumber2"
      },
      {
          "name": "deviceCustomNumber1",
          "type": "number",
          "alias": "deviceCustomNumber1"
      },
      {
          "name": "baseEventCount",
          "type": "number",
          "alias": "baseEventCount"
      },
      {
          "name": "startTime",
          "type": "date",
          "alias": "startTime"
      },
      {
          "name": "deviceCustomNumber3",
          "type": "number",
          "alias": "deviceCustomNumber3"
      },
      {
          "name": "agentSeverity",
          "type": "string",
          "alias": "agentSeverity"
      },
      {
          "name": "fsize",
          "type": "string",
          "alias": "fsize"
      },
      {
          "name": "deviceProduct",
          "type": "string",
          "alias": "deviceProduct"
      },
      {
          "name": "deviceEventClassId",
          "type": "string",
          "alias": "deviceEventClassId"
      },
      {
          "name": "deviceCustomNumber2Label",
          "type": "string",
          "alias": "deviceCustomNumber2Label"
      },
      {
          "name": "deviceCustomString2Label",
          "type": "string",
          "alias": "deviceCustomString2Label"
      },
      {
          "name": "fileType",
          "type": "string",
          "alias": "fileType"
      }
  ],
  "results": [
      [
          "4BFEFD-86@Local",
          "CEF:0|ArcSight|Logger|7.0.0.8280.0|storagegroup:100|Storage Group Space Used|1| cat=/Monitor/StorageGroup/Space/Used cn1=15 cn1Label=Percent Used cn2=180 cn2Label=retention period (days) cn3=2048 cn3Label=used (MB) cs2=CurrentValue cs2Label=timeframe dst=10.0.2.185 dvc=10.0.2.185 end=1585661238546 fileType=storageGroup fname=Default Storage Group fsize=13 geid=0 rt=1585661238546",
          1585661238546,
          "Local",
          "Logger",
          1585661364960,
          1585661238546,
          "CurrentValue",
          "10.0.2.185",
          "used (MB)",
          0,
          "7.0.0.8280.0",
          "Storage Group Space Used",
          "10.0.2.185",
          "ArcSight",
          "0",
          "Percent Used",
          "/Monitor/StorageGroup/Space/Used",
          1585661238546,
          "Default Storage Group",
          180,
          15,
          1,
          1585661238546,
          2048,
          "1",
          "13",
          "Logger",
          "storagegroup:100",
          "retention period (days)",
          "timeframe",
          "storageGroup"
      ],
      [
          "4BFEFD-87@Local",
          "CEF:0|ArcSight|Logger|7.0.0.8280.0|storagegroup:100|Storage Group Space Used|1| cat=/Monitor/StorageGroup/Space/Used cn1=33 cn1Label=Percent Used cn2=365 cn2Label=retention period (days) cn3=1024 cn3Label=used (MB) cs2=CurrentValue cs2Label=timeframe dst=10.0.2.185 dvc=10.0.2.185 end=1585661238546 fileType=storageGroup fname=Internal Event Storage Group fsize=3 geid=0 rt=1585661238546",
          1585661238546,
          "Local",
          "Logger",
          1585661364960,
          1585661238546,
          "CurrentValue",
          "10.0.2.185",
          "used (MB)",
          0,
          "7.0.0.8280.0",
          "Storage Group Space Used",
          "10.0.2.185",
          "ArcSight",
          "0",
          "Percent Used",
          "/Monitor/StorageGroup/Space/Used",
          1585661238546,
          "Internal Event Storage Group",
          365,
          33,
          1,
          1585661238546,
          1024,
          "1",
          "3",
          "Logger",
          "storagegroup:100",
          "retention period (days)",
          "timeframe",
          "storageGroup"
      ]
  ]
}
קיר נרתיקים
סוג התוצאות תיאור סוג
הודעת פלט*

הפעולה לא אמורה להיכשל או להפסיק את ההפעלה של הפלייבוק:

>אם הסטטוס מוגדר כ-"completed" וההתאמה גדולה מאפס: "Successfully returned events for query "{0}" from the ArcSight Logger".format(query)

אם הסטטוס מוגדר כ-"completed" וההתאמה מוגדרת כ-0: (is_success == false): "Events were not found for query "{0}" in ArcSight Logger".format(query).

>אם הסטטוס מוגדר כשגיאה: "Unable to execute query "{0}" in ArcSight Logger".format(query).

אם קוד הסטטוס הוא 409 בבקשה הראשונה: "לא ניתן להריץ את השאילתה "{0}" ב-ArcSight Logger. הסיבה: {1}".format(query, errors/message from first response)"

הודעת פלט אסינכרונית: "Starting processing query {0} in ArcSight Logger".format(query)‎

הפעולה אמורה להיכשל ולעצור את ההפעלה של הפלייבוק:

אם מדווחת שגיאה חמורה (פרטי כניסה שגויים, שגיאת חיבור, קריסה של פעולה): "שגיאה בביצוע הפעולה 'שליחת שאילתה'. הסיבה: {0}''.format(error.Stacktrace)

 כללי
טבלה

שם הטבלה: {Query}

עמודות: כל העמודות הזמינות מהתגובה. פרטים נוספים זמינים בקטע "התנהגות הפעולה".

כללי

הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.