Intégrer ArcSight à Google SecOps

Ce document explique comment intégrer ArcSight à Google Security Operations.

Remarque : Cette intégration utilise un ou plusieurs composants Open Source. Vous pouvez télécharger une copie du code source complet de cette intégration à partir du bucket de stockage.

Avant de commencer

Avant de configurer l'intégration d'ArcSight ESM dans Google SecOps, vérifiez que votre environnement répond aux exigences de connexion et d'autorisation pour vos connecteurs, jobs et actions.

Pour préparer votre environnement à l'intégration, remplissez les conditions préalables suivantes :

1. Vérifiez les exigences d'intégration de base pour établir la visibilité du réseau et l'authentification programmatique.

2. Pour ingérer des événements liés à la sécurité ou des cas de corrélation dans Google SecOps, configurez les exigences spécifiques au connecteur.

3. Pour accorder des droits précis pour la gestion des demandes et l'automatisation des playbooks, configurez les exigences spécifiques aux jobs et aux actions.

4. Examinez le workflow de configuration pour comprendre la séquence de provisionnement dans ArcSight ESM et Google SecOps.

Exigences d'intégration de base

L'intégration de base établit la connexion HTTPS principale et la session d'authentification utilisées pour l'ensemble des actions, connecteurs et jobs Google SecOps.

Configurez les exigences fondamentales suivantes dans votre environnement :

1. Visibilité réseau : activez la communication HTTPS depuis votre instance Google SecOps ou votre agent distant vers le serveur ArcSight ESM sur le port de gestion (par défaut : 8443/TCP).

2. Accès à l'API REST : vérifiez l'accès direct aux services REST ArcSight ESM situés sur https://<esm-host>:8443/www/manager-service/rest/ et https://<esm-host>:8443/www/core-service/rest/, comme décrit dans le guide de l'API des services Web REST ArcSight ESM.

3. Confiance SSL/TLS : fournissez un fichier de certificat CA racine et intermédiaire PEM encodé en Base64 si votre déploiement ArcSight ESM utilise une autorité de certification privée ou autosignée.

4. Propriétés du compte de service : créez un compte de service ArcSight dédié avec le type d'utilisateur Web User (recommandé pour éviter d'utiliser une licence de siège de console interactive) ou Normal User, et assurez-vous que Login Enabled est défini sur "actif".

   Pour connaître les procédures d'administration des utilisateurs, consultez la section "Managing Users" (Gérer les utilisateurs) du guide de l'administrateur ArcSight ESM.

5. Appartenance à un groupe de base : attribuez l'utilisateur de service à un groupe d'utilisateurs dédié (par exemple, SecOps_Integration_Group) pour gérer de manière centralisée tous les droits d'accès aux opérations en aval, les LCA des ressources et les filtres d'événements.

   Pour connaître les procédures de configuration des groupes, consultez la section "Managing User Groups" (Gérer les groupes d'utilisateurs) du guide de l'administrateur ArcSight ESM.

Exigences spécifiques au connecteur

Les connecteurs d'ingestion extraient les alertes et les événements liés à la sécurité dans Google SecOps. Ils nécessitent un champ d'application des données et des autorisations opérationnelles spécialisés, au-delà de l'intégration de base.

Configurez les conditions préalables correspondant au connecteur d'ingestion que vous avez choisi :

1. Attribution d'un filtre d'événements : attribuez un filtre d'événements (tel que All Events ou un filtre organisationnel limité) au groupe d'utilisateurs de l'intégration pour définir le champ d'application des données des événements liés à la sécurité que les connecteurs peuvent récupérer.

   Pour savoir comment configurer des filtres d'événements au niveau du groupe, consultez le guide de l'administrateur ArcSight ESM.

2. ArcSight – Connecteur d'événements de sécurité : accordez les droits d'opération Security Events: Inspect, Reports: Inspect et Reports: Execute, et attribuez les autorisations de LCA Read et Execute sur la ressource de rapport spécifique dans ArcSight qui exporte les événements de corrélation.

   Pour connaître les procédures de LCA des ressources, consultez la section "Managing Access Control on Resources" (Gérer le contrôle des accès sur les ressources) du guide de l'utilisateur de la console ArcSight ESM.

3. Connecteur ArcSight ESM : accordez des droits d'accès aux opérations Security Events: Inspect et Cases: Inspect, et attribuez des autorisations de LCA Read sur les dossiers de cas cibles et les ressources de corrélation conformément au guide de l'utilisateur de la console ArcSight ESM.

Exigences spécifiques aux jobs et aux actions

Les jobs planifiés et les actions de playbook héritent de la connexion d'intégration de base et nécessitent des droits d'opération précis et des autorisations de LCA au niveau de l'objet, en fonction des ressources ArcSight spécifiques avec lesquelles ils interagissent.

Accordez des droits et des LCA en fonction des fonctionnalités d'intégration que vous déployez :

1. Activation des actions : les actions du playbook ne nécessitent pas de configuration de connexion distincte dans Google SecOps. En accordant au groupe de comptes de service dans ArcSight les droits d'exploitation et les LCA de ressources requis, vous les activez immédiatement pour une utilisation dans les playbooks.

2. Tâche de fermeture des cas : accordez des droits d'accès aux opérations Cases: Inspect et Cases: Edit, puis attribuez des autorisations de LCA Read et Modify sur les dossiers de cas cibles, comme indiqué dans le guide de l'utilisateur de la console ArcSight ESM.

3. Actions sur les listes actives : accordez des droits d'opération Active Lists: Inspect et Active Lists: Edit Content (ou Active Lists: Edit), et attribuez des autorisations de LCA Read et Write sur les listes actives spécifiques ciblées par les paramètres d'action de votre playbook.

4. Actions de gestion des cas : accordez des droits d'opération Cases: Inspect et Cases: Edit, et attribuez des autorisations de LCA Read et Modify sur les dossiers de cas cibles.

5. Actions de requête et de recherche : accordez des droits d'opération Query Viewers: Inspect et Query Viewers: Execute, et attribuez des autorisations de LCA Read et Execute aux lecteurs de requêtes cibles.

6. Actions sur les rapports : accordez des droits d'opération Reports: Inspect et Reports: Execute, et attribuez des autorisations de LCA Read et Execute sur les rapports cibles.

Mappage des autorisations des composants

Le tableau suivant décrit les droits d'exploitation et les LCA de ressources minimales requises pour chaque type de composant d'intégration.

Consultez le tableau suivant pour connaître les autorisations requises :

1. Session de base : l'intégration de base ne nécessite que des identifiants de connexion valides et des droits d'utilisateur authentifié par défaut.

2. Connecteurs d'ingestion : les connecteurs nécessitent des droits de filtrage des événements, des droits d'inspection des événements et un accès en lecture aux rapports ou aux demandes.

3. Jobs et actions : les actions de playbook et les jobs de synchronisation nécessitent des droits de tâche fonctionnelle et des autorisations de LCA sur les ressources spécifiques auxquelles ils accèdent, configurées à l'aide du guide de l'utilisateur de la console ArcSight ESM.

Type de composant	Nom du composant	Service d'API	Droits d'exploitation requis	LCA de ressources requises
Intégration de base	Connexion et authentification de base	LoginService	Droits par défaut des utilisateurs authentifiés	Aucun
Connecteur	ArcSight – Connecteur d'événements de sécurité	SecurityEventService, ReportService	Security Events: Inspect, Reports: Inspect, Reports: Execute	Read et Execute sur la ressource de rapport cible
Connecteur	Connecteur ArcSight ESM	SecurityEventService, CaseService	Security Events: Inspect, Cases: Inspect	Read sur les dossiers de cas cibles et les objets de corrélation
Tâche	Job de clôture des cas	CaseService	Cases: Inspect, Cases: Edit	Read et Modify sur les dossiers d'enquête cibles
Action	Actions de liste active (Ajouter des entités, Ajouter des entrées, Obtenir des entrées, Vérifier la valeur)	ActiveListService	Active Lists: Inspect, Active Lists: Edit Content (ou Active Lists: Edit)	Read et Write sur les listes actives cibles
Action	Action "Modifier l'étape de traitement du cas"	CaseService	Cases: Inspect, Cases: Edit	Read et Modify sur les dossiers d'enquête cibles
Action	Actions de requête et de recherche (obtenir les résultats de la requête, rechercher)	QueryViewerService, SearchService	Query Viewers: Inspect, Query Viewers: Execute	Read et Execute sur les spectateurs de la requête cible
Action	Action "Obtenir un rapport"	ReportService	Reports: Inspect, Reports: Execute	Read et Execute sur les rapports cibles
Action	Action ListResources	ActiveListService, CaseService, QueryViewerService, ReportService	Privilège Inspect pour chaque type de ressource activé	Read sur les dossiers de ressources cibles

Workflow de configuration

Suivez ce workflow en plusieurs phases pour provisionner des autorisations dans ArcSight ESM et activer les composants sélectionnés dans Google SecOps.

Suivez les étapes de configuration dans l'ordre suivant :

1. Provisionnement du compte de service et du groupe ArcSight : créez l'utilisateur de service dédié dans ArcSight ESM, créez un groupe d'utilisateurs dédié, attribuez l'utilisateur de service au groupe et appliquez un filtre d'événement pour définir la visibilité des données, comme indiqué dans le guide de l'administrateur ArcSight ESM.

2. Attribuer des droits et des LCA pour les composants choisis : comparez vos connecteurs, tâches et actions prévus avec le tableau de mappage des autorisations des composants, accordez les droits d'opération correspondants au groupe d'utilisateurs et attribuez des LCA au niveau des objets (par exemple, Read/Write sur les listes actives ou Read/Execute sur les rapports) sur les dossiers de ressources cibles spécifiques dans le guide de l'utilisateur de la console ArcSight ESM.

3. Configurer dans Google SecOps : configurez l'intégration de base, les connecteurs d'ingestion, les jobs planifiés et les actions de playbook dans Google SecOps, comme décrit dans les sections suivantes.

Paramètres d'intégration

Utilisez les paramètres suivants pour configurer l'intégration :

Nom du paramètre	Type	Valeur par défaut	Est obligatoire	Description
Nom de l'instance	Chaîne	N/A	Non	Nom de l'instance pour laquelle vous souhaitez configurer l'intégration.
Description	Chaîne	N/A	Non	Description de l'instance.
Racine de l'API	Chaîne	https://{IP}:{PORT}	Oui	Adresse du serveur de l'instance ArcSight.
Nom d'utilisateur	Chaîne	N/A	Oui	Nom d'utilisateur du compte ArcSight.
Mot de passe	Mot de passe	N/A	Oui	Mot de passe du compte ArcSight.
Exécuter à distance	Case à cocher	Décochée	Non	Cochez le champ pour exécuter l'intégration configurée à distance. Une fois cette option cochée, l'option permettant de sélectionner l'utilisateur distant (agent) s'affiche.

Pour savoir comment configurer une intégration dans Google SecOps, consultez Configurer des intégrations.

Vous pourrez apporter des modifications ultérieurement si nécessaire. Après avoir configuré une instance d'intégration, vous pouvez l'utiliser dans des playbooks. Pour en savoir plus sur la configuration et la prise en charge de plusieurs instances, consultez Prendre en charge plusieurs instances.

Actions

Pour en savoir plus sur les actions, consultez Répondre aux actions en attente depuis votre bureau et Exécuter une action manuelle dans votre demande.

Ajouter des entrées à la liste active

Fournit un mécanisme permettant d'obtenir des informations sur les tendances en dehors des rapports et en plus de ceux-ci. Les listes actives mises à jour par les tendances permettent d'afficher des résumés d'informations provenant de plusieurs tendances.

Paramètres

Nom du paramètre	Type	Valeur par défaut	Est obligatoire	Description
Colonnes	Chaîne	N/A	Oui	Exemple : Message;Nom d'utilisateur
Entrées	Chaîne	N/A	Oui	Exemple : test1|Me1;Test|Me2
UUID de la liste active	Chaîne	N/A	Oui	Exemple : HCN75QGABABCZXCOdT9P51w==

Exécution

Cette action s'exécute sur toutes les entités.

Résultats de l'action

Cette action peut donner les résultats suivants.

Résultat du script

Nom du résultat du script	Options de valeur	Exemple
is_succeed	Vrai ou faux	is_succeed:False

Modifier l'étape de traitement du cas

Modifier l'étape de traitement d'un cas. Les étapes valides sont INITIAL, QUEUED, CLOSED, FINAL et FOLLOW_UP.

Paramètres

Nom du paramètre	Type	Valeur par défaut	Est obligatoire	Description
Nom des cas	Chaîne	N/A	Oui	Nom de la demande à mettre à jour.
Étape	Chaîne	N/A	Oui	L'étape de traitement de la demande. Exemple : CLOSED, INITIAL

Exécution

Cette action s'exécute sur toutes les entités.

Résultats de l'action

Cette action peut donner les résultats suivants.

Résultat du script

Nom du résultat du script	Options de valeur	Exemple
success	Vrai ou faux	success:False

Obtenir les entrées d'une liste active

Récupérez les entrées de la liste active ArcSight et renvoyez la sortie au format CSV.

Paramètres

Nom du paramètre	Type	Valeur par défaut	Est obligatoire	Description
UUID de la liste active	Chaîne	N/A	Oui	Exemple : HTcILQWABABCr553ieI0Xmw==

Exécution

Cette action s'exécute sur toutes les entités.

Résultats de l'action

Cette action peut donner les résultats suivants.

Résultat du script

Nom du résultat du script	Options de valeur	Exemple
Success_Indicator	N/A	N/A

Résultat JSON

[
"12346e4d96f0a72c42015d69aaf0e8ab ,
 file.txt",
 "0e0776034e5e096704cd28cbd40cdbb5 ,
 Test.config"
]

Obtenir les résultats de la requête

Obtenir les résultats de la requête par ID de requête. Une requête peut être utilisée comme source de données principale pour un rapport, ou une tendance (basée sur une requête) peut être utilisée comme source de données pour une autre requête qui affine davantage le résultat de la requête initiale.

Paramètres

Nom du paramètre	Type	Valeur par défaut	Est obligatoire	Description
ID de la requête	Chaîne	N/A	Oui	ID de la requête.
Nombre maximal d'éléments à renvoyer	Integer	100	Non	Spécifiez le nombre d'éléments à renvoyer dans la réponse.

Cas d'utilisation

Ajoutez une limite au nombre de résultats à renvoyer.

Exécution

Cette action s'exécute sur toutes les entités.

Résultats de l'action

Cette action peut donner les résultats suivants.

Résultat du script

Nom du résultat du script	Options de valeur	Exemple
success	Vrai ou faux	success:False

Résultat JSON

[
    {
        "Target User Name": "user",
        "Attacker Address": "192.0.2.1",
        "External ID": "127",
        "Name": "A Kerberos authentication ticket (TGT) was requested.",
        "Target Address": "192.0.2.1"
    },{
        "Target User Name": "user",
        "Attacker Address": "192.0.2.1",
        "External ID": "127",
        "Name": "A Kerberos authentication ticket (TGT) was requested.",
        "Target Address": "192.0.2.1"
    }
]

Télécharger le rapport

Obtenez un rapport avec des champs dynamiques. Un rapport est une ressource ArcSight qui lie les données d'une requête ou d'une tendance à un modèle de rapport existant. Une fois exécutés, les résultats d'un rapport peuvent être consultés dans le panneau de visualisation des consoles ArcSight, enregistrés (archivés) ou exportés dans différents formats. Les rapports peuvent être planifiés pour s'exécuter à intervalles réguliers et peuvent être exécutés à la demande si nécessaire.

Paramètres

Nom du paramètre	Type	Valeur par défaut	Est obligatoire	Description
Chemin d'accès complet au rapport (URI)	Chaîne	N/A	Oui	URI du rapport pertinent.
Champ 2	Chaîne	N/A	Non	Champs dynamiques de la requête pour générer le rapport.
Champ 3	Chaîne	N/A	Non	Champs dynamiques de la requête pour générer le rapport.
Champ 4	Chaîne	N/A	Non	Champs dynamiques de la requête pour générer le rapport.
Champ 6	Chaîne	N/A	Non	Champs dynamiques de la requête pour générer le rapport.
Champ 6	Chaîne	N/A	Non	Champs dynamiques de la requête pour générer le rapport.
Champ 7	Chaîne	N/A	Non	Champs dynamiques de la requête pour générer le rapport.
Champ 8	Chaîne	N/A	Non	Champs dynamiques de la requête pour générer le rapport.
Champ 9	Chaîne	N/A	Non	Champs dynamiques de la requête pour générer le rapport.
Champ 10	Chaîne	N/A	Non	Champs dynamiques de la requête pour générer le rapport.

Exécution

Cette action s'exécute sur toutes les entités.

Résultats de l'action

Cette action peut donner les résultats suivants.

Résultat du script

Nom du résultat du script	Options de valeur	Exemple
json_report	N/A	N/A

La valeur est-elle dans la colonne de la liste active ?

Vérifier si une valeur spécifique figure dans la liste active .

Paramètres

Nom du paramètre	Type	Valeur par défaut	Est obligatoire	Description
UUID de la liste active	Chaîne	N/A	Oui	UUID de la liste active. Exemple : cuser.
Nom de la colonne	Chaîne	N/A	Oui	Nom de la colonne. Exemple : sourceUserName.

Exécution

Cette action s'exécute sur toutes les entités.

Résultats de l'action

Cette action peut donner les résultats suivants.

Résultat du script

Nom du résultat du script	Options de valeur	Exemple
Success_Indicator	N/A	N/A

Ping

Tester la connectivité.

Paramètres

Aucune.

Exécution

Cette action s'exécute sur toutes les entités.

Résultats de l'action

Cette action peut donner les résultats suivants.

Résultat du script

Nom du résultat du script	Options de valeur	Exemple
is_succeed	Vrai ou faux	is_succeed:False

Rechercher

Vous pouvez lancer une recherche dans ArcSight Command Center à partir du canal d'événements de la console. La recherche d'événement complet recherche l'attribut associé, qui est stocké dans plusieurs champs (par exemple, abc). La recherche d'événements recherche une valeur (par exemple, abc) stockée dans le champ spécifié (par exemple, dans le champ du nom uniquement).

Paramètres

Nom du paramètre	Type	Valeur par défaut	Est obligatoire	Description
Requête de recherche	Chaîne	N/A	Oui	Requête de recherche.
Nombre maximal d'éléments à renvoyer	Integer	100	Non	Spécifiez le nombre d'éléments à renvoyer dans la réponse.

Cas d'utilisation

Ajoutez une limite au nombre de résultats à renvoyer.

Exécution

Cette action s'exécute sur toutes les entités.

Résultats de l'action

Cette action peut donner les résultats suivants.

Résultat du script

Nom du résultat du script	Options de valeur	Exemple
success	Vrai ou faux	success:False

Résultat JSON

[
    {
        "score": 1.2440307,
        "uuid": "UUID",
        "uri": "/All_Fields/ArcSight_Foundation/Variables_Library/IPv6/Attacker_IPv6_Address",
        "name": "Attacker IPv6 Address"
    }, {
        "score": 1.2440307,
        "uuid": "UUID",
        "uri": "/All_Fields/ArcSight_Foundation/Variables_Library/IPv6/Attacker_IPv6_Address",
        "name": "Attacker IPv6 Address"
    }
]

Connecteurs

Pour en savoir plus sur la configuration des connecteurs dans Google SecOps, consultez Ingérer vos données (connecteurs).

Remarque : Pour éviter toute perte de données, les connecteurs utilisent l'aplatissement des événements. Si une alerte brute contient une liste d'entités (par exemple, plusieurs adresses e-mail, noms d'hôte ou adresses IP), les connecteurs les aplatissent automatiquement en événements distincts et uniques.

Par exemple, une seule alerte brute contenant trois adresses e-mail différentes est ingérée sous la forme de trois événements distincts, chacun contenant une adresse e-mail distincte.

Ce processus garantit que chaque entité est correctement indexée en tant qu'élément unique, ce qui la rend entièrement consultable et exploitable dans les playbooks.

Connecteur ArcSight ESM

Ce guide concerne ArcSight ESM versions 6.9.1 et ultérieures.

Règle ESM ou transfert de cas vers Google SecOps

Utiliser des règles/corrélations déclenchées

Vous devrez configurer ArcSight ESM pour transférer les derniers objets de corrélation vers Google SecOps, tout en configurant Google SecOps pour qu'il fonctionne sur ArcSight ESM en tant que fournisseur SIEM, et pour fournir un accès API à ArcSight ESM via un utilisateur autorisé.

Cette fonctionnalité permet à Google SecOps de récupérer toutes les règles déclenchées dans ArcSight ESM en temps quasi réel et de les transférer pour qu'elles soient traduites et contextualisées en tant qu'alertes pour les demandes.

Flux de données entre Google SecOps et ArcSight ESM

Google SecOps indexe et contextualise automatiquement les corrélations qui ont été transférées vers Google SecOps et qui ont été déclenchées dans ArcSight ESM via le module ArcSight Forwarding Connector et l'accès à l'API.

Priorisation de la gravité des connecteurs

Le connecteur attribue un niveau de gravité avec les valeurs de priorité suivantes :

• 1 et 2 : très faible
• 3 et 4 : faible
• 5 et 6 : moyen
• 7 et 8 : élevé
• 9 et 10 : critique

Entrées du connecteur

Utilisez les paramètres suivants pour configurer le connecteur :

Nom du paramètre	Type	Valeur par défaut	Est obligatoire	Description
Environnement	LDD	N/A	Oui	Sélectionnez l'environnement requis, par exemple Customer One. Si le champ d'environnement de l'alerte est vide, l'alerte sera injectée dans cet environnement.
Exécuter chaque	Integer	0:0:0:10	Non	Sélectionnez l'heure d'exécution de la connexion.
Nom du champ de produit	Chaîne	device_product	Non	Nom du champ dans lequel le nom du produit est stocké. La valeur par défaut est device_product. Le nom du produit a principalement un impact sur le mappage. Pour simplifier et améliorer le processus de mappage du connecteur, la valeur par défaut device_product est résolue en une valeur de remplacement référencée à partir du code. Toute entrée non valide pour ce paramètre est résolue par défaut en une valeur de remplacement.
Nom du champ d'événement	Chaîne	nom	Non	Nom du champ utilisé pour déterminer le nom de l'événement (sous-type).
Délai avant expiration du script (en secondes)	Chaîne	500	Non	Délai avant expiration (en secondes) du processus Python exécutant le script actuel.
Adresse du serveur	Chaîne	N/A	Oui	https://{IP}:{PORT}
Nom d'utilisateur	Chaîne	N/A	Oui	Nom d'utilisateur du compte ArcSight.
Mot de passe	Mot de passe	N/A	Oui	Mot de passe du compte ArcSight.
Limite du nombre d'événements	Integer	15	Oui	Saisissez le nombre maximal d'événements à récupérer par corrélation. Limitez le nombre d'événements, par exemple à 10.
Chemin d'accès au dossier des demandes d'assistance	Chaîne	I:\SiemShare\CorrelationSource	Oui	Emplacement des fichiers de l'instruction, par exemple I:\SiemShare\CorrelationSource Remarque : Le paramètre de chemin d'accès au dossier des demandes peut varier d'un client à l'autre. Chemin d'accès complet. Exemple : C:\Desktop\CorrelationSource
Limite du nombre d'alertes	Integer	10	Oui	Nombre maximal d'alertes à traiter par cycle de connecteur (par exemple, 10).
Nom du champ d'environnement	Chaîne	event.customerURI	Oui	Nom du champ permettant d'obtenir l'environnement de la demande, par exemple event.customerUri.
Champ de produit de l'appareil secondaire	Chaîne	N/A	Non	Remplacez le champ de produit d'origine (du champ DeviceProductField du connecteur par la valeur du champ de produit secondaire). Exemple : CustomDeviceString2
Noms des champs personnalisés de l'alerte	Chaîne	N/A	Non	Extraire les valeurs des champs personnalisés d'ArcSight dans l'alerte, telles que baseEventCount,agent_address,device_assetId.
Nombre de jours de conservation des fichiers terminés	Integer	3	Oui	Nombre de jours de conservation de chaque fichier CSV DONE.
Nombre de jours de conservation des fichiers d'erreur	Integer	14	Oui	Nombre de jours de conservation de chaque fichier CSV d'ERREUR.
Adresse du serveur proxy	Chaîne	N/A	Non	Adresse du serveur proxy à utiliser.
Nom d'utilisateur du proxy	Chaîne	N/A	Non	Nom d'utilisateur du proxy pour l'authentification.
Mot de passe du proxy	Mot de passe	N/A	Non	Mot de passe du proxy pour l'authentification.

Règles du connecteur

Le connecteur est compatible avec les proxys.

ArcSight – Connecteur d'événements de sécurité

Extraire les corrélations d'ArcSight. Ce connecteur est adapté au déploiement SaaS de Google SecOps et est recommandé pour une utilisation en production.

Remarque : La liste dynamique fonctionne avec le paramètre name.

Pour utiliser ce connecteur, vous devez suivre les étapes préalables.

Entrées du connecteur

Utilisez les paramètres suivants pour configurer le connecteur :

Nom à afficher du paramètre	Type	Valeur par défaut	Est obligatoire	Description
Nom du champ de produit	Chaîne	type	Oui	Nom du champ dans lequel le nom du produit est stocké. La valeur par défaut est type. Le nom du produit a principalement un impact sur le mappage. Pour simplifier et améliorer le processus de mappage du connecteur, la valeur par défaut type est résolue en une valeur de remplacement référencée à partir du code. Toute entrée non valide pour ce paramètre est résolue par défaut en une valeur de remplacement.
Nom du champ d'événement	Chaîne	nom	Oui	Nom du champ qui détermine le nom de l'événement (sous-type).
Nom du champ d'environnement	Chaîne	""	Non	Nom du champ dans lequel le nom de l'environnement est stocké. Si le champ "environment" n'est pas renseigné, le connecteur utilise la valeur par défaut.
Environment Regex Pattern	Chaîne	.*	FALSE	Non	Modèle d'expression régulière à exécuter sur la valeur trouvée dans le champ Environment Field Name. Ce paramètre vous permet de manipuler le champ "environment" à l'aide d'une logique d'expression régulière. Utilisez la valeur par défaut .* pour récupérer la valeur Environment Field Name brute requise. Si le modèle d'expression régulière est nul ou vide, ou si la valeur de l'environnement est nulle, le résultat final de l'environnement est l'environnement par défaut.
Délai avant expiration du script (en secondes)	Integer	360	Oui	Délai avant expiration, en secondes, du processus Python qui exécute le script actuel.
Racine de l'API	Chaîne	https://{ip}	Oui	Racine de l'API de l'instance ArcSight.
Nom d'utilisateur	Chaîne	N/A	Oui	Nom d'utilisateur du compte ArcSight.
Mot de passe	Mot de passe	N/A	Oui	Mot de passe du compte ArcSight.
Nom du rapport	Chaîne	N/A	Oui	Nom du rapport qui sera utilisé pour récupérer les événements.
Extraire les événements de base	Case à cocher	Cochée	Oui	Si cette option est activée, le connecteur récupère également les événements de base.
Priorité la plus faible à récupérer	Integer	N/A	Non	Priorité la plus faible qui sera utilisée pour récupérer les événements. Les valeurs possibles sont comprises entre 1 et 10. Si rien n'est fourni, tous les événements seront ingérés.
Nombre maximal d'événements à récupérer	Integer	100	Non	Nombre d'alertes à traiter par itération de connecteur. La valeur maximale autorisée est de 1 000.
Utiliser une liste dynamique comme liste de blocage	Case à cocher	Cochée	Oui	Si cette option est sélectionnée, le connecteur utilise la liste dynamique comme liste de blocage.
Vérifier le protocole SSL	Case à cocher	Décochée	Oui	Si cette option est sélectionnée, l'intégration valide le certificat SSL lors de la connexion au serveur ArcSight.
Adresse du serveur proxy	Chaîne	N/A	Non	Adresse du serveur proxy à utiliser.
Nom d'utilisateur du proxy	Chaîne	N/A	Non	Nom d'utilisateur du proxy pour l'authentification.
Mot de passe du proxy	Mot de passe		Non	Mot de passe du proxy pour l'authentification.

Règles du connecteur

Le connecteur est compatible avec les proxys.

Jobs

Pour en savoir plus sur les jobs, consultez Configurer un nouveau job et Planification avancée.

Clôturer les cas

Le job nécessite les paramètres suivants :

Nom du paramètre	Type	Valeur par défaut	Est obligatoire	Description
Adresse du serveur	Chaîne	192.0.2.1	Oui	N/A
Nom d'utilisateur	Chaîne	N/A	Oui	N/A
Mot de passe	Mot de passe	N/A	Oui	N/A

Vous avez encore besoin d'aide ? Obtenez des réponses de membres de la communauté et de professionnels Google SecOps.