ArcSight in Google SecOps einbinden

In diesem Dokument wird beschrieben, wie Sie ArcSight in Google Security Operations einbinden.

Hinweis

Bevor Sie die ArcSight ESM-Integration in Google SecOps konfigurieren, müssen Sie prüfen, ob Ihre Umgebung die Verbindungs- und Berechtigungsanforderungen für Ihre Connectors, Jobs und Aktionen erfüllt.

So bereiten Sie Ihre Umgebung für die Integration vor:

  1. Prüfen Sie die grundlegenden Integrationsanforderungen, um eine Netzwerksichtverbindung und eine programmatische Authentifizierung einzurichten.

  2. Wenn Sie Sicherheitsereignisse oder Korrelationsfälle in Google SecOps aufnehmen möchten, müssen Sie die Connector-spezifischen Anforderungen konfigurieren.

  3. Wenn Sie detaillierte Berechtigungen für die Fallverwaltung und die Playbook-Automatisierung gewähren möchten, konfigurieren Sie job- und aktionsspezifische Anforderungen.

  4. Sehen Sie sich den Konfigurationsworkflow an, um die Bereitstellungssequenz in ArcSight ESM und Google SecOps zu verstehen.

Anforderungen für die grundlegende Integration

Die Basisintegration stellt die HTTPS-Kernverbindung und die Authentifizierungssitzung her, die für alle Google SecOps-Aktionen, ‑Connectors und ‑Jobs verwendet werden.

Konfigurieren Sie die folgenden grundlegenden Anforderungen in Ihrer Umgebung:

  1. Netzwerk-Sichtverbindung: Aktivieren Sie die HTTPS-Kommunikation von Ihrer Google SecOps-Instanz oder Ihrem Remote-Agent zum ArcSight ESM-Server über den Verwaltungsport (Standard: 8443/TCP).

  2. REST API-Zugriff: Prüfen Sie den direkten Zugriff auf die ArcSight ESM REST-Dienste unter https://<esm-host>:8443/www/manager-service/rest/ und https://<esm-host>:8443/www/core-service/rest/, wie im ArcSight ESM REST Web Services API Guide beschrieben.

  3. SSL/TLS-Vertrauen: Geben Sie eine Base64-codierte PEM-Stamm- und Zwischen-CA-Zertifikatsdatei an, wenn Ihre ArcSight ESM-Bereitstellung eine private oder selbst signierte Zertifizierungsstelle verwendet.

  4. Dienstkontoeigenschaften: Erstellen Sie ein dediziertes ArcSight-Dienstkonto mit dem Nutzertyp Web User (empfohlen, um die Nutzung einer interaktiven Console-Sitzlizenz zu vermeiden) oder Normal User und achten Sie darauf, dass Login Enabled auf „Aktiv“ gesetzt ist.

    Informationen zur Nutzerverwaltung finden Sie im Abschnitt „Managing Users“ des ArcSight ESM Administrator's Guide.

  5. Basisgruppenmitgliedschaft: Weisen Sie den Dienstnutzer einer dedizierten Nutzergruppe (z. B. SecOps_Integration_Group) zu, um alle nachgelagerten Vorgangsberechtigungen, Ressourcen-ACLs und Ereignisfilter zentral zu verwalten.

    Informationen zur Gruppenkonfiguration finden Sie im Abschnitt „Managing User Groups“ (Nutzergruppen verwalten) des ArcSight ESM Administrator's Guide.

Connector-spezifische Anforderungen

Ingestions-Connectors rufen Benachrichtigungen und Sicherheitsereignisse in Google SecOps ab und erfordern über die grundlegende Integration hinaus spezielle Datenbereiche und Betriebsberechtigungen.

Konfigurieren Sie die Voraussetzungen für den ausgewählten Aufnahme-Connector:

  1. Ereignisfilterzuweisung: Weisen Sie der Integrationsnutzergruppe einen Ereignisfilter (z. B. All Events oder einen bereichsbezogenen Organisationsfilter) zu, um den Datenumfang der Sicherheitsereignisse zu definieren, die die Connectors abrufen können.

    Eine Anleitung zum Konfigurieren von Ereignisfiltern auf Gruppenebene finden Sie im ArcSight ESM Administrator's Guide.

  2. ArcSight – Security Events Connector: Gewähren Sie die Berechtigungen für die Vorgänge Security Events: Inspect, Reports: Inspect und Reports: Execute und weisen Sie die ACL-Berechtigungen Read und Execute für die spezifische Berichtsressource in ArcSight zu, die Korrelationsereignisse exportiert.

    Informationen zu ACL-Verfahren für Ressourcen finden Sie im Abschnitt „Managing Access Control on Resources“ des ArcSight ESM Console User's Guide.

  3. ArcSight ESM Connector: Gewähren Sie Security Events: Inspect- und Cases: Inspect-Vorgangsberechtigungen und weisen Sie Read-ACL-Berechtigungen für die Zielordner und Korrelationsressourcen gemäß dem ArcSight ESM Console User's Guide zu.

Job- und aktionsspezifische Anforderungen

Geplante Jobs und Playbook-Aktionen übernehmen die Basisintegrationsverbindung und erfordern je nach den spezifischen ArcSight-Ressourcen, mit denen sie interagieren, detaillierte Vorgangsberechtigungen und ACL-Berechtigungen auf Objektebene.

Gewähren Sie Berechtigungen und ACLs basierend auf den von Ihnen bereitgestellten Integrationsfunktionen:

  1. Aktivierung von Aktionen: Für Playbook-Aktionen ist keine separate Verbindungskonfiguration in Google SecOps erforderlich. Wenn Sie der Dienstkontogruppe in ArcSight die erforderlichen Vorgangsberechtigungen und Ressourcen-ACLs gewähren, werden diese sofort für die Verwendung im Playbook aktiviert.

  2. Close Cases-Job: Gewähren Sie die Berechtigungen für die Vorgänge Cases: Inspect und Cases: Edit und weisen Sie die ACL-Berechtigungen Read und Modify für die Zielordner für Fälle zu, wie im ArcSight ESM Console User's Guide beschrieben.

  3. Aktionen für aktive Listen: Gewähren Sie Berechtigungen für die Vorgänge Active Lists: Inspect und Active Lists: Edit Content (oder Active Lists: Edit) und weisen Sie die ACL-Berechtigungen Read und Write für die spezifischen aktiven Listen zu, die von den Parametern Ihrer Playbook-Aktion betroffen sind.

  4. Aktionen für die Fallverwaltung: Gewähren Sie Berechtigungen für die Vorgänge Cases: Inspect und Cases: Edit und weisen Sie ACL-Berechtigungen für Read und Modify für Zielordner zu.

  5. Abfrage- und Suchaktionen: Gewähren Sie Berechtigungen für Query Viewers: Inspect- und Query Viewers: Execute-Vorgänge und weisen Sie ACL-Berechtigungen für Read und Execute für Zielabfrage-Viewer zu.

  6. Berichtsaktionen: Gewähren Sie die Berechtigungen für die Vorgänge Reports: Inspect und Reports: Execute und weisen Sie die ACL-Berechtigungen Read und Execute für Zielberichte zu.

Zuordnung von Komponentenberechtigungen

In der folgenden Tabelle sind die mindestens erforderlichen Vorgangsberechtigungen und Ressourcen-ACLs für jeden Integrationstyp aufgeführt.

In der folgenden Tabelle finden Sie Informationen zu den Berechtigungsanforderungen:

  1. Basissitzung: Für die Basisintegration sind nur gültige Anmeldedaten und Standardnutzerrechte erforderlich.

  2. Aufnahme-Connectors: Connectors benötigen Rechte zum Filtern von Ereignissen, Berechtigungen zum Prüfen von Ereignissen und Lesezugriff auf Berichte oder Fälle.

  3. Jobs und Aktionen: Playbook-Aktionen und Synchronisierungsjobs erfordern funktionale Aufgabenberechtigungen und ACL-Berechtigungen für die spezifischen Ressourcen, auf die zugegriffen wird. Diese werden mithilfe des ArcSight ESM Console User's Guide konfiguriert.

Komponententyp Komponentenname API-Dienst Erforderliche Vorgangsberechtigungen Erforderliche Ressourcen-ACLs
Basisintegration Basisverbindung und Authentifizierung LoginService Standardberechtigungen für authentifizierte Nutzer Keine
Connector ArcSight – Security Events Connector SecurityEventService, ReportService Security Events: Inspect, Reports: Inspect, Reports: Execute Read und Execute für die Zielberichtsressource
Connector ArcSight ESM-Connector SecurityEventService, CaseService Security Events: Inspect, Cases: Inspect Read für Ziel-Fallordner und Korrelationsobjekte
Job Job zum Schließen von Fällen CaseService Cases: Inspect, Cases: Edit Read und Modify für Ziel-Fallordner
Aktion Aktionen für aktive Listen (Entitäten hinzufügen, Einträge hinzufügen, Einträge abrufen, Wert prüfen) ActiveListService Active Lists: Inspect, Active Lists: Edit Content (oder Active Lists: Edit) Read und Write für aktive Ziellisten
Aktion Aktion „Fallphase ändern“ CaseService Cases: Inspect, Cases: Edit Read und Modify für Ziel-Fallordner
Aktion Abfrage- und Suchaktionen (Abfrageergebnisse abrufen, Suchen) QueryViewerService, SearchService Query Viewers: Inspect, Query Viewers: Execute Read und Execute für Betrachter gezielter Abfragen
Aktion Berichtsaktion abrufen ReportService Reports: Inspect, Reports: Execute Read und Execute in Zielberichten
Aktion Aktion „Ressourcen auflisten“ ActiveListService, CaseService, QueryViewerService, ReportService Berechtigung Inspect für jeden aktivierten Ressourcentyp Read für Zielressourcenordner

Konfigurationsworkflow

Folgen Sie diesem mehrphasigen Workflow, um Berechtigungen in ArcSight ESM bereitzustellen und die ausgewählten Komponenten in Google SecOps zu aktivieren.

Führen Sie die Konfigurationsschritte in der folgenden Reihenfolge aus:

  1. ArcSight-Dienstkonto und -Gruppenbereitstellung: Erstellen Sie den dedizierten Dienstnutzer in ArcSight ESM, erstellen Sie eine dedizierte Nutzergruppe, weisen Sie den Dienstnutzer der Gruppe zu und wenden Sie einen Ereignisfilter an, um die Datensichtbarkeit wie im ArcSight ESM-Administratorhandbuch beschrieben zu definieren.

  2. Berechtigungen und ACLs für ausgewählte Komponenten zuweisen: Vergleichen Sie Ihre geplanten Connectors, Jobs und Aktionen mit der Zuordnungstabelle für Komponentenberechtigungen, gewähren Sie der Nutzergruppe die entsprechenden Vorgangsberechtigungen und weisen Sie ACLs auf Objektebene (z. B. Read/Write für aktive Listen oder Read/Execute für Berichte) für die spezifischen Zielressourcenordner im ArcSight ESM Console User's Guide zu.

  3. In Google SecOps konfigurieren: Konfigurieren Sie die Basisintegration, die Aufnahme-Connectors, die geplanten Jobs und die Playbook-Aktionen in Google SecOps, wie in den folgenden Abschnitten beschrieben.

Integrationsparameter

Verwenden Sie die folgenden Parameter, um die Integration zu konfigurieren:

Parametername Typ Standardwert Ist obligatorisch Beschreibung
Instanzname String – Nein Name der Instanz, für die Sie die Integration konfigurieren möchten.
Beschreibung String – Nein Beschreibung der Instanz.
API-Stamm String https://{IP}:{PORT} Ja Serveradresse der ArcSight-Instanz.
Nutzername String – Ja Nutzername des ArcSight-Kontos.
Passwort Passwort – Ja Passwort des ArcSight-Kontos.
Remote ausführen Kästchen Deaktiviert Nein Setzen Sie ein Häkchen, um die konfigurierte Integration remote auszuführen. Nachdem Sie das Häkchen gesetzt haben, wird die Option zum Auswählen des Remote-Nutzers (Agenten) angezeigt.

Eine Anleitung zum Konfigurieren einer Integration in Google SecOps finden Sie unter Integrationen konfigurieren.

Sie können später bei Bedarf Änderungen vornehmen. Nachdem Sie eine Integrationsinstanz konfiguriert haben, können Sie sie in Playbooks verwenden. Weitere Informationen zum Konfigurieren und Unterstützen mehrerer Instanzen finden Sie unter Mehrere Instanzen unterstützen.

Aktionen

Weitere Informationen zu Aktionen finden Sie unter Auf ausstehende Aktionen im Workdesk reagieren und Manuelle Aktion in einem Fall ausführen.

Einträge zur aktiven Liste hinzufügen

Bietet einen Mechanismus, um Informationen aus Trends außerhalb und zusätzlich zu Berichten zu erhalten. Aktive Listen, die durch Trends aktualisiert werden, unterstützen Zusammenfassungsansichten von Informationen aus mehreren Trends.

Parameter

Parametername Typ Standardwert Ist obligatorisch Beschreibung
Spalten String – Ja Beispiel: Nachricht;Nutzername
Einträge String – Ja Beispiel: test1|Me1;Test|Me2
UUID der aktiven Liste String – Ja Beispiel: HCN75QGABABCZXCOdT9P51w==

Ausführen am

Diese Aktion wird für alle Entitäten ausgeführt.

Aktionsergebnisse

Diese Aktion kann die folgenden Ergebnisse liefern.

Scriptergebnis
Name des Skriptergebnisses Wertoptionen Beispiel
is_succeed True oder False is_succeed:False

Fallphase ändern

Phase eines Falls ändern Gültige Phasen sind INITIAL, QUEUED, CLOSED, FINAL und FOLLOW_UP.

Parameter

Parametername Typ Standardwert Ist obligatorisch Beschreibung
Fallname String – Ja Der Name des zu aktualisierenden Falls.
Phase String – Ja Die Phase des Falls. Beispiel: CLOSED, INITIAL

Ausführen am

Diese Aktion wird für alle Entitäten ausgeführt.

Aktionsergebnisse

Diese Aktion kann die folgenden Ergebnisse liefern.

Scriptergebnis
Name des Skriptergebnisses Wertoptionen Beispiel
Erfolgreich True oder False success:False

Activelist-Einträge abrufen

Rufen Sie ArcSight-Einträge aus der aktiven Liste ab und geben Sie die CSV-Ausgabe zurück.

Parameter

Parametername Typ Standardwert Ist obligatorisch Beschreibung
UUID der aktiven Liste String – Ja Beispiel: HTcILQWABABCr553ieI0Xmw==

Ausführen am

Diese Aktion wird für alle Entitäten ausgeführt.

Aktionsergebnisse

Diese Aktion kann die folgenden Ergebnisse liefern.

Scriptergebnis
Name des Skriptergebnisses Wertoptionen Beispiel
Success_Indicator – –
JSON-Ergebnis
[
"12346e4d96f0a72c42015d69aaf0e8ab ,
 file.txt",
 "0e0776034e5e096704cd28cbd40cdbb5 ,
 Test.config"
]

Abfrageergebnisse abrufen

Abfrageergebnisse nach Abfrage-ID abrufen. Eine Abfrage kann als primäre Datenquelle für einen Bericht oder einen Trend (basierend auf einer Abfrage) verwendet werden, der als Datenquelle für eine andere Abfrage verwendet werden kann, die das ursprüngliche Abfrageergebnis weiter verfeinert.

Parameter

Parametername Typ Standardwert Ist obligatorisch Beschreibung
Abfrage-ID String – Ja Die Abfrage-ID.
Maximale Anzahl der zurückzugebenden Elemente Ganzzahl 100 Nein Geben Sie an, wie viele Elemente in der Antwort zurückgegeben werden sollen.

Anwendungsbereiche

Fügen Sie eine Beschränkung für die Anzahl der zurückzugebenden Ergebnisse hinzu.

Ausführen am

Diese Aktion wird für alle Entitäten ausgeführt.

Aktionsergebnisse

Diese Aktion kann die folgenden Ergebnisse liefern.

Scriptergebnis
Name des Skriptergebnisses Wertoptionen Beispiel
Erfolgreich True oder False success:False
JSON-Ergebnis
[
    {
        "Target User Name": "user",
        "Attacker Address": "192.0.2.1",
        "External ID": "127",
        "Name": "A Kerberos authentication ticket (TGT) was requested.",
        "Target Address": "192.0.2.1"
    },{
        "Target User Name": "user",
        "Attacker Address": "192.0.2.1",
        "External ID": "127",
        "Name": "A Kerberos authentication ticket (TGT) was requested.",
        "Target Address": "192.0.2.1"
    }
]

Bericht abrufen

Bericht mit dynamischen Feldern abrufen Ein Bericht ist eine ArcSight-Ressource, die Daten aus einer Abfrage oder einem Trend an eine vorhandene Berichtsvorlage bindet. Nach der Ausführung können die Ergebnisse eines Berichts im Anzeigebereich der ArcSight-Konsole angezeigt, gespeichert (archiviert) oder in verschiedenen Formaten exportiert werden. Berichte können so geplant werden, dass sie in regelmäßigen Abständen ausgeführt werden. Bei Bedarf können sie auch on demand ausgeführt werden.

Parameter

Parametername Typ Standardwert Ist obligatorisch Beschreibung
Vollständiger Pfad des Berichts (URI) String – Ja Der relevante Berichts-URI.
Feld 2 String – Nein Die dynamischen Felder für die Abfrage zum Erstellen des Berichts.
Feld 3 String – Nein Die dynamischen Felder für die Abfrage zum Erstellen des Berichts.
Feld 4 String – Nein Die dynamischen Felder für die Abfrage zum Erstellen des Berichts.
Feld 6 String – Nein Die dynamischen Felder für die Abfrage zum Erstellen des Berichts.
Feld 6 String – Nein Die dynamischen Felder für die Abfrage zum Erstellen des Berichts.
Feld 7 String – Nein Die dynamischen Felder für die Abfrage zum Erstellen des Berichts.
Feld 8 String – Nein Die dynamischen Felder für die Abfrage zum Erstellen des Berichts.
Feld 9 String – Nein Die dynamischen Felder für die Abfrage zum Erstellen des Berichts.
Feld 10 String – Nein Die dynamischen Felder für die Abfrage zum Erstellen des Berichts.

Ausführen am

Diese Aktion wird für alle Entitäten ausgeführt.

Aktionsergebnisse

Diese Aktion kann die folgenden Ergebnisse liefern.

Scriptergebnis
Name des Skriptergebnisses Wertoptionen Beispiel
json_report – –

Ist der Wert in der Activelist-Spalte

Prüfen, ob ein bestimmter Wert in der aktiven Liste enthalten ist .

Parameter

Parametername Typ Standardwert Ist obligatorisch Beschreibung
UUID der aktiven Liste String – Ja UUID der aktiven Liste. Beispiel: cuser.
Spaltenname String – Ja Der Name der Spalte. Beispiel: sourceUserName.

Ausführen am

Diese Aktion wird für alle Entitäten ausgeführt.

Aktionsergebnisse

Diese Aktion kann die folgenden Ergebnisse liefern.

Scriptergebnis
Name des Skriptergebnisses Wertoptionen Beispiel
Success_Indicator – –

Ping

Verbindung testen

Parameter

Keine.

Ausführen am

Diese Aktion wird für alle Entitäten ausgeführt.

Aktionsergebnisse

Diese Aktion kann die folgenden Ergebnisse liefern.

Scriptergebnis
Name des Skriptergebnisses Wertoptionen Beispiel
is_succeed True oder False is_succeed:False

Sie können eine Suche im ArcSight Command Center über den Ereigniskanal der Konsole starten. Bei der Suche nach abgeschlossenen Ereignissen wird nach dem zugehörigen Attribut gesucht, das in mehreren Feldern gespeichert ist (z. B. abc). Bei der Suche nach Ereignissen wird nach einem Wert (z. B. abc) gesucht, der im angegebenen Feld gespeichert ist (z. B. nur im Feld „Name“).

Parameter

Parametername Typ Standardwert Ist obligatorisch Beschreibung
Suchanfrage String – Ja Die Suchanfrage.
Maximale Anzahl der zurückzugebenden Elemente Ganzzahl 100 Nein Geben Sie an, wie viele Elemente in der Antwort zurückgegeben werden sollen.

Anwendungsbereiche

Fügen Sie eine Beschränkung für die Anzahl der zurückzugebenden Ergebnisse hinzu.

Ausführen am

Diese Aktion wird für alle Entitäten ausgeführt.

Aktionsergebnisse

Diese Aktion kann die folgenden Ergebnisse liefern.

Scriptergebnis
Name des Skriptergebnisses Wertoptionen Beispiel
Erfolgreich True oder False success:False
JSON-Ergebnis
[
    {
        "score": 1.2440307,
        "uuid": "UUID",
        "uri": "/All_Fields/ArcSight_Foundation/Variables_Library/IPv6/Attacker_IPv6_Address",
        "name": "Attacker IPv6 Address"
    }, {
        "score": 1.2440307,
        "uuid": "UUID",
        "uri": "/All_Fields/ArcSight_Foundation/Variables_Library/IPv6/Attacker_IPv6_Address",
        "name": "Attacker IPv6 Address"
    }
]

Connectors

Weitere Informationen zum Konfigurieren von Connectors in Google SecOps finden Sie unter Daten aufnehmen (Connectors).

Arcsight ESM Connector

Dieser Leitfaden bezieht sich auf ArcSight ESM-Versionen ab 6.9.1.

ESM-Regel oder Fallweiterleitung an Google SecOps

Mit ausgelösten Regeln/Korrelationen arbeiten

Sie müssen ArcSight ESM so konfigurieren, dass die neuesten Korrelationsobjekte an Google SecOps weitergeleitet werden. Gleichzeitig müssen Sie Google SecOps so konfigurieren, dass es in ArcSight ESM als SIEM-Anbieter fungiert, und über einen autorisierten Nutzer API-Zugriff auf ArcSight ESM gewähren.

Mit dieser Funktion kann Google SecOps alle ausgelösten Regeln in ArcSight ESM nahezu in Echtzeit abrufen und sie zur Übersetzung und Kontextualisierung als Benachrichtigungen für Fälle weiterleiten.

Datenfluss zwischen Google SecOps und ArcSight ESM

Google SecOps indexiert und kontextualisiert automatisch Korrelationen, die an Google SecOps weitergeleitet und in ArcSight ESM über das ArcSight Forwarding Connector-Modul und den API-Zugriff ausgelöst wurden.

Priorisierung nach Schweregrad des Connectors

Der Connector weist den Schweregrad mit den folgenden Priorisierungswerten zu:

  • 1 und 2 – sehr niedrig
  • 3 und 4 – niedrig
  • 5 und 6 – mittel
  • 7 und 8 – hoch
  • 9 und 10 – kritisch

Connector-Eingaben

Verwenden Sie die folgenden Parameter, um den Connector zu konfigurieren:

Parametername Typ Standardwert Ist obligatorisch Beschreibung
Umgebung DDL – Ja

Wählen Sie die erforderliche Umgebung aus, z. B. Customer One.

Wenn das Umgebungsfeld der Benachrichtigung leer ist, wird die Benachrichtigung in diese Umgebung eingefügt.
Ausführen: alle Ganzzahl 0:0:0:10 Nein Wählen Sie die Uhrzeit aus, zu der die Verbindung ausgeführt werden soll.
Produktfeldname String device_product Nein

Der Name des Felds, in dem der Produktname gespeichert ist.

Der Standardwert ist device_product.

Der Produktname wirkt sich hauptsächlich auf die Zuordnung aus. Um den Zuordnungsprozess für den Connector zu optimieren und zu verbessern, wird der Standardwert device_product in einen Fallback-Wert aufgelöst, auf den im Code verwiesen wird. Jede ungültige Eingabe für diesen Parameter wird standardmäßig in einen Fallback-Wert aufgelöst.
Name des Ereignisfelds String Name Nein Der Feldname, der zur Bestimmung des Ereignisnamens (Untertyp) verwendet wird.
Zeitlimit für Script (Sekunden) String 500 Nein Das Zeitlimit (in Sekunden) für den Python-Prozess, der das aktuelle Script ausführt.
Serveradresse String – Ja https://{IP}:{PORT}
Nutzername String – Ja Nutzername des ArcSight-Kontos.
Passwort Passwort – Ja Das Passwort des ArcSight-Kontos.
Beschränkung der Ereignisanzahl Ganzzahl 15 Ja Geben Sie die maximale Anzahl von Ereignissen ein, die pro Korrelation abgerufen werden sollen. Begrenzen Sie die Anzahl der Ereignisse, z. B. auf 10.
Ordnerpfad für Fälle String I:\SiemShare\CorrelationSource Ja

Der Speicherort der Falldateien, z. B. I:\SiemShare\CorrelationSource

Hinweis: Der Parameter „Cases Folder Path“ kann von Kunde zu Kunde unterschiedlich sein.

Vollständiger Pfad. Beispiel: C:\Desktop\CorrelationSource
Limit für die Anzahl der Benachrichtigungen Ganzzahl 10 Ja Die maximale Anzahl von Benachrichtigungen, die pro Connector-Zyklus verarbeitet werden sollen, z. B. 10.
Name des Umgebungsfelds String event.customerURI Ja Der Name des Felds, um die Umgebung des Falls abzurufen, z. B. event.customerUri.
Produktfeld für sekundäres Gerät String – Nein Ersetzen Sie das ursprüngliche Produktfeld (aus dem DeviceProductField des Connectors durch den Wert aus dem sekundären Produktfeld). Beispiel: CustomDeviceString2
Namen der benutzerdefinierten Felder für Benachrichtigungen String – Nein Benutzerdefinierte Feldwerte aus ArcSight in die Benachrichtigung einfügen, z. B. baseEventCount,agent_address,device_assetId.
Aufbewahrungsdauer für Fertig-Dateien in Tagen Ganzzahl 3 Ja Wie viele Tage jede DONE-CSV-Datei aufbewahrt werden soll.
Aufbewahrungsdauer für Fehlerdateien in Tagen Ganzzahl 14 Ja Wie viele Tage jede CSV-Datei mit FEHLERN aufbewahrt werden soll.
Proxyserveradresse String – Nein Die Adresse des zu verwendenden Proxyservers.
Proxy-Nutzername String – Nein Der Proxy-Nutzername für die Authentifizierung.
Proxy-Passwort Passwort – Nein Das Proxy-Passwort für die Authentifizierung.

Connector-Regeln

Der Connector unterstützt Proxys.

ArcSight – Security Events Connector

Korrelationen aus ArcSight abrufen. Dieser Connector eignet sich für die SaaS-Bereitstellung von Google SecOps und wird für die Produktion empfohlen.

Für diesen Connector müssen die erforderlichen Schritte ausgeführt werden.

Connector-Eingaben

Verwenden Sie die folgenden Parameter, um den Connector zu konfigurieren:

Anzeigename des Parameters Typ Standardwert Ist obligatorisch Beschreibung
Produktfeldname String Typ Ja

Der Name des Felds, in dem der Produktname gespeichert ist.

Der Standardwert ist type.

Der Produktname wirkt sich hauptsächlich auf die Zuordnung aus. Um den Zuordnungsprozess für den Connector zu optimieren und zu verbessern, wird der Standardwert type in einen Fallback-Wert aufgelöst, auf den im Code verwiesen wird. Ungültige Eingaben für diesen Parameter werden standardmäßig in einen Fallback-Wert aufgelöst.
Name des Ereignisfelds String Name Ja

Der Name des Felds, das den Ereignisnamen (Untertyp) bestimmt.
Name des Umgebungsfelds String "" Nein

Der Name des Felds, in dem der Umgebungsname gespeichert ist.

Wenn das Feld „environment“ fehlt, verwendet der Connector den Standardwert.
Environment Regex Pattern String .* FALSE Nein

Ein reguläres Ausdrucksmuster, das für den im Feld Environment Field Name gefundenen Wert ausgeführt werden soll. Mit diesem Parameter können Sie das Umgebungsfeld mithilfe der Logik regulärer Ausdrücke bearbeiten.

Verwenden Sie den Standardwert .*, um den erforderlichen Rohwert Environment Field Name abzurufen.

Wenn das Muster des regulären Ausdrucks null oder leer ist oder der Umgebungswert null ist, ist das endgültige Umgebungsergebnis die Standardumgebung.
Zeitlimit für Script (Sekunden) Ganzzahl 360 Ja

Das Zeitlimit in Sekunden für den Python-Prozess, der das aktuelle Script ausführt.
API-Stamm String https://{ip} Ja Der API-Stamm der ArcSight-Instanz.
Nutzername String – Ja Nutzername des ArcSight-Kontos.
Passwort Passwort – Ja Passwort des ArcSight-Kontos.
Berichtsname String – Ja Name des Berichts, der zum Abrufen von Ereignissen verwendet wird.
Basisereignisse abrufen Kästchen Aktiviert Ja Wenn diese Option aktiviert ist, ruft der Connector auch Basisereignisse ab.
Niedrigste Priorität für den Abruf Ganzzahl – Nein Niedrigste Priorität, die zum Abrufen von Ereignissen verwendet wird. Mögliche Werte liegen im Bereich von 1 bis 10. Wenn nichts angegeben ist, werden alle Ereignisse aufgenommen.
Max. abzurufende Ereignisse Ganzzahl 100 Nein Die Anzahl der Benachrichtigungen, die pro Connector-Iteration verarbeitet werden sollen. Der maximal zulässige Wert beträgt 1.000.
Dynamische Liste als Sperrliste verwenden Kästchen Aktiviert Ja

Wenn diese Option ausgewählt ist, verwendet der Connector die dynamische Liste als Sperrliste.
SSL überprüfen Kästchen Deaktiviert Ja Wenn diese Option ausgewählt ist, validiert die Integration das SSL-Zertifikat, wenn eine Verbindung zum ArcSight-Server hergestellt wird.
Proxyserveradresse String – Nein Die Adresse des zu verwendenden Proxyservers.
Proxy-Nutzername String – Nein Der Proxy-Nutzername für die Authentifizierung.
Proxy-Passwort Passwort Nein Das Proxy-Passwort für die Authentifizierung.

Connector-Regeln

Der Connector unterstützt Proxys.

Jobs

Weitere Informationen zu Jobs finden Sie unter Neuen Job konfigurieren und Erweiterte Planung.

Fälle schließen

Für den Job sind die folgenden Parameter erforderlich:

Parametername Typ Standardwert Ist obligatorisch Beschreibung
Serveradresse String 192.0.2.1 Ja –
Nutzername String – Ja –
Passwort Passwort – Ja –

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten