Integra ArcSight con Google SecOps

En este documento, se describe cómo integrar ArcSight en Google Security Operations.

Nota: Esta integración usa uno o más componentes de código abierto. Puedes descargar una copia del código fuente completo de esta integración desde el bucket de almacenamiento.

Antes de comenzar

Antes de configurar la integración de ArcSight ESM en Google SecOps, verifica que tu entorno cumpla con los requisitos de conexión y permisos para tus conectores, trabajos y acciones.

Para preparar tu entorno para la integración, completa los siguientes requisitos previos:

1. Verifica los requisitos básicos de integración para establecer la línea de visión de la red y la autenticación programática.

2. Para transferir eventos de seguridad o casos de correlación a Google SecOps, configura los requisitos específicos del conector.

3. Para otorgar privilegios detallados para la administración de casos y la automatización de guías, configura los requisitos específicos de trabajos y acciones.

4. Revisa el flujo de trabajo de configuración para comprender la secuencia de aprovisionamiento en ArcSight ESM y Google SecOps.

Requisitos básicos de integración

La integración básica establece la conexión HTTPS principal y la sesión de autenticación que se usan en todas las acciones, los conectores y los trabajos de Google SecOps.

Configura los siguientes requisitos básicos en tu entorno:

1. Línea de visión de la red: Habilita la comunicación HTTPS desde tu instancia de Google SecOps o el agente remoto al servidor de ArcSight ESM en el puerto de administración (predeterminado: 8443/TCP).

2. Acceso a la API de REST: Verifica el acceso directo a los servicios de la API de REST de ArcSight ESM ubicados en https://<esm-host>:8443/www/manager-service/rest/ y https://<esm-host>:8443/www/core-service/rest/, como se describe en la Guía de la API de servicios web de REST de ArcSight ESM.

3. Confianza en SSL/TLS: Proporciona un archivo de certificado de CA raíz y de CA intermedio con codificación PEM en Base64 si tu implementación de ArcSight ESM usa una autoridad de certificación privada o autofirmada.

4. Propiedades de la cuenta de servicio: Crea una cuenta de servicio de ArcSight dedicada con el tipo de usuario Web User (se recomienda para evitar consumir una licencia de asiento interactiva de la consola) o Normal User y asegúrate de que Login Enabled esté configurado como activo.

   Para conocer los procedimientos de administración de usuarios, consulta la sección "Administración de usuarios" de la Guía del administrador de ArcSight ESM.

5. Pertenencia a un grupo base: Asigna el usuario de servicio a un grupo de usuarios exclusivo (por ejemplo, SecOps_Integration_Group) para administrar de forma centralizada todos los privilegios de operaciones posteriores, las ACL de recursos y los filtros de eventos.

   Para conocer los procedimientos de configuración de grupos, consulta la sección "Administración de grupos de usuarios" de la Guía del administrador de ArcSight ESM.

Requisitos específicos del conector

Los conectores de transferencia incorporan alertas y eventos de seguridad en Google SecOps, y requieren permisos operativos y de alcance de datos especializados más allá de la integración básica.

Configura los requisitos previos correspondientes al conector de transferencia que elegiste:

1. Asignación de filtros de eventos: Asigna un filtro de eventos (como All Events o un filtro organizativo con alcance) al grupo de usuarios de la integración para definir el alcance de los datos de los eventos de seguridad que pueden recuperar los conectores.

   Si deseas obtener instrucciones para configurar filtros de eventos a nivel del grupo, consulta la Guía del administrador de ArcSight ESM.

2. ArcSight - Security Events Connector: Otorga privilegios de operaciones Security Events: Inspect, Reports: Inspect y Reports: Execute, y asigna permisos de ACL Read y Execute en el recurso de informe específico en ArcSight que exporta eventos de correlación.

   Para conocer los procedimientos de LCA de recursos, consulta la sección "Administración del control de acceso en recursos" de la Guía del usuario de la consola de ArcSight ESM.

3. Conector de ArcSight ESM: Otorga privilegios de operaciones de Security Events: Inspect y Cases: Inspect, y asigna permisos de ACL de Read en las carpetas de casos y los recursos de correlación de destino de acuerdo con la Guía del usuario de la consola de ArcSight ESM.

Requisitos específicos de trabajos y acciones

Los trabajos programados y las acciones del playbook heredan la conexión de integración básica y requieren privilegios de operaciones detallados y permisos de LCA a nivel del objeto según los recursos específicos de ArcSight con los que interactúan.

Otorga privilegios y LCA según las capacidades de integración que implementes:

1. Habilitación de acciones: Las acciones de la guía no requieren una configuración de conexión independiente en Google SecOps. Otorgar los privilegios de operaciones y las LCA de recursos necesarios al grupo de cuentas de servicio en ArcSight los habilita de inmediato para el uso del playbook.

2. Trabajo Close Cases: Otorga privilegios de operaciones Cases: Inspect y Cases: Edit, y asigna permisos de ACL Read y Modify en las carpetas de casos de destino, como se describe en la Guía del usuario de la consola de ArcSight ESM.

3. Acciones de listas activas: Otorga privilegios de operaciones de Active Lists: Inspect y Active Lists: Edit Content (o Active Lists: Edit), y asigna permisos de LCA de Read y Write en las listas activas específicas a las que se dirigen los parámetros de acción de tu guía.

4. Acciones de administración de casos: Otorgan privilegios de operaciones de Cases: Inspect y Cases: Edit, y asignan permisos de LCA de Read y Modify en las carpetas de casos de destino.

5. Acciones de búsqueda y consulta: Otorga privilegios de operaciones Query Viewers: Inspect y Query Viewers: Execute, y asigna permisos de LCA Read y Execute en los visualizadores de consultas de destino.

6. Acciones de informes: Otorga privilegios de operaciones de Reports: Inspect y Reports: Execute, y asigna permisos de LCA de Read y Execute en los informes de destino.

Asignación de permisos de componentes

En la siguiente tabla, se describen los privilegios de operaciones y las LCA de recursos mínimos requeridos para cada tipo de componente de integración.

Revisa la siguiente tabla para comprender los requisitos de permisos:

1. Sesión básica: La integración básica solo requiere credenciales de acceso válidas y derechos de usuario autenticado predeterminados.

2. Conectores de transferencia: Los conectores requieren derechos de filtrado de eventos, privilegios de inspección de eventos y acceso de lectura a informes o casos.

3. Trabajos y acciones: Las acciones del Playbook y los trabajos de sincronización requieren privilegios de tareas funcionales y permisos de ACL en los recursos específicos a los que se accede, configurados con la Guía del usuario de ArcSight ESM Console.

Tipo de componente	Nombre del componente	Servicio de API	Privilegios de operaciones obligatorios	LCA de recursos obligatoria
Integración básica	Conexión y autenticación básicas	LoginService	Privilegios predeterminados del usuario autenticado	Ninguno
Conector	ArcSight: conector de eventos de seguridad	SecurityEventService, ReportService	Security Events: Inspect, Reports: Inspect, Reports: Execute	Read y Execute en el recurso del informe objetivo
Conector	Conector de ArcSight ESM	SecurityEventService, CaseService	Security Events: Inspect, Cases: Inspect	Read en carpetas de casos objetivo y objetos de correlación
Trabajo	Trabajo de cierre de casos	CaseService	Cases: Inspect, Cases: Edit	Read y Modify en las carpetas de casos objetivo
Acción	Acciones de lista activa (agregar entidades, agregar entradas, obtener entradas, verificar valor)	ActiveListService	Active Lists: Inspect, Active Lists: Edit Content (o Active Lists: Edit)	Read y Write en las listas activas de destino
Acción	Acción de cambio de etapa del caso	CaseService	Cases: Inspect, Cases: Edit	Read y Modify en las carpetas de casos objetivo
Acción	Acciones de búsqueda y consulta (obtener resultados de la búsqueda, buscar)	QueryViewerService, SearchService	Query Viewers: Inspect, Query Viewers: Execute	Read y Execute en los usuarios que miran la búsqueda objetivo
Acción	Obtener acción de informe	ReportService	Reports: Inspect, Reports: Execute	Read y Execute en los informes de destino
Acción	Acción de List Resources	ActiveListService, CaseService, QueryViewerService, ReportService	Privilegio de Inspect para cada tipo de recurso habilitado	Read en las carpetas de recursos de destino

Flujo de trabajo de configuración

Sigue este flujo de trabajo de varias fases para aprovisionar permisos en ArcSight ESM y activar los componentes seleccionados en Google SecOps.

Completa los pasos de configuración en la siguiente secuencia:

1. Aprovisionamiento de cuentas de servicio y grupos de ArcSight: Crea el usuario de servicio dedicado en ArcSight ESM, crea un grupo de usuarios dedicado, asigna el usuario de servicio al grupo y aplica un filtro de eventos para definir la visibilidad de los datos como se detalla en la Guía del administrador de ArcSight ESM.

2. Asigna privilegios y LCA para los componentes elegidos: Compara tus conectores, trabajos y acciones planificados con la tabla de asignación de permisos de componentes, otorga los privilegios de operaciones correspondientes al grupo de usuarios y asigna LCA a nivel del objeto (como Read/Write en listas activas o Read/Execute en informes) en las carpetas de recursos de destino específicos en la Guía del usuario de la consola de ArcSight ESM.

3. Configura en Google SecOps: Configura la integración básica, los conectores de transferencia, los trabajos programados y las acciones del manual en Google SecOps como se describe en las siguientes secciones.

Parámetros de integración

Usa los siguientes parámetros para configurar la integración:

Nombre del parámetro	Tipo	Valor predeterminado	Es obligatorio	Descripción
Nombre de la instancia	String	N/A	No	Nombre de la instancia para la que deseas configurar la integración.
Descripción	String	N/A	No	Es la descripción de la instancia.
Raíz de la API	String	https://{IP}:{PORT}	Sí	Es la dirección del servidor de la instancia de ArcSight.
Nombre de usuario	String	N/A	Sí	Nombre de usuario de la cuenta de ArcSight.
Contraseña	Contraseña	N/A	Sí	Contraseña de la cuenta de ArcSight.
Ejecutar de forma remota	Casilla de verificación	Desmarcado	No	Marca la casilla para ejecutar la integración configurada de forma remota. Una vez que se marca, aparece la opción para seleccionar al usuario remoto (agente).

Si quieres obtener instrucciones para configurar una integración en Google SecOps, consulta Configura integraciones.

Si es necesario, puedes hacer cambios más adelante. Después de configurar una instancia de integración, puedes usarla en los playbooks. Para obtener más información sobre cómo configurar y admitir varias instancias, consulta Compatibilidad con varias instancias.

Acciones

Para obtener más información sobre las acciones, consulta Cómo responder a las acciones pendientes desde Tu escritorio y Cómo realizar una acción manual.

Cómo agregar entradas a la lista activa

Proporciona un mecanismo para obtener información de las tendencias fuera de los informes y además de ellos. Las listas activas actualizadas por tendencias admiten vistas de resumen de la información de varias tendencias.

Parámetros

Nombre del parámetro	Tipo	Valor predeterminado	Es obligatorio	Descripción
Columnas	String	N/A	Sí	Ejemplo: Mensaje;Nombre de usuario
Entradas	String	N/A	Sí	Ejemplo: test1|Me1;Test|Me2
UUID de la lista activa	String	N/A	Sí	Ejemplo: HCN75QGABABCZXCOdT9P51w==

Fecha de ejecución

Esta acción se ejecuta en todas las entidades.

Resultados de la acción

Esta acción puede proporcionar los siguientes resultados.

Resultado de secuencia de comandos

Nombre del resultado de la secuencia de comandos	Opciones de valor	Ejemplo
is_succeed	Verdadero o falso	is_succeed:False

Cambiar etapa del caso

Cambiar la etapa de un caso Las etapas válidas son INITIAL, QUEUED, CLOSED, FINAL y FOLLOW_UP.

Parámetros

Nombre del parámetro	Tipo	Valor predeterminado	Es obligatorio	Descripción
Nombre del caso	String	N/A	Sí	Es el nombre del caso que se actualizará.
Etapa	String	N/A	Sí	Es la etapa del caso. Ejemplo: CLOSED, INITIAL

Fecha de ejecución

Esta acción se ejecuta en todas las entidades.

Resultados de la acción

Esta acción puede proporcionar los siguientes resultados.

Resultado de secuencia de comandos

Nombre del resultado de la secuencia de comandos	Opciones de valor	Ejemplo
correcto	Verdadero o falso	success:False

Obtén entradas de Activelist

Recupera las entradas de la lista activa de ArcSight y devuelve la salida en formato CSV.

Parámetros

Nombre del parámetro	Tipo	Valor predeterminado	Es obligatorio	Descripción
UUID de la lista activa	String	N/A	Sí	Ejemplo: HTcILQWABABCr553ieI0Xmw==

Fecha de ejecución

Esta acción se ejecuta en todas las entidades.

Resultados de la acción

Esta acción puede proporcionar los siguientes resultados.

Resultado de secuencia de comandos

Nombre del resultado de la secuencia de comandos	Opciones de valor	Ejemplo
Success_Indicator	N/A	N/A

Resultado de JSON

[
"12346e4d96f0a72c42015d69aaf0e8ab ,
 file.txt",
 "0e0776034e5e096704cd28cbd40cdbb5 ,
 Test.config"
]

Cómo obtener resultados de la búsqueda

Obtiene los resultados de la consulta por ID de consulta. Una consulta se puede usar como fuente de datos principal para un informe o como una tendencia (basada en una consulta) que se puede usar como fuente de datos para otra consulta que refina aún más el resultado de la consulta inicial.

Parámetros

Nombre del parámetro	Tipo	Valor predeterminado	Es obligatorio	Descripción
ID de la consulta	String	N/A	Sí	Es el ID de la búsqueda.
Cantidad máxima de elementos que se devolverán	Número entero	100	No	Especifica cuántos elementos se devolverán en la respuesta.

Casos de uso

Agrega una limitación sobre la cantidad de resultados que se devolverán.

Fecha de ejecución

Esta acción se ejecuta en todas las entidades.

Resultados de la acción

Esta acción puede proporcionar los siguientes resultados.

Resultado de secuencia de comandos

Nombre del resultado de la secuencia de comandos	Opciones de valor	Ejemplo
correcto	Verdadero o falso	success:False

Resultado de JSON

[
    {
        "Target User Name": "user",
        "Attacker Address": "192.0.2.1",
        "External ID": "127",
        "Name": "A Kerberos authentication ticket (TGT) was requested.",
        "Target Address": "192.0.2.1"
    },{
        "Target User Name": "user",
        "Attacker Address": "192.0.2.1",
        "External ID": "127",
        "Name": "A Kerberos authentication ticket (TGT) was requested.",
        "Target Address": "192.0.2.1"
    }
]

Obtener informes

Obtén un informe con campos dinámicos. Un informe es un recurso de ArcSight que vincula datos de una consulta o tendencia a una plantilla de informe existente. Una vez que se ejecuta, los resultados de un informe se pueden ver en el panel del visor de las consolas de ArcSight, guardar (archivar) o exportar en una variedad de formatos. Los informes se pueden programar para que se ejecuten a intervalos regulares y se pueden ejecutar según demanda cuando sea necesario.

Parámetros

Nombre del parámetro	Tipo	Valor predeterminado	Es obligatorio	Descripción
Ruta completa del informe (URI)	String	N/A	Sí	Es el URI del informe pertinente.
Campo 2	String	N/A	No	Son los campos dinámicos de la consulta para generar el informe.
Campo 3	String	N/A	No	Son los campos dinámicos de la consulta para generar el informe.
Campo 4	String	N/A	No	Son los campos dinámicos de la consulta para generar el informe.
Campo 6	String	N/A	No	Son los campos dinámicos de la consulta para generar el informe.
Campo 6	String	N/A	No	Son los campos dinámicos de la consulta para generar el informe.
Campo 7	String	N/A	No	Son los campos dinámicos de la consulta para generar el informe.
Campo 8	String	N/A	No	Son los campos dinámicos de la consulta para generar el informe.
Campo 9	String	N/A	No	Son los campos dinámicos de la consulta para generar el informe.
Campo 10	String	N/A	No	Son los campos dinámicos de la consulta para generar el informe.

Fecha de ejecución

Esta acción se ejecuta en todas las entidades.

Resultados de la acción

Esta acción puede proporcionar los siguientes resultados.

Resultado de secuencia de comandos

Nombre del resultado de la secuencia de comandos	Opciones de valor	Ejemplo
json_report	N/A	N/A

Is Value in Activelist Column

Comprueba si un valor específico está en la lista activa .

Parámetros

Nombre del parámetro	Tipo	Valor predeterminado	Es obligatorio	Descripción
UUID de la lista activa	String	N/A	Sí	Es el UUID de la lista activa. Ejemplo: cuser.
Nombre de la columna	String	N/A	Sí	Es el nombre de la columna Ejemplo: sourceUserName.

Fecha de ejecución

Esta acción se ejecuta en todas las entidades.

Resultados de la acción

Esta acción puede proporcionar los siguientes resultados.

Resultado de secuencia de comandos

Nombre del resultado de la secuencia de comandos	Opciones de valor	Ejemplo
Success_Indicator	N/A	N/A

Ping

Prueba la conectividad.

Parámetros

Ninguno

Fecha de ejecución

Esta acción se ejecuta en todas las entidades.

Resultados de la acción

Esta acción puede proporcionar los siguientes resultados.

Resultado de secuencia de comandos

Nombre del resultado de la secuencia de comandos	Opciones de valor	Ejemplo
is_succeed	Verdadero o falso	is_succeed:False

Buscar

Puedes iniciar una búsqueda en el Centro de comandos de ArcSight desde el canal de eventos de la consola. La Búsqueda de eventos completada busca el atributo asociado, que se almacena en varios campos (por ejemplo, abc). La búsqueda de eventos busca un valor (por ejemplo, abc) almacenado en el campo especificado (por ejemplo, solo en el campo del nombre).

Parámetros

Nombre del parámetro	Tipo	Valor predeterminado	Es obligatorio	Descripción
Búsqueda	String	N/A	Sí	Es la búsqueda.
Cantidad máxima de elementos que se devolverán	Número entero	100	No	Especifica cuántos elementos se devolverán en la respuesta.

Casos de uso

Agrega una limitación sobre la cantidad de resultados que se devolverán.

Fecha de ejecución

Esta acción se ejecuta en todas las entidades.

Resultados de la acción

Esta acción puede proporcionar los siguientes resultados.

Resultado de secuencia de comandos

Nombre del resultado de la secuencia de comandos	Opciones de valor	Ejemplo
correcto	Verdadero o falso	success:False

Resultado de JSON

[
    {
        "score": 1.2440307,
        "uuid": "UUID",
        "uri": "/All_Fields/ArcSight_Foundation/Variables_Library/IPv6/Attacker_IPv6_Address",
        "name": "Attacker IPv6 Address"
    }, {
        "score": 1.2440307,
        "uuid": "UUID",
        "uri": "/All_Fields/ArcSight_Foundation/Variables_Library/IPv6/Attacker_IPv6_Address",
        "name": "Attacker IPv6 Address"
    }
]

Conectores

Para obtener más información sobre cómo configurar conectores en Google SecOps, consulta Ingiere tus datos (conectores).

Nota: Para evitar la pérdida de datos, los conectores utilizan el aplanamiento de eventos. Si una alerta sin procesar contiene una lista de entidades (como varias direcciones de correo electrónico, nombres de host o direcciones IP), los conectores las aplanan automáticamente en eventos únicos y separados.

Por ejemplo, una sola alerta sin procesar que contiene tres direcciones de correo electrónico diferentes se procesa como tres eventos separados, cada uno con una dirección de correo electrónico distinta.

Este proceso garantiza que cada entidad se indexe correctamente como un recurso único, lo que la hace totalmente apta para la búsqueda y la acción en los playbooks.

Conector de ArcSight ESM

En esta guía, se hace referencia a las versiones 6.9.1 y posteriores de ArcSight ESM.

Reenvío de casos o reglas del ESM a Google SecOps

Trabaja con correlaciones o reglas activadas

Deberás configurar ArcSight ESM para que reenvíe los objetos de correlación más recientes a Google SecOps mientras configuras Google SecOps para que funcione en ArcSight ESM como proveedor de SIEM y también para proporcionar acceso a la API de ArcSight ESM a través de un usuario autorizado.

Esta función permite que Google SecOps recupere las reglas activadas en ArcSight ESM casi en tiempo real y las reenvíe para que se traduzcan y contextualicen como alertas para los casos.

Flujo de datos entre Google SecOps y ArcSight ESM

Google SecOps indexa y contextualiza automáticamente las correlaciones que se reenviaron a Google SecOps y que se activaron en ArcSight ESM a través del módulo ArcSight Forwarding Connector y el acceso a la API.

Priorización de la gravedad del conector

El conector asigna la gravedad con los siguientes valores de prioridad:

• 1 y 2: Muy baja
• 3 y 4: Baja
• 5 y 6: Medio
• 7 y 8: Alta
• 9 y 10: Críticos

Entradas del conector

Usa los siguientes parámetros para configurar el conector:

Nombre del parámetro	Tipo	Valor predeterminado	Es obligatorio	Descripción
Entorno	DDL	N/A	Sí	Selecciona el entorno requerido, por ejemplo, Cliente uno. En caso de que el campo Entorno de la alerta esté vacío, esta alerta se insertará en este entorno.
Ejecutar cada	Número entero	0:0:0:10	No	Selecciona la hora en la que se ejecutará la conexión.
Nombre del campo del producto	String	device_product	No	Es el nombre del campo en el que se almacena el nombre del producto. El valor predeterminado es device_product. El nombre del producto afecta principalmente la asignación. Para optimizar y mejorar el proceso de asignación del conector, el valor predeterminado device_product se resuelve en un valor de resguardo al que se hace referencia desde el código. De forma predeterminada, cualquier entrada no válida para este parámetro se resuelve en un valor de resguardo.
Nombre del campo del evento	String	nombre	No	Es el nombre del campo que se usa para determinar el nombre del evento (subtipo).
Tiempo de espera de la secuencia de comandos (segundos)	String	500	No	Es el límite de tiempo de espera (en segundos) para el proceso de Python que ejecuta el script actual.
Dirección del servidor	String	N/A	Sí	https://{IP}:{PORT}
Nombre de usuario	String	N/A	Sí	Nombre de usuario de la cuenta de ArcSight.
Contraseña	Contraseña	N/A	Sí	Contraseña de la cuenta de ArcSight.
Límite de recuento de eventos	Número entero	15	Sí	Ingresa la cantidad máxima de eventos que se recuperarán por correlación. Limita la cantidad de eventos, por ejemplo, a 10.
Ruta de acceso a la carpeta de casos	String	I:\SiemShare\CorrelationSource	Sí	Ubicación de los archivos del caso, como I:\SiemShare\CorrelationSource Nota: El parámetro de ruta de la carpeta de casos puede cambiar de un cliente a otro. Es la ruta de acceso completa. Ejemplo: C:\Desktop\CorrelationSource
Límite de recuento de alertas	Número entero	10	Sí	Es la cantidad máxima de alertas que se procesarán por ciclo del conector, por ejemplo, 10.
Nombre del campo del entorno	String	event.customerURI	Sí	Nombre del campo para obtener el entorno del caso, por ejemplo, event.customerUri.
Campo de producto del dispositivo secundario	String	N/A	No	Reemplaza el campo del producto original (del DeviceProductField del conector con el valor del campo del producto secundario). Ejemplo: CustomDeviceString2
Nombres de los campos personalizados de la alerta	String	N/A	No	Extrae los valores de los campos personalizados de ArcSight en la alerta, como baseEventCount, agent_address y device_assetId.
Días de retención de archivos completados	Número entero	3	Sí	Cantidad de días que se conservará cada archivo CSV de DONE.
Días de retención de archivos de error	Número entero	14	Sí	Cantidad de días que se conservará cada archivo CSV de ERROR.
Dirección del servidor proxy	String	N/A	No	Es la dirección del servidor proxy que se usará.
Nombre de usuario del proxy	String	N/A	No	Nombre de usuario del proxy con el que se realizará la autenticación.
Contraseña de proxy	Contraseña	N/A	No	Es la contraseña del proxy con la que se realizará la autenticación.

Reglas del conector

El conector admite proxies.

ArcSight: conector de eventos de seguridad

Extrae correlaciones de ArcSight. Este conector es adecuado para la implementación de SaaS de Google SecOps y es el que se recomienda para el uso en producción.

Nota: La lista dinámica funciona con el parámetro name.

Este conector requiere que se completen los pasos previos.

Entradas del conector

Usa los siguientes parámetros para configurar el conector:

Nombre visible del parámetro	Tipo	Valor predeterminado	Es obligatorio	Descripción
Nombre del campo del producto	String	tipo	Sí	Es el nombre del campo en el que se almacena el nombre del producto. El valor predeterminado es type. El nombre del producto afecta principalmente la asignación. Para optimizar y mejorar el proceso de asignación del conector, el valor predeterminado type se resuelve en un valor de resguardo al que se hace referencia desde el código. De forma predeterminada, cualquier entrada no válida para este parámetro se resuelve en un valor de resguardo.
Nombre del campo del evento	String	nombre	Sí	Es el nombre del campo que determina el nombre del evento (subtipo).
Nombre del campo del entorno	String	""	No	Nombre del campo en el que se almacena el nombre del entorno. Si falta el campo environment, el conector usa el valor predeterminado.
Environment Regex Pattern	String	.*	FALSO	No	Es un patrón de expresión regular que se ejecutará en el valor que se encuentra en el campo Environment Field Name. Este parámetro te permite manipular el campo del entorno con la lógica de expresiones regulares. Usa el valor predeterminado .* para recuperar el valor Environment Field Name sin procesar requerido. Si el patrón de expresión regular es nulo o está vacío, o si el valor del entorno es nulo, el resultado final del entorno es el entorno predeterminado.
Tiempo de espera de la secuencia de comandos (segundos)	Número entero	360	Sí	Es el límite de tiempo de espera, en segundos, para el proceso de Python que ejecuta la secuencia de comandos actual.
Raíz de la API	String	https://{ip}	Sí	Es la raíz de la API de la instancia de ArcSight.
Nombre de usuario	String	N/A	Sí	Nombre de usuario de la cuenta de ArcSight.
Contraseña	Contraseña	N/A	Sí	Contraseña de la cuenta de ArcSight.
Nombre del informe	String	N/A	Sí	Nombre del informe que se usará para recuperar eventos.
Recupera eventos básicos	Casilla de verificación	Marcado	Sí	Si está habilitado, el conector también recuperará los eventos básicos.
Prioridad más baja para recuperar	Número entero	N/A	No	Es la prioridad más baja que se usará para recuperar eventos. Los valores posibles están en el rango de 1 a 10. Si no se proporciona nada, se transferirán todos los eventos.
Cantidad máxima de eventos para recuperar	Número entero	100	No	Es la cantidad de alertas que se procesarán por iteración del conector. El valor máximo permitido es 1,000.
Cómo usar la lista dinámica como lista de bloqueo	Casilla de verificación	Marcado	Sí	Si se selecciona esta opción, el conector usa la lista dinámica como una lista de bloqueo.
Verificar SSL	Casilla de verificación	Desmarcado	Sí	Si se selecciona esta opción, la integración valida el certificado SSL cuando se conecta al servidor de ArcSight.
Dirección del servidor proxy	String	N/A	No	Es la dirección del servidor proxy que se usará.
Nombre de usuario del proxy	String	N/A	No	Nombre de usuario del proxy con el que se realizará la autenticación.
Contraseña de proxy	Contraseña		No	Es la contraseña del proxy con la que se realizará la autenticación.

Reglas del conector

El conector admite proxies.

Trabajos

Para obtener más información sobre los trabajos, consulta Configura un trabajo nuevo y Programación avanzada.

Cerrar casos

El trabajo requiere los siguientes parámetros:

Nombre del parámetro	Tipo	Valor predeterminado	Es obligatorio	Descripción
Dirección del servidor	String	192.0.2.1	Sí	N/A
Nombre de usuario	String	N/A	Sí	N/A
Contraseña	Contraseña	N/A	Sí	N/A

¿Necesitas más ayuda? Obtén respuestas de miembros de la comunidad y profesionales de Google SecOps.