Integra ArcSight con Google SecOps

En este documento, se describe cómo integrar ArcSight en Google Security Operations.

Nota: Esta integración usa uno o más componentes de código abierto. Puedes descargar una copia del código fuente completo de esta integración desde el bucket de almacenamiento.

Antes de comenzar

Antes de configurar la integración de ArcSight ESM en Google SecOps, verifica que tu entorno cumpla con los requisitos de conexión y permisos para tus conectores, trabajos y acciones.

Para preparar tu entorno para la integración, completa los siguientes requisitos previos:

1. Verifica los requisitos de integración básicos para establecer la línea de visión de la red y la autenticación programática.

2. Para transferir eventos de seguridad o casos de correlación a Google SecOps, configura los requisitos específicos del conector.

3. Para otorgar privilegios detallados para la administración de casos y la automatización de guías, configura los requisitos específicos de trabajos y acciones.

4. Revisa el flujo de trabajo de configuración para comprender la secuencia de aprovisionamiento en ArcSight ESM y Google SecOps.

Requisitos básicos para la integración

La integración base establece la conexión HTTPS principal y la sesión de autenticación que se usan en todas las acciones, los conectores y los trabajos de Google SecOps.

Configura los siguientes requisitos básicos en tu entorno:

1. Línea de visión de la red: Habilita la comunicación HTTPS desde tu instancia de Google SecOps o agente remoto al servidor de ArcSight ESM en el puerto de administración (predeterminado: 8443/TCP).

2. Acceso a la API de REST: Verifica el acceso directo a los servicios de REST de ArcSight ESM ubicados en https://<esm-host>:8443/www/manager-service/rest/ y https://<esm-host>:8443/www/core-service/rest/, como se describe en la Guía de la API de servicios web de REST de ArcSight ESM.

3. Confianza de SSL/TLS: Proporciona un archivo de certificado de CA raíz y de CA intermedia PEM codificado en Base64 si tu implementación de ArcSight ESM usa una autoridad certificadora privada o autofirmada.

4. Propiedades de la cuenta de servicio: Crea una cuenta de servicio de ArcSight dedicada con el tipo de usuario Web User (se recomienda para evitar consumir una licencia de puesto de consola interactiva) o Normal User, y asegúrate de que Login Enabled esté configurado como activo.

   Para conocer los procedimientos de administración de usuarios, consulta la sección "Administración de usuarios" de la Guía del administrador de ArcSight ESM.

5. Membresía de grupo base: Asigna el usuario de servicio a un grupo de usuarios dedicado (por ejemplo, SecOps_Integration_Group) para administrar de forma centralizada todos los privilegios de operaciones descendentes, las LCA de recursos y los filtros de eventos.

   Para conocer los procedimientos de configuración de grupos, consulta la sección "Administración de grupos de usuarios" de la Guía del administrador de ArcSight ESM.

Requisitos específicos del conector

Los conectores de transferencia extraen alertas y eventos de seguridad a Google SecOps y requieren permisos operativos y de alcance de datos especializados más allá de la integración base.

Configura los requisitos previos correspondientes al conector de transferencia que elegiste:

1. Asignación de filtros de eventos: Asigna un filtro de eventos (como All Events o un filtro de organización con alcance) al grupo de usuarios de integración para definir el alcance de los datos de los eventos de seguridad que pueden recuperar los conectores.

   Para obtener instrucciones sobre cómo configurar filtros de eventos a nivel de grupo, consulta la Guía del administrador de ArcSight ESM.

2. ArcSight - Security Events Connector: Otorga privilegios de operaciones Security Events: Inspect, Reports: Inspect y Reports: Execute, y asigna permisos de LCA Read y Execute en el recurso de informe específico en ArcSight que exporta eventos de correlación.

   Para conocer los procedimientos de LCA de recursos, consulta la sección "Administra el control de acceso en los recursos" de la Guía del usuario de ArcSight ESM Console.

3. Conector de ArcSight ESM: Otorga privilegios de operaciones Security Events: Inspect y Cases: Inspect, y asigna permisos de ACL Read en las carpetas de casos de destino y los recursos de correlación de acuerdo con la Guía del usuario de la consola de ArcSight ESM.

Requisitos específicos de trabajos y acciones

Los trabajos programados y las acciones de las guías heredan la conexión de integración base y requieren privilegios de operaciones detallados y permisos de LCA a nivel de objeto, según los recursos específicos de ArcSight con los que interactúan.

Otorga privilegios y LCA según las capacidades de integración que implementes:

1. Habilitación de acciones: Las acciones de la guía no requieren una configuración de conexión independiente en Google SecOps. Si otorgas los privilegios de operaciones y las LCA de recursos requeridos al grupo de cuentas de servicio en ArcSight, se habilitarán de inmediato para el uso de la guía.

2. Trabajo de cierre de casos: Otorga privilegios de operaciones Cases: Inspect y Cases: Edit, y asigna permisos de ACL Read y Modify en las carpetas de casos de destino, como se describe en la Guía del usuario de la consola de ArcSight ESM.

3. Acciones de lista activa: Otorga privilegios de operaciones Active Lists: Inspect y Active Lists: Edit Content (o Active Lists: Edit) y asigna permisos de LCA Read y Write en las listas activas específicas a las que se dirigen los parámetros de acción de tu guía.

4. Acciones de administración de casos: Otorga privilegios de operaciones Cases: Inspect y Cases: Edit, y asigna permisos de LCA Read y Modify en las carpetas de casos de destino.

5. Acciones de consulta y búsqueda: Otorga privilegios de operaciones Query Viewers: Inspect y Query Viewers: Execute, y asigna permisos de ACL Read y Execute en los visualizadores de consultas de destino.

6. Acciones de informes: Otorga privilegios de operaciones Reports: Inspect y Reports: Execute, y asigna permisos de LCA Read y Execute en los informes de destino.

Asignación de permisos de componentes

En la siguiente tabla, se describen los privilegios de operaciones mínimos requeridos y las ACL de recursos para cada tipo de componente de integración.

Revisa la siguiente tabla para comprender los requisitos de permisos:

1. Sesión base: La integración base solo requiere credenciales de acceso válidas y derechos de usuario autenticado predeterminados.

2. Conectores de transferencia: Los conectores requieren derechos de filtrado de eventos, privilegios de inspección de eventos y acceso de lectura a informes o casos.

3. Trabajos y acciones: Las acciones de la guía y los trabajos de sincronización requieren privilegios de tareas funcionales y permisos de ACL en los recursos específicos a los que se accede, configurados con la Guía del usuario de ArcSight ESM Console.

Tipo de componente	Nombre del componente	Servicio de API	Privilegios de operaciones obligatorios	ACL de recursos obligatorias
Integración básica	Conexión y autenticación básicas	LoginService	Privilegios predeterminados de los usuarios autenticados	Ninguno
Conector	ArcSight: Conector de eventos de seguridad	SecurityEventService, ReportService	Security Events: Inspect, Reports: Inspect, Reports: Execute	Read y Execute en el recurso de informe de destino
Conector	Conector de ArcSight ESM	SecurityEventService, CaseService	Security Events: Inspect, Cases: Inspect	Read en las carpetas de casos de destino y los objetos de correlación
Job	Trabajo de cierre de casos	CaseService	Cases: Inspect, Cases: Edit	Read y Modify en las carpetas de casos de destino
Acción	Acciones de lista activa (Agregar entidades, Agregar entradas, Obtener entradas, Verificar valor)	ActiveListService	Active Lists: Inspect, Active Lists: Edit Content (o Active Lists: Edit)	Read y Write en las listas activas de segmentación
Acción	Acción Cambiar etapa del caso	CaseService	Cases: Inspect, Cases: Edit	Read y Modify en las carpetas de casos de destino
Acción	Acciones de consulta y búsqueda (Get Query Results, Search)	QueryViewerService, SearchService	Query Viewers: Inspect, Query Viewers: Execute	Read y Execute en los usuarios que realizan consultas segmentadas
Acción	Acción para obtener un informe	ReportService	Reports: Inspect, Reports: Execute	Read y Execute en los informes de objetivos
Acción	Acción de enumerar recursos	ActiveListService, CaseService, QueryViewerService, ReportService	Privilegio Inspect para cada tipo de recurso habilitado	Read en las carpetas de recursos de destino

Flujo de trabajo de configuración

Sigue este flujo de trabajo de varias fases para aprovisionar permisos en ArcSight ESM y activar los componentes seleccionados en Google SecOps.

Completa los pasos de configuración en la siguiente secuencia:

1. Aprovisionamiento de cuentas de servicio y grupos de ArcSight: Crea el usuario de servicio dedicado en ArcSight ESM, crea un grupo de usuarios dedicado, asigna el usuario de servicio al grupo y aplica un filtro de eventos para definir la visibilidad de los datos como se detalla en la Guía del administrador de ArcSight ESM.

2. Asigna privilegios y LCA para los componentes elegidos: Compara datos mediante referencia cruzada tus conectores, trabajos y acciones planificados con la tabla de asignación de permisos de componentes, otorga los privilegios de operaciones correspondientes al grupo de usuarios y asigna LCA a nivel de objeto (como Read/Write en listas activas o Read/Execute en informes) en las carpetas de recursos de destino específicas en la Guía del usuario de la consola de ArcSight ESM.

3. Configura en Google SecOps: Configura la integración base, los conectores de transferencia, los trabajos programados y las acciones de la guía en Google SecOps como se describe en las siguientes secciones.

Parámetros de integración

Usa los siguientes parámetros para configurar la integración:

Nombre del parámetro	Tipo	Valor predeterminado	Es obligatorio	Descripción
Nombre de la instancia	String	N/A	No	Es el nombre de la instancia para la que deseas configurar la integración.
Descripción	String	N/A	No	Es la descripción de la instancia.
Raíz de la API	String	https://{IP}:{PORT}	Sí	Es la dirección del servidor de la instancia de ArcSight.
Nombre de usuario	String	N/A	Sí	Nombre de usuario de la cuenta de ArcSight.
Contraseña	Contraseña	N/A	Sí	Contraseña de la cuenta de ArcSight.
Ejecuta de forma remota	Casilla de verificación	Desmarcado	No	Marca el campo para ejecutar la integración configurada de forma remota. Una vez que se marca, aparece la opción para seleccionar el usuario remoto (agente).

Para obtener instrucciones sobre cómo configurar una integración en Google SecOps, consulta Configura integraciones.

Si es necesario, puedes realizar cambios más adelante. Después de configurar una instancia de integración, puedes usarla en las guías. Para obtener más información sobre cómo configurar y admitir varias instancias, consulta Cómo admitir varias instancias.

Acciones

Para obtener más información sobre las acciones, consulta Responde a las acciones pendientes desde tu escritorio y Ejecuta una acción manual en tu caso.

Agrega entradas a la lista activa

Proporciona un mecanismo para obtener información de las tendencias fuera de los informes y, además, de ellos. Las listas activas actualizadas por tendencias admiten vistas de resumen de información de varias tendencias.

Parámetros

Nombre del parámetro	Tipo	Valor predeterminado	Es obligatorio	Descripción
Columnas	String	N/A	Sí	Ejemplo: Message;Username
Entradas	String	N/A	Sí	Ejemplo: test1|Me1;Test|Me2
UUID de la lista activa	String	N/A	Sí	Ejemplo: HCN75QGABABCZXCOdT9P51w==

Fecha de ejecución

Esta acción se ejecuta en todas las entidades.

Resultados de la acción

Esta acción puede proporcionar los siguientes resultados.

Resultado de secuencia de comandos

Nombre del resultado de la secuencia de comandos	Opciones de valor	Ejemplo
is_succeed	Verdadero o falso	is_succeed:False

Cambiar etapa del caso

Cambiar la etapa de un caso Las etapas válidas son INITIAL, QUEUED, CLOSED, FINAL y FOLLOW_UP.

Parámetros

Nombre del parámetro	Tipo	Valor predeterminado	Es obligatorio	Descripción
Nombre del caso	String	N/A	Sí	Es el nombre del caso que se actualizará.
Etapa	String	N/A	Sí	Es la etapa del caso. Ejemplo: CLOSED, INITIAL

Fecha de ejecución

Esta acción se ejecuta en todas las entidades.

Resultados de la acción

Esta acción puede proporcionar los siguientes resultados.

Resultado de secuencia de comandos

Nombre del resultado de la secuencia de comandos	Opciones de valor	Ejemplo
correcto	Verdadero o falso	success:False

Obtener entradas de Activelist

Recupera las entradas de la lista activa de ArcSight y devuelve el resultado en formato CSV.

Parámetros

Nombre del parámetro	Tipo	Valor predeterminado	Es obligatorio	Descripción
UUID de la lista activa	String	N/A	Sí	Ejemplo: HTcILQWABABCr553ieI0Xmw==

Fecha de ejecución

Esta acción se ejecuta en todas las entidades.

Resultados de la acción

Esta acción puede proporcionar los siguientes resultados.

Resultado de secuencia de comandos

Nombre del resultado de la secuencia de comandos	Opciones de valor	Ejemplo
Success_Indicator	N/A	N/A

Resultado de JSON

[
"12346e4d96f0a72c42015d69aaf0e8ab ,
 file.txt",
 "0e0776034e5e096704cd28cbd40cdbb5 ,
 Test.config"
]

Obtén los resultados de la consulta

Obtener los resultados de la consulta por ID de consulta Se puede usar una consulta como la fuente de datos principal para un informe o una tendencia (basada en una consulta) que se puede usar como la fuente de datos para otra consulta que refine aún más el resultado de la consulta inicial.

Parámetros

Nombre del parámetro	Tipo	Valor predeterminado	Es obligatorio	Descripción
ID de la consulta	String	N/A	Sí	Es el ID de la consulta.
Cantidad máxima de elementos que se mostrarán	Número entero	100	No	Especifica cuántos elementos se deben mostrar en la respuesta.

Casos de uso

Agrega una limitación para la cantidad de resultados que se mostrarán.

Fecha de ejecución

Esta acción se ejecuta en todas las entidades.

Resultados de la acción

Esta acción puede proporcionar los siguientes resultados.

Resultado de secuencia de comandos

Nombre del resultado de la secuencia de comandos	Opciones de valor	Ejemplo
correcto	Verdadero o falso	success:False

Resultado de JSON

[
    {
        "Target User Name": "user",
        "Attacker Address": "192.0.2.1",
        "External ID": "127",
        "Name": "A Kerberos authentication ticket (TGT) was requested.",
        "Target Address": "192.0.2.1"
    },{
        "Target User Name": "user",
        "Attacker Address": "192.0.2.1",
        "External ID": "127",
        "Name": "A Kerberos authentication ticket (TGT) was requested.",
        "Target Address": "192.0.2.1"
    }
]

Obtener informes

Obtener un informe con campos dinámicos Un informe es un recurso de ArcSight que vincula los datos de una consulta o tendencia con una plantilla de informe existente. Una vez que se ejecuta, los resultados de un informe se pueden ver en el panel de visualización de las consolas de ArcSight, guardarse (archivarse) o exportarse en una variedad de formatos. Los informes se pueden programar para que se ejecuten a intervalos regulares y se pueden ejecutar a pedido, según sea necesario.

Parámetros

Nombre del parámetro	Tipo	Valor predeterminado	Es obligatorio	Descripción
Ruta de acceso completa del informe (URI)	String	N/A	Sí	Es el URI del informe relevante.
Campo 2	String	N/A	No	Son los campos dinámicos de la consulta para generar el informe.
Campo 3	String	N/A	No	Son los campos dinámicos de la consulta para generar el informe.
Campo 4	String	N/A	No	Son los campos dinámicos de la consulta para generar el informe.
Campo 6	String	N/A	No	Son los campos dinámicos de la consulta para generar el informe.
Campo 6	String	N/A	No	Son los campos dinámicos de la consulta para generar el informe.
Campo 7	String	N/A	No	Son los campos dinámicos de la consulta para generar el informe.
Campo 8	String	N/A	No	Son los campos dinámicos de la consulta para generar el informe.
Campo 9	String	N/A	No	Son los campos dinámicos de la consulta para generar el informe.
Campo 10	String	N/A	No	Son los campos dinámicos de la consulta para generar el informe.

Fecha de ejecución

Esta acción se ejecuta en todas las entidades.

Resultados de la acción

Esta acción puede proporcionar los siguientes resultados.

Resultado de secuencia de comandos

Nombre del resultado de la secuencia de comandos	Opciones de valor	Ejemplo
json_report	N/A	N/A

Is Value in Activelist Column

Verifica si un valor específico está en la lista activa .

Parámetros

Nombre del parámetro	Tipo	Valor predeterminado	Es obligatorio	Descripción
UUID de la lista activa	String	N/A	Sí	UUID de la lista activa. Ejemplo: cuser.
Nombre de la columna	String	N/A	Sí	Es el nombre de la columna Ejemplo: sourceUserName.

Fecha de ejecución

Esta acción se ejecuta en todas las entidades.

Resultados de la acción

Esta acción puede proporcionar los siguientes resultados.

Resultado de secuencia de comandos

Nombre del resultado de la secuencia de comandos	Opciones de valor	Ejemplo
Success_Indicator	N/A	N/A

Ping

Prueba la conectividad.

Parámetros

Ninguno

Fecha de ejecución

Esta acción se ejecuta en todas las entidades.

Resultados de la acción

Esta acción puede proporcionar los siguientes resultados.

Resultado de secuencia de comandos

Nombre del resultado de la secuencia de comandos	Opciones de valor	Ejemplo
is_succeed	Verdadero o falso	is_succeed:False

Buscar

Puedes iniciar una búsqueda en ArcSight Command Center desde el canal de eventos de la consola. La búsqueda de eventos completa busca el atributo asociado, que se almacena en varios campos (por ejemplo, abc). La búsqueda de eventos busca un valor (por ejemplo, abc) almacenado en el campo especificado (por ejemplo, solo en el campo de nombre).

Parámetros

Nombre del parámetro	Tipo	Valor predeterminado	Es obligatorio	Descripción
Búsqueda	String	N/A	Sí	Es la búsqueda.
Cantidad máxima de elementos que se mostrarán	Número entero	100	No	Especifica cuántos elementos se deben mostrar en la respuesta.

Casos de uso

Agrega una limitación para la cantidad de resultados que se mostrarán.

Fecha de ejecución

Esta acción se ejecuta en todas las entidades.

Resultados de la acción

Esta acción puede proporcionar los siguientes resultados.

Resultado de secuencia de comandos

Nombre del resultado de la secuencia de comandos	Opciones de valor	Ejemplo
correcto	Verdadero o falso	success:False

Resultado de JSON

[
    {
        "score": 1.2440307,
        "uuid": "UUID",
        "uri": "/All_Fields/ArcSight_Foundation/Variables_Library/IPv6/Attacker_IPv6_Address",
        "name": "Attacker IPv6 Address"
    }, {
        "score": 1.2440307,
        "uuid": "UUID",
        "uri": "/All_Fields/ArcSight_Foundation/Variables_Library/IPv6/Attacker_IPv6_Address",
        "name": "Attacker IPv6 Address"
    }
]

Conectores

Para obtener más información sobre cómo configurar conectores en Google SecOps, consulta Transferir tus datos (conectores).

Nota: Para evitar la pérdida de datos, los conectores utilizan la unificación de eventos. Si una alerta sin procesar contiene una lista de entidades (como varias direcciones de correo electrónico, nombres de host o direcciones IP), los conectores las aplanan automáticamente en eventos independientes y únicos.

Por ejemplo, una sola alerta sin procesar que contiene tres direcciones de correo electrónico diferentes se transfiere como tres eventos separados, cada uno con una dirección de correo electrónico distinta.

Este proceso garantiza que cada entidad se indexe correctamente como un recurso único, lo que hace que se pueda buscar y que se puedan realizar acciones en las guías.

Conector de ArcSight ESM

Esta guía hace referencia a las versiones 6.9.1 y posteriores de ArcSight ESM.

Regla de ESM o reenvío de casos a Google SecOps

Cómo trabajar con reglas y correlaciones activadas

Se te pedirá que configures ArcSight ESM para que reenvíe los objetos de correlación más recientes a Google SecOps mientras configuras Google SecOps para que funcione en ArcSight ESM como proveedor de SIEM y que proporciones acceso a la API a ArcSight ESM a través de un usuario autorizado.

Esta función permite que Google SecOps recupere cualquier regla activada en ArcSight ESM casi en tiempo real y las reenvíe para que se traduzcan y contextualicen como alertas para los casos.

Flujo de datos entre Google SecOps y ArcSight ESM

Google SecOps indexa y contextualiza automáticamente las correlaciones que se reenviaron a Google SecOps y se activaron en ArcSight ESM a través del módulo ArcSight Forwarding Connector y el acceso a la API.

Priorización de la gravedad del conector

El conector asigna la gravedad con los siguientes valores de priorización:

• 1 y 2: Muy baja
• 3 y 4: bajo
• 5 y 6: medio
• 7 y 8: Alto
• 9 y 10: Crítico

Entradas del conector

Usa los siguientes parámetros para configurar el conector:

Nombre del parámetro	Tipo	Valor predeterminado	Es obligatorio	Descripción
Entorno	DDL	N/A	Sí	Selecciona el entorno requerido, por ejemplo, Customer One. En caso de que el campo Environment de la alerta esté vacío, esta se insertará en este entorno.
Ejecutar cada	Número entero	0:0:0:10	No	Selecciona la hora para ejecutar la conexión.
Nombre del campo del producto	String	device_product	No	Es el nombre del campo en el que se almacena el nombre del producto. El valor predeterminado es device_product. El nombre del producto afecta principalmente la asignación. Para optimizar y mejorar el proceso de asignación del conector, el valor predeterminado device_product se resuelve en un valor de resguardo al que se hace referencia desde el código. Cualquier entrada no válida para este parámetro se resuelve en un valor de resguardo de forma predeterminada.
Nombre del campo del evento	String	nombre	No	Es el nombre del campo que se usa para determinar el nombre del evento (subtipo).
Tiempo de espera de la secuencia de comandos (segundos)	String	500	No	Es el límite de tiempo de espera (en segundos) para el proceso de Python que ejecuta la secuencia de comandos actual.
Dirección del servidor	String	N/A	Sí	https://{IP}:{PORT}
Nombre de usuario	String	N/A	Sí	Nombre de usuario de la cuenta de ArcSight.
Contraseña	Contraseña	N/A	Sí	Es la contraseña de la cuenta de ArcSight.
Límite de recuento de eventos	Número entero	15	Sí	Ingresa la cantidad máxima de eventos que se recuperarán por correlación. Limita la cantidad de eventos, por ejemplo, a 10.
Ruta de acceso a la carpeta de casos	String	I:\SiemShare\CorrelationSource	Sí	La ubicación de los archivos del caso, como I:\SiemShare\CorrelationSource Nota: El parámetro de ruta de la carpeta de casos puede cambiar de un cliente a otro. Ruta de acceso completa. Ejemplo: C:\Desktop\CorrelationSource
Límite de recuento de alertas	Número entero	10	Sí	Es la cantidad máxima de alertas que se procesarán por ciclo del conector, por ejemplo, 10.
Nombre del campo del entorno	String	event.customerURI	Sí	Es el nombre del campo para obtener el entorno del caso, por ejemplo, event.customerUri.
Campo de producto del dispositivo secundario	String	N/A	No	Reemplaza el campo de producto original (del DeviceProductField del conector por el valor del campo de producto secundario). Ejemplo: CustomDeviceString2
Nombres de los campos personalizados de la alerta	String	N/A	No	Extrae valores de campos personalizados de ArcSight a la alerta, como baseEventCount, agent_address y device_assetId.
Días de retención de archivos completados	Número entero	3	Sí	La cantidad de días que se conservará cada archivo CSV DONE.
Días de retención de archivos de error	Número entero	14	Sí	La cantidad de días que se conservará cada archivo CSV de ERROR.
Dirección del servidor proxy	String	N/A	No	Es la dirección del servidor proxy que se usará.
Nombre de usuario del proxy	String	N/A	No	Es el nombre de usuario del proxy con el que se autenticará.
Contraseña del proxy	Contraseña	N/A	No	Es la contraseña del proxy con la que se realizará la autenticación.

Reglas del conector

El conector admite proxies.

ArcSight: Conector de eventos de seguridad

Extrae correlaciones de ArcSight. Este conector es adecuado para la implementación de SaaS de Google SecOps y es el recomendado para su uso en producción.

Nota: La lista dinámica funciona con el parámetro name.

Este conector requiere que se completen los pasos de requisitos previos.

Entradas del conector

Usa los siguientes parámetros para configurar el conector:

Nombre visible del parámetro	Tipo	Valor predeterminado	Es obligatorio	Descripción
Nombre del campo del producto	String	tipo	Sí	Es el nombre del campo en el que se almacena el nombre del producto. El valor predeterminado es type. El nombre del producto afecta principalmente la asignación. Para optimizar y mejorar el proceso de asignación del conector, el valor predeterminado type se resuelve en un valor de resguardo al que se hace referencia desde el código. Cualquier entrada no válida para este parámetro se resuelve en un valor de resguardo de forma predeterminada.
Nombre del campo del evento	String	nombre	Sí	Es el nombre del campo que determina el nombre del evento (subtipo).
Nombre del campo del entorno	String	""	No	Es el nombre del campo en el que se almacena el nombre del entorno. Si falta el campo environment, el conector usa el valor predeterminado.
Environment Regex Pattern	String	.*	FALSO	No	Es un patrón de expresión regular que se ejecuta en el valor que se encuentra en el campo Environment Field Name. Este parámetro te permite manipular el campo de entorno con la lógica de expresiones regulares. Usa el valor predeterminado .* para recuperar el valor sin procesar de Environment Field Name requerido. Si el patrón de expresión regular es nulo o está vacío, o si el valor del entorno es nulo, el resultado final del entorno es el entorno predeterminado.
Tiempo de espera de la secuencia de comandos (segundos)	Número entero	360	Sí	Es el límite de tiempo de espera, en segundos, para el proceso de Python que ejecuta la secuencia de comandos actual.
Raíz de la API	String	https://{ip}	Sí	La raíz de la API de la instancia de ArcSight.
Nombre de usuario	String	N/A	Sí	Nombre de usuario de la cuenta de ArcSight.
Contraseña	Contraseña	N/A	Sí	Contraseña de la cuenta de ArcSight.
Nombre del informe	String	N/A	Sí	Es el nombre del informe que se usará para recuperar los eventos.
Recupera eventos base	Casilla de verificación	Marcado	Sí	Si está habilitado, el conector también recuperará los eventos base.
Prioridad más baja para recuperar	Número entero	N/A	No	Es la prioridad más baja que se usará para recuperar eventos. Los valores posibles están en el rango de 1 a 10. Si no se proporciona nada, se transferirán todos los eventos.
Cantidad máxima de eventos que se recuperarán	Número entero	100	No	Es la cantidad de alertas que se procesarán por iteración del conector. La cantidad máxima permitida es 1,000.
Usa la lista dinámica como una lista de entidades bloqueadas	Casilla de verificación	Marcado	Sí	Si se selecciona, el conector usa la lista dinámica como una lista de entidades bloqueadas.
Verificar SSL	Casilla de verificación	Desmarcado	Sí	Si se selecciona, la integración valida el certificado SSL cuando se conecta al servidor de ArcSight.
Dirección del servidor proxy	String	N/A	No	Es la dirección del servidor proxy que se usará.
Nombre de usuario del proxy	String	N/A	No	Es el nombre de usuario del proxy con el que se autenticará.
Contraseña del proxy	Contraseña		No	Es la contraseña del proxy con la que se realizará la autenticación.

Reglas del conector

El conector admite proxies.

Trabajos

Para obtener más información sobre los trabajos, consulta Configura un trabajo nuevo y Programación avanzada.

Cerrar casos

El trabajo requiere los siguientes parámetros:

Nombre del parámetro	Tipo	Valor predeterminado	Es obligatorio	Descripción
Dirección del servidor	String	192.0.2.1	Sí	N/A
Nombre de usuario	String	N/A	Sí	N/A
Contraseña	Contraseña	N/A	Sí	N/A

¿Necesitas más ayuda? Obtén respuestas de miembros de la comunidad y profesionales de Google SecOps.