שילוב של ArcSight עם Google SecOps

במאמר הזה מוסבר איך לשלב את ArcSight עם Google Security Operations.

לפני שמתחילים

לפני שמגדירים את השילוב של ArcSight ESM ב-Google SecOps, צריך לוודא שהסביבה עומדת בדרישות החיבור וההרשאות של המחברים, המשימות והפעולות.

כדי להכין את הסביבה לשילוב, צריך לוודא שמתקיימים התנאים המוקדמים הבאים:

  1. כדי ליצור קו ראייה ברשת ואימות פרוגרמטי, צריך לוודא שמתקיימות דרישות השילוב הבסיסי.

  2. כדי להטמיע אירועי אבטחה או מקרים של קורלציה ב-Google SecOps, צריך להגדיר דרישות ספציפיות למחבר.

  3. כדי להעניק הרשאות מפורטות לניהול בקשות תמיכה ולאוטומציה באמצעות Playbook, צריך להגדיר דרישות ספציפיות למשימות ולפעולות.

  4. כדאי לעיין בתהליך העבודה של ההגדרה כדי להבין את רצף ההקצאה ב-ArcSight ESM וב-Google SecOps.

דרישות בסיסיות לשילוב

השילוב הבסיסי יוצר את חיבור ה-HTTPS המרכזי ואת סשן האימות שמשמשים את כל הפעולות, המחברים והמשימות של Google SecOps.

מגדירים בסביבה את הדרישות הבסיסיות הבאות:

  1. קשר עין עם הרשת: צריך להפעיל תקשורת HTTPS ממופע Google SecOps או מסוכן מרוחק לשרת ArcSight ESM ביציאת הניהול (ברירת מחדל: 8443/TCP).

  2. גישה ל-API בארכיטקטורת REST: צריך לוודא שיש גישה ישירה לשירותי ה-REST של ArcSight ESM שנמצאים בכתובות https://<esm-host>:8443/www/manager-service/rest/ ו-https://<esm-host>:8443/www/core-service/rest/, כמו שמתואר ב-ArcSight ESM REST Web Services API Guide.

  3. אמון ב-SSL/TLS: אם הפריסה של ArcSight ESM משתמשת ברשות אישורים פרטית או בחתימה עצמית, צריך לספק קובץ אישור של רשות אישורים בפורמט PEM בקידוד Base64.

  4. מאפייני חשבון השירות: יוצרים חשבון שירות ייעודי ב-ArcSight עם סוג המשתמש Web User (מומלץ כדי להימנע משימוש ברישיון למושב במסוף אינטראקטיבי) או Normal User, ומוודאים שהערך של Login Enabled מוגדר כפעיל.

    הוראות לניהול משתמשים מופיעות בקטע 'ניהול משתמשים' במדריך האדמין של ArcSight ESM.

  5. חברות בקבוצת בסיס: הקצאת משתמש השירות לקבוצת משתמשים ייעודית (לדוגמה, SecOps_Integration_Group) כדי לנהל באופן מרכזי את כל ההרשאות של פעולות במורד הזרם, את רשימות בקרת הגישה (ACL) של משאבים ואת מסנני האירועים.

    הוראות להגדרת קבוצות מופיעות בקטע 'ניהול קבוצות משתמשים' במדריך האדמין של ArcSight ESM.

דרישות ספציפיות למחבר

מחברי הטמעה שולפים התראות ואירועי אבטחה אל Google SecOps, ונדרשים להם הרשאות תפעוליות והגדרות היקף נתונים מיוחדות מעבר לשילוב הבסיסי.

מגדירים את התנאים המוקדמים בהתאם למחבר ההטמעה שבחרתם:

  1. הקצאת מסנן אירועים: מקצים מסנן אירועים (כמו All Events או מסנן ארגוני בהיקף מוגדר) לקבוצת המשתמשים של השילוב כדי להגדיר את היקף הנתונים של אירועי האבטחה שהמחברים יכולים לאחזר.

    הוראות להגדרת מסנני אירועים ברמת הקבוצה מופיעות במדריך למנהל מערכת של ArcSight ESM.

  2. ‫ArcSight - Security Events Connector: מעניקים הרשאות לביצוע הפעולות Security Events: Inspect,‏ Reports: Inspect ו-Reports: Execute, ומקצים הרשאות ACL ל-Read ו-Execute במשאב הדוח הספציפי ב-ArcSight שמייצא אירועי קורלציה

    הוראות לשימוש ב-ACL של משאבים מופיעות בקטע 'ניהול בקרת גישה למשאבים' במדריך למשתמש ב-ArcSight ESM Console.

  3. ‫ArcSight ESM Connector: מעניקים הרשאות לביצוע הפעולות Security Events: Inspect ו-Cases: Inspect, ומקצים Read הרשאות ACL לתיקי ה-Case ולמשאבי הקורלציה של היעד בהתאם למדריך למשתמש של ArcSight ESM Console.

דרישות ספציפיות למשרה ולפעולה

משימות מתוזמנות ופעולות ב-Playbook יורשות את החיבור הבסיסי לשילוב ודורשות הרשאות מפורטות לפעולות והרשאות ACL ברמת האובייקט, בהתאם למשאבי ArcSight הספציפיים שאיתם הן פועלות.

מעניקים הרשאות ורשימות ACL על סמך יכולות השילוב שאתם פורסים:

  1. הפעלת פעולות: פעולות ב-Playbook לא דורשות הגדרת חיבור נפרדת ב-Google SecOps. הענקת הרשאות הפעולות הנדרשות ורשימות בקרת הגישה (ACL) למשאבים לקבוצת חשבונות השירות ב-ArcSight מאפשרת להשתמש בהן באופן מיידי ב-Playbook.

  2. Close Cases job: מעניקים הרשאות לביצוע פעולות Cases: Inspect ו-Cases: Edit, ומקצים הרשאות ACL מסוג Read ו-Modify בתיקיות של ה-Case הרלוונטי, כמו שמתואר ב-ArcSight ESM Console User's Guide.

  3. פעולות ברשימות פעילות: הענקת הרשאות לביצוע פעולות Active Lists: Inspect ו-Active Lists: Edit Content (או Active Lists: Edit), והקצאת הרשאות ACL Read ו-Write ברשימות הפעילות הספציפיות שמטורגטות על ידי פרמטרים של פעולות ב-Playbook.

  4. פעולות לניהול תיקים: הענקת הרשאות לביצוע פעולות Cases: Inspect ו-Cases: Edit, והקצאת הרשאות ACL Read ו-Modify בתיקיות של תיקי היעד.

  5. פעולות של שאילתות וחיפושים: הענקת הרשאות לפעולות Query Viewers: Inspect ו-Query Viewers: Execute, והקצאת הרשאות ACL ל-Read ו-Execute לצופים בשאילתות היעד.

  6. פעולות דיווח: הענקת הרשאות לביצוע פעולות Reports: Inspect ו-Reports: Execute, והקצאת הרשאות ACL Read ו-Execute בדוחות היעד.

מיפוי הרשאות של רכיבים

בטבלה הבאה מפורטים הרשאות ההפעלה המינימליות הנדרשות ורשימות ה-ACL של המשאבים לכל סוג של רכיב שילוב.

בטבלה הבאה מפורטות דרישות ההרשאה:

  1. סשן בסיסי: השילוב הבסיסי דורש רק פרטי כניסה תקינים והרשאות ברירת מחדל של משתמש מאומת.

  2. מחברים להעברת נתונים: המחברים דורשים הרשאות לסינון אירועים, הרשאות לבדיקת אירועים וגישת קריאה לדוחות או לתיקים.

  3. משימות ופעולות: פעולות ב-Playbook ומשימות סנכרון דורשות הרשאות תפקודיות למשימות והרשאות ACL למשאבים הספציפיים שאליהם יש גישה, שמוגדרות באמצעות מדריך המשתמש של ArcSight ESM Console.

סוג הרכיב שם הרכיב API Service הרשאות נדרשות לפעולות רשימות ACL נדרשות למשאבים
Base Integration חיבור בסיסי ואימות LoginService הרשאות ברירת מחדל של משתמשים מאומתים ללא
Connector ArcSight - Security Events Connector SecurityEventService, ReportService Security Events: Inspect, Reports: Inspect, Reports: Execute ‫Read ו-Execute במשאב דוח היעד
Connector מחבר ArcSight ESM SecurityEventService, CaseService Security Events: Inspect, Cases: Inspect ‫Read בתיקיות של תיקי חקירה ובאובייקטים של קורלציה
משרה העבודה Close Cases Job CaseService Cases: Inspect, Cases: Edit Read ו-Modify בתיקיות של תיקי יעד
פעולה פעולות ברשימה פעילה (הוספת ישויות, הוספת רשומות, קבלת רשומות, בדיקת ערך) ActiveListService ‫Active Lists: Inspect, ‏ Active Lists: Edit Content (או Active Lists: Edit) ‫Read וWrite ברשימות פעילות של קהלים שהוגדרו לטירגוט
פעולה שינוי פעולה של שלב בבקשה CaseService Cases: Inspect, Cases: Edit Read ו-Modify בתיקיות של תיקי יעד
פעולה שאילתה ופעולות חיפוש (קבלת תוצאות שאילתה, חיפוש) QueryViewerService, SearchService Query Viewers: Inspect, Query Viewers: Execute ‫Read ו-Execute על צופים בשאילתות לטירגוט
פעולה קבלת פעולת דוח ReportService Reports: Inspect, Reports: Execute ‫Read וגם Execute בדוחות על יעדים
פעולה פעולה של הצגת רשימת משאבים ActiveListService, CaseService, QueryViewerService, ReportService הרשאת Inspect לכל סוג משאב שמופעל ‫Read בתיקיות משאבי היעד

תהליך עבודה של הגדרה

כדי להקצות הרשאות ב-ArcSight ESM ולהפעיל את הרכיבים שבחרתם ב-Google SecOps, צריך לפעול לפי תהליך העבודה הרב-שלבי הזה.

מבצעים את שלבי ההגדרה לפי הסדר הבא:

  1. הקצאת הרשאות לחשבון שירות ולקבוצה ב-ArcSight: יוצרים משתמש שירות ייעודי ב-ArcSight ESM, יוצרים קבוצת משתמשים ייעודית, מקצים את משתמש השירות לקבוצה ומחילים מסנן אירועים כדי להגדיר את חשיפת הנתונים, כמו שמתואר במדריך לאדמין של ArcSight ESM.

  2. הקצאת הרשאות ורשימות ACL לרכיבים נבחרים: משווים בין המחברים, העבודות והפעולות המתוכננים לבין טבלת מיפוי הרשאות הרכיבים, מעניקים לקבוצת המשתמשים הרשאות לפעולות המתאימות ומקצים רשימות ACL ברמת האובייקט (כמו Read/Write ברשימות פעילות או Read/Execute בדוחות) בתיקיות משאבי היעד הספציפיות במדריך למשתמש של ArcSight ESM Console.

  3. הגדרה ב-Google SecOps: מגדירים את השילוב הבסיסי, את מחברי ההטמעה, את המשימות המתוזמנות ואת הפעולות של תרחישי השימוש ב-Google SecOps, כמו שמתואר בקטעים הבאים.

פרמטרים של שילוב

משתמשים בפרמטרים הבאים כדי להגדיר את השילוב:

שם הפרמטר סוג ערך ברירת המחדל חובה תיאור
שם המכונה String לא רלוונטי לא שם המופע שרוצים להגדיר עבורו את השילוב.
תיאור String לא רלוונטי לא תיאור המופע.
הבסיס של ה-API String https://{IP}:{PORT} כן כתובת השרת של מופע ArcSight.
שם משתמש String לא רלוונטי כן שם המשתמש בחשבון ArcSight.
סיסמה סיסמה לא רלוונטי כן הסיסמה של חשבון ArcSight.
הרצה מרחוק תיבת סימון לא מסומן לא מסמנים את התיבה כדי להפעיל את השילוב שהוגדר מרחוק. אחרי שמסמנים את התיבה, מופיעה האפשרות לבחור את המשתמש המרוחק (הסוכן).

הוראות להגדרת שילוב ב-Google SecOps מופיעות במאמר הגדרת שילובים.

במקרה הצורך, אפשר לבצע שינויים בשלב מאוחר יותר. אחרי שמגדירים מופע של שילוב, אפשר להשתמש בו ב-playbooks. מידע נוסף על הגדרה ותמיכה במספר מופעים זמין במאמר תמיכה במספר מופעים.

פעולות

מידע נוסף על פעולות זמין במאמרים תגובה לפעולות שממתינות לאישור ב'מרכז העבודה שלך' וביצוע פעולה ידנית.

הוספת רשומות לרשימה פעילה

מספק מנגנון לקבלת מידע ממגמות מחוץ לדוחות, בנוסף למידע שמופיע בדוחות. רשימות פעילות שמתעדכנות לפי מגמות תומכות בתצוגות סיכום של מידע מכמה מגמות.

פרמטרים

שם הפרמטר סוג ערך ברירת המחדל חובה תיאור
Columns String לא רלוונטי כן דוגמה: Message;Username
דפים String לא רלוונטי כן דוגמה: test1|Me1;Test|Me2
מזהה ייחודי אוניברסלי (UUID) של רשימה פעילה String לא רלוונטי כן דוגמה: HCN75QGABABCZXCOdT9P51w==

ריצה ב

הפעולה הזו מופעלת על כל הישויות.

תוצאות הפעולה

הפעולה הזו יכולה להניב את התוצאות הבאות.

תוצאת הסקריפט
שם התוצאה של הסקריפט אפשרויות ערך דוגמה
is_succeed נכון או לא נכון is_succeed:False

שינוי השלב בטיפול בפנייה

שינוי השלב של בקשה. השלבים התקינים הם INITIAL,‏ QUEUED,‏ CLOSED,‏ FINAL ו-FOLLOW_UP.

פרמטרים

שם הפרמטר סוג ערך ברירת המחדל חובה תיאור
שם בקשת התמיכה String לא רלוונטי כן השם של בקשת התמיכה שרוצים לעדכן.
שלב String לא רלוונטי כן השלב של בקשת התמיכה. דוגמה: CLOSED, INITIAL

ריצה ב

הפעולה הזו מופעלת על כל הישויות.

תוצאות הפעולה

הפעולה הזו יכולה להניב את התוצאות הבאות.

תוצאת הסקריפט
שם התוצאה של הסקריפט אפשרויות ערך דוגמה
הפעולה בוצעה נכון או לא נכון success:False

קבלת רשומות של רשימת הפעילים

אחזור של רשומות ברשימה פעילה של ArcSight והחזרת פלט CSV.

פרמטרים

שם הפרמטר סוג ערך ברירת המחדל חובה תיאור
מזהה ייחודי אוניברסלי (UUID) של רשימה פעילה String לא רלוונטי כן דוגמה: HTcILQWABABCr553ieI0Xmw==

ריצה ב

הפעולה הזו מופעלת על כל הישויות.

תוצאות הפעולה

הפעולה הזו יכולה להניב את התוצאות הבאות.

תוצאת הסקריפט
שם התוצאה של הסקריפט אפשרויות ערך דוגמה
Success_Indicator לא רלוונטי לא רלוונטי
תוצאה בפורמט JSON
[
"12346e4d96f0a72c42015d69aaf0e8ab ,
 file.txt",
 "0e0776034e5e096704cd28cbd40cdbb5 ,
 Test.config"
]

קבלת תוצאות של שאילתות

אחזור תוצאות של שאילתות לפי מזהה שאילתה. אפשר להשתמש בשאילתה כמקור הנתונים הראשי של דוח, או כמקור נתונים של שאילתה אחרת שמחדדת עוד יותר את התוצאה של השאילתה הראשונית.

פרמטרים

שם הפרמטר סוג ערך ברירת המחדל חובה תיאור
מזהה השאילתה String לא רלוונטי כן מזהה השאילתה.
מספר הפריטים המקסימלי להחזרה מספר שלם 100 לא מציינים כמה פריטים להחזיר בתשובה.

תרחישים לדוגמה

הוספת מגבלה למספר התוצאות שיוחזרו.

ריצה ב

הפעולה הזו מופעלת על כל הישויות.

תוצאות הפעולה

הפעולה הזו יכולה להניב את התוצאות הבאות.

תוצאת הסקריפט
שם התוצאה של הסקריפט אפשרויות ערך דוגמה
הפעולה בוצעה נכון או לא נכון success:False
תוצאה בפורמט JSON
[
    {
        "Target User Name": "user",
        "Attacker Address": "192.0.2.1",
        "External ID": "127",
        "Name": "A Kerberos authentication ticket (TGT) was requested.",
        "Target Address": "192.0.2.1"
    },{
        "Target User Name": "user",
        "Attacker Address": "192.0.2.1",
        "External ID": "127",
        "Name": "A Kerberos authentication ticket (TGT) was requested.",
        "Target Address": "192.0.2.1"
    }
]

לצפייה בדוח

קבלת דוח עם שדות דינמיים. דוח הוא משאב ArcSight שמקשר נתונים משאילתה או ממגמה לתבנית דוח קיימת. אחרי שמריצים דוח, אפשר לראות את התוצאות שלו בחלונית הצפייה במסופי ArcSight, לשמור אותו (לארכיון) או לייצא אותו במגוון פורמטים. אפשר לתזמן את הדוחות כך שהם יופעלו במרווחי זמן קבועים, ואפשר להפעיל אותם לפי דרישה כשצריך.

פרמטרים

שם הפרמטר סוג ערך ברירת המחדל חובה תיאור
דוח הנתיב המלא (URI) String לא רלוונטי כן ה-URI של הדוח הרלוונטי.
שדה 2 String לא רלוונטי לא השדות הדינמיים של השאילתה ליצירת הדוח.
שדה 3 String לא רלוונטי לא השדות הדינמיים של השאילתה ליצירת הדוח.
שדה 4 String לא רלוונטי לא השדות הדינמיים של השאילתה ליצירת הדוח.
שדה 6 String לא רלוונטי לא השדות הדינמיים של השאילתה ליצירת הדוח.
שדה 6 String לא רלוונטי לא השדות הדינמיים של השאילתה ליצירת הדוח.
שדה 7 String לא רלוונטי לא השדות הדינמיים של השאילתה ליצירת הדוח.
שדה 8 String לא רלוונטי לא השדות הדינמיים של השאילתה ליצירת הדוח.
שדה 9 String לא רלוונטי לא השדות הדינמיים של השאילתה ליצירת הדוח.
שדה 10 String לא רלוונטי לא השדות הדינמיים של השאילתה ליצירת הדוח.

ריצה ב

הפעולה הזו מופעלת על כל הישויות.

תוצאות הפעולה

הפעולה הזו יכולה להניב את התוצאות הבאות.

תוצאת הסקריפט
שם התוצאה של הסקריפט אפשרויות ערך דוגמה
json_report לא רלוונטי לא רלוונטי

האם הערך נמצא בעמודה Activelist

בודקים אם ערך ספציפי מופיע ברשימה הפעילה .

פרמטרים

שם הפרמטר סוג ערך ברירת המחדל חובה תיאור
מזהה ייחודי אוניברסלי (UUID) של רשימה פעילה String לא רלוונטי כן מזהה UUID של רשימה פעילה. דוגמה: cuser.
שם עמודה String לא רלוונטי כן שם העמודה. דוגמה: sourceUserName.

ריצה ב

הפעולה הזו מופעלת על כל הישויות.

תוצאות הפעולה

הפעולה הזו יכולה להניב את התוצאות הבאות.

תוצאת הסקריפט
שם התוצאה של הסקריפט אפשרויות ערך דוגמה
Success_Indicator לא רלוונטי לא רלוונטי

פינג

בדיקת הקישוריות.

פרמטרים

אין.

ריצה ב

הפעולה הזו מופעלת על כל הישויות.

תוצאות הפעולה

הפעולה הזו יכולה להניב את התוצאות הבאות.

תוצאת הסקריפט
שם התוצאה של הסקריפט אפשרויות ערך דוגמה
is_succeed נכון או לא נכון is_succeed:False

אפשר להתחיל חיפוש במרכז הבקרה של ArcSight מערוץ האירועים של המסוף. החיפוש 'אירוע הושלם' מחפש את המאפיין המשויך, שמאוחסן בכמה שדות (לדוגמה, abc). כשמחפשים אירועים, המערכת מחפשת ערך (לדוגמה, abc) שמאוחסן בשדה שצוין (לדוגמה, רק בשדה של השם).

פרמטרים

שם הפרמטר סוג ערך ברירת המחדל חובה תיאור
שאילתת חיפוש String לא רלוונטי כן שאילתת החיפוש.
מספר הפריטים המקסימלי להחזרה מספר שלם 100 לא מציינים כמה פריטים להחזיר בתשובה.

תרחישים לדוגמה

הוספת מגבלה למספר התוצאות שיוחזרו.

ריצה ב

הפעולה הזו מופעלת על כל הישויות.

תוצאות הפעולה

הפעולה הזו יכולה להניב את התוצאות הבאות.

תוצאת הסקריפט
שם התוצאה של הסקריפט אפשרויות ערך דוגמה
הפעולה בוצעה נכון או לא נכון success:False
תוצאה בפורמט JSON
[
    {
        "score": 1.2440307,
        "uuid": "UUID",
        "uri": "/All_Fields/ArcSight_Foundation/Variables_Library/IPv6/Attacker_IPv6_Address",
        "name": "Attacker IPv6 Address"
    }, {
        "score": 1.2440307,
        "uuid": "UUID",
        "uri": "/All_Fields/ArcSight_Foundation/Variables_Library/IPv6/Attacker_IPv6_Address",
        "name": "Attacker IPv6 Address"
    }
]

מחברים

מידע נוסף על הגדרת מחברים ב-Google SecOps זמין במאמר הוספת נתונים (מחברים).

מחבר Arcsight ESM

המדריך הזה מתייחס ל-ArcSight ESM מגרסה 6.9.1 ואילך.

העברת כלל או אירוע של ESM אל Google SecOps

עבודה עם כללים או קורלציות שמופעלים על ידי טריגרים

תצטרכו להגדיר את ArcSight ESM להעברת האובייקטים העדכניים של הקורלציה אל Google SecOps, בזמן שאתם מגדירים את Google SecOps לפעול ב-ArcSight ESM כספק SIEM, וגם לספק גישת API ל-ArcSight ESM דרך משתמש מורשה.

התכונה הזו מאפשרת ל-Google SecOps לאחזר כמעט בזמן אמת כל כלל שהופעל ב-ArcSight ESM ולהעביר אותו כדי שיתורגם ויוצג כהתראה עם הקשר במקרים.

זרימת נתונים בין Google SecOps לבין ArcSight ESM

‫Google SecOps מבצע אינדוקס אוטומטי של קורלציות שהועברו אל Google SecOps והופעלו ב-ArcSight ESM באמצעות מודול ArcSight Forwarding Connector וגישת API, וגם מספק להן הקשר.

תעדוף רמת החומרה של המחבר

המחבר מקצה חומרה עם ערכי העדיפות הבאים:

  • ‫1 ו-2 – נמוכה מאוד
  • ‫3 ו-4 – נמוך
  • ‫5 ו-6 – בינוני
  • ‫7 ו-8 – גבוה
  • ‫9 ו-10 – קריטיות

כניסות קלט של מחברים

משתמשים בפרמטרים הבאים כדי להגדיר את המחבר:

שם הפרמטר סוג ערך ברירת המחדל חובה תיאור
סביבה DDL לא רלוונטי כן

בוחרים את הסביבה הנדרשת, לדוגמה, Customer One.

אם השדה Environment (סביבה) בהתראה ריק, ההתראה הזו תוזרק לסביבה הזו.
תדירות ההרצה מספר שלם 0:0:0:10 לא בוחרים את השעה שבה יופעל החיבור.
שם שדה המוצר String device_product לא

שם השדה שבו מאוחסן שם המוצר.

ערך ברירת המחדל הוא device_product.

שם המוצר משפיע בעיקר על המיפוי. כדי לייעל ולשפר את תהליך המיפוי של המחבר, ערך ברירת המחדל device_product מומר לערך חלופי שמופיע בקוד. כל קלט לא תקין לפרמטר הזה יומר כברירת מחדל לערך חלופי.
שם השדה של האירוע String name לא שם השדה שמשמש לקביעת שם האירוע (סוג משנה).
זמן קצוב לתפוגה של סקריפט (בשניות) String 500 לא מגבלת הזמן הקצוב (בשניות) לתהליך Python שמריץ את הסקריפט הנוכחי.
כתובת השרת String לא רלוונטי כן https://{IP}:{PORT}
שם משתמש String לא רלוונטי כן שם המשתמש בחשבון ArcSight.
סיסמה סיסמה לא רלוונטי כן הסיסמה לחשבון ArcSight.
מגבלה על מספר האירועים מספר שלם 15 כן מזינים את המספר המקסימלי של אירועים לאחזור לכל קורלציה. להגביל את מספר האירועים, למשל ל-10.
נתיב התיקייה של התיקים String I:\SiemShare\CorrelationSource כן

המיקום של קובצי התיק, למשל I:\SiemShare\CorrelationSource

הערה: אפשר לשנות את הפרמטר Cases Folder Path (נתיב התיקייה של Cases) מלקוח אחד ללקוח אחר.

נתיב מלא. לדוגמה: C:\Desktop\CorrelationSource
מגבלת מספר ההתראות מספר שלם 10 כן המספר המקסימלי של התראות לעיבוד בכל מחזור של מחבר, לדוגמה, 10.
שם השדה בסביבה String event.customerURI כן שם השדה שבו מופיעה הסביבה של הפנייה, למשל event.customerUri.
שדה מוצר של מכשיר משני String לא רלוונטי לא מחליפים את שדה המוצר המקורי (מתוך DeviceProductField של המחבר) בערך משדה המוצר המשני. דוגמה: CustomDeviceString2
שמות של שדות מותאמים אישית של התראות String לא רלוונטי לא שליפת ערכים של שדות מותאמים אישית מ-ArcSight להתראה, כמו baseEventCount,‏ agent_address,‏ device_assetId.
מספר הימים לשמירת קבצים שהושלמו מספר שלם 3 כן כמה ימים לשמור כל קובץ CSV עם סטטוס DONE.
מספר הימים לשמירת קובצי שגיאות מספר שלם 14 כן כמה ימים לשמור כל קובץ CSV של שגיאות.
כתובת שרת Proxy String לא רלוונטי לא הכתובת של שרת ה-Proxy שבו רוצים להשתמש.
שם המשתמש של שרת ה-proxy String לא רלוונטי לא שם המשתמש ב-proxy לאימות.
סיסמת שרת Proxy סיסמה לא רלוונטי לא סיסמת ה-proxy לאימות.

כללים של Connectors

המחבר תומך בשרתי proxy.

ArcSight - Security Events Connector

שליפת קורלציות מ-ArcSight. המחבר הזה מתאים לפריסת SaaS של Google SecOps והוא מומלץ לשימוש בסביבת ייצור.

כדי להשתמש במחבר הזה, צריך להשלים את השלבים המקדימים.

כניסות קלט של מחברים

משתמשים בפרמטרים הבאים כדי להגדיר את המחבר:

השם המוצג של הפרמטר סוג ערך ברירת המחדל חובה תיאור
שם שדה המוצר String סוג כן

שם השדה שבו מאוחסן שם המוצר.

ערך ברירת המחדל הוא type.

שם המוצר משפיע בעיקר על המיפוי. כדי לייעל ולשפר את תהליך המיפוי של המחבר, ערך ברירת המחדל type מומר לערך חלופי שמופיע בהפניה בקוד. כל קלט לא תקין לפרמטר הזה יומר לערך ברירת מחדל.
שם השדה של האירוע String name כן

השם של השדה שקובע את שם האירוע (סוג משנה).
שם השדה בסביבה String "" לא

השם של השדה שבו מאוחסן שם הסביבה.

אם השדה environment חסר, המחבר משתמש בערך ברירת המחדל.
Environment Regex Pattern String .* לא נכון לא

דפוס של ביטוי רגולרי להפעלה על הערך שנמצא בשדה Environment Field Name. הפרמטר הזה מאפשר לכם לשנות את השדה environment באמצעות לוגיקה של ביטוי רגולרי.

כדי לאחזר את הערך הנדרש של Environment Field Name, משתמשים בערך ברירת המחדל .*.

אם תבנית הביטוי הרגולרי היא null או ריקה, או שערך הסביבה הוא null, התוצאה הסופית של הסביבה היא סביבת ברירת המחדל.
הזמן הקצוב לתפוגה של הסקריפט (בשניות) מספר שלם 360 כן

מגבלת הזמן הקצוב לתפוגה, בשניות, של תהליך Python שמריץ את הסקריפט הנוכחי.
API Root String https://{ip} כן שורש ה-API של מופע ArcSight.
שם משתמש String לא רלוונטי כן שם המשתמש בחשבון ArcSight.
סיסמה סיסמה לא רלוונטי כן הסיסמה של חשבון ArcSight.
שם הדוח String לא רלוונטי כן שם הדוח שישמש לאחזור אירועים.
אחזור אירועים בסיסיים תיבת סימון סימן אישור כן אם האפשרות הזו מופעלת, המחבר יאחזר גם אירועים בסיסיים.
העדיפות הכי נמוכה לאחזור מספר שלם לא רלוונטי לא העדיפות הכי נמוכה שתשמש לאחזור אירועים. הערכים האפשריים הם 1 עד 10. אם לא מספקים כלום, כל האירועים מוטמעים.
מספר מקסימלי של אירועים לאחזור מספר שלם 100 לא מספר ההתראות לעיבוד בכל איטרציה של המחבר. המספר המקסימלי המותר הוא 1,000.
שימוש ברשימה דינמית כרשימת חסימה תיבת סימון סימן אישור כן

אם האפשרות הזו נבחרה, המחבר משתמש ברשימה הדינמית כרשימת חסימה.
אימות SSL תיבת סימון לא מסומן כן אם האפשרות הזו נבחרה, השילוב מאמת את אישור ה-SSL כשמתחברים לשרת ArcSight.
כתובת שרת ה-Proxy String לא רלוונטי לא הכתובת של שרת ה-Proxy שבו רוצים להשתמש.
שם המשתמש של שרת ה-proxy String לא רלוונטי לא שם המשתמש ב-proxy לאימות.
סיסמת שרת Proxy סיסמה לא סיסמת ה-proxy לאימות.

כללים של Connectors

המחבר תומך בשרתי proxy.

תעסוקה

מידע נוסף על משימות זמין במאמרים הגדרת משימה חדשה ו תזמון מתקדם.

סגירת בקשות תמיכה

העבודה דורשת את הפרמטרים הבאים:

שם הפרמטר סוג ערך ברירת המחדל חובה תיאור
כתובת השרת String 192.0.2.1 כן לא רלוונטי
שם משתמש String לא רלוונטי כן לא רלוונטי
סיסמה סיסמה לא רלוונטי כן לא רלוונטי

הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.