שילוב של ArcSight עם Google SecOps

במאמר הזה מוסבר איך לשלב את ArcSight עם Google Security Operations.

לפני שמתחילים

לפני שמגדירים את השילוב של ArcSight ESM ב-Google SecOps, צריך לוודא שהסביבה עומדת בדרישות החיבור וההרשאות של המחברים, המשימות והפעולות.

כדי להכין את הסביבה לשילוב, צריך לבצע את הפעולות הבאות:

  1. מוודאים שדרישות השילוב הבסיסיות מתקיימות כדי ליצור קו ראייה ברשת ואימות פרוגרמטי.

  2. כדי להטמיע אירועי אבטחה או מקרים של קורלציה ב-Google SecOps, צריך להגדיר דרישות ספציפיות למחבר.

  3. כדי להעניק הרשאות ספציפיות לניהול בקשות תמיכה ולאוטומציה באמצעות Playbook, צריך להגדיר דרישות ספציפיות למשימות ולפעולות.

  4. כדי להבין את רצף ההקצאה ב-ArcSight ESM וב-Google SecOps, כדאי לעיין בתהליך העבודה של ההגדרה.

דרישות בסיסיות לשילוב

השילוב הבסיסי יוצר את החיבור המרכזי ל-HTTPS ואת סשן האימות שמשמש בכל הפעולות, המחברים והמשימות של Google SecOps.

מגדירים את הדרישות הבסיסיות הבאות בסביבה:

  1. קו ראייה ברשת: מפעילים תקשורת HTTPS ממכונה של Google SecOps או מסוכן מרוחק לשרת ArcSight ESM ביציאת הניהול (ברירת המחדל: 8443/TCP).

  2. גישה ל-API בארכיטקטורת REST: מוודאים שיש גישה ישירה לשירותי ArcSight ESM REST בכתובות https://<esm-host>:8443/www/manager-service/rest/ ו-https://<esm-host>:8443/www/core-service/rest/, כמו שמתואר ב-ArcSight ESM REST Web Services API Guide.

  3. אמון ב-SSL/TLS: אם בפריסת ArcSight ESM נעשה שימוש ברשות אישורים פרטית או בחתימה עצמית, צריך לספק קובץ אישור CA ברמה הבסיסית (root) וברמת הביניים בקידוד Base64 PEM.

  4. מאפייני חשבון שירות: יוצרים חשבון שירות ייעודי ל-ArcSight עם סוג המשתמש Web User (מומלץ כדי להימנע משימוש ברישיון מושב אינטראקטיבי במסוף) או Normal User, ומוודאים שהסטטוס של Login Enabled הוא פעיל.

    למידע על תהליכי ניהול משתמשים, עיינו בקטע Managing Users ב-ArcSight ESM Administrator's Guide.

  5. חברות בקבוצה בסיסית: מקצים את משתמש השירות לקבוצת משתמשים ייעודית (לדוגמה, SecOps_Integration_Group) כדי לנהל באופן מרוכז את כל הרשאות הפעולות במורד הזרם, רשימות ה-ACL של המשאבים ומסנני האירועים.

    כדי להגדיר קבוצות, עיינו בקטע Managing User Groups במדריך לאדמינים של ArcSight ESM.

דרישות ספציפיות למחבר

מחברי הטמעה מושכים התראות ואירועי אבטחה אל Google SecOps, ודורשים היקף נתונים מיוחד והרשאות תפעוליות מעבר לשילוב הבסיסי.

מגדירים את הדרישות המוקדמות בהתאם למחבר ההטמעה שבחרתם:

  1. הקצאת מסנן אירועים: מקצים מסנן אירועים (כמו All Events או מסנן ארגוני ממוקד) לקבוצת המשתמשים של השילוב כדי להגדיר את היקף הנתונים של אירועי האבטחה שהמחברים יכולים לאחזר.

    להוראות להגדרת מסנני אירועים ברמת הקבוצה, עיינו במדריך למנהלי מערכת של ArcSight ESM.

  2. ‫ArcSight – מחבר אירועי אבטחה: מעניקים הרשאות לפעולות Security Events: Inspect, Reports: Inspect ו-Reports: Execute, ומקצים הרשאות ACL מסוג Read ו-Execute למשאב הדוח הספציפי ב-ArcSight שמייצא אירועי קורלציה.

    כדי לדעת איך להגדיר רשימות ACL למשאבים, קראו את הקטע Managing Access Control on Resources במדריך למשתמש של ArcSight ESM Console.

  3. ‫ArcSight ESM Connector: מעניקים הרשאות לפעולות Security Events: Inspect ו-Cases: Inspect, ומקצים הרשאות ACL מסוג Read בתיקיות היעד של הבקשות ובמשאבי הקורלציה, בהתאם למדריך למשתמש של ArcSight ESM Console.

דרישות ספציפיות למשימות ולפעולות

משימות מתוזמנות ופעולות של פלייבוקים יורשות את החיבור הבסיסי של האינטגרציה, ודורשות הרשאות לפעולות פרטניות והרשאות ACL ברמת האובייקט, בהתאם למשאבי ArcSight הספציפיים שאיתם הן פועלות.

מעניקים הרשאות ורשימות ACL על סמך יכולות השילוב שאתם פורסים:

  1. הפעלת פעולות: פעולות בפלייבוק לא דורשות הגדרת חיבור נפרדת ב-Google SecOps. אם תעניקו לקבוצת חשבונות השירות ב-ArcSight את הרשאות הפעולה הנדרשות ואת רשימות ה-ACL של המשאבים, תוכלו להשתמש בהן מיד בפלייבוק.

  2. משימת סגירת פניות: מעניקים הרשאות לפעולות Cases: Inspect ו-Cases: Edit, ומקצים הרשאות ACL מסוג Read ו-Modify בתיקיות הפניות הרלוונטיות, כמו שמתואר במדריך למשתמש של ArcSight ESM Console.

  3. פעולות ברשימות פעילות: צריך לתת הרשאות לפעולות Active Lists: Inspect ו-Active Lists: Edit Content (או Active Lists: Edit), ולהקצות הרשאות ACL מסוג Read ו-Write ברשימות הפעילות הספציפיות שאליהן מטרגטים הפרמטרים של הפעולות בפלייבוק.

  4. פעולות לניהול בקשות תמיכה: הענקת הרשאות לפעולות Cases: Inspect ו-Cases: Edit, והקצאת הרשאות ACL מסוג Read ו-Modify בתיקיות היעד של בקשות התמיכה.

  5. פעולות של שאילתות וחיפוש: הענקת הרשאות לפעולות Query Viewers: Inspect ו-Query Viewers: Execute, והקצאת הרשאות ACL מסוג Read ו-Execute לצופים בשאילתות היעד.

  6. פעולות בדוחות: הענקת הרשאות לפעולות Reports: Inspect ו-Reports: Execute, והקצאת הרשאות ACL מסוג Read ו-Execute בדוחות היעד.

מיפוי הרשאות של רכיבים

בטבלה הבאה מפורטות ההרשאות המינימליות הנדרשות לפעולות ורשימות ה-ACL של המשאבים לכל סוג של רכיב שילוב.

בטבלה הבאה מפורטות ההרשאות הנדרשות:

  1. סשן בסיסי: השילוב הבסיסי דורש רק פרטי כניסה תקינים והרשאות ברירת מחדל של משתמש מאומת.

  2. מחברי הטמעה: המחברים דורשים הרשאות לסינון אירועים, הרשאות לבדיקת אירועים וגישת קריאה לדוחות או לבקשות תמיכה.

  3. משימות ופעולות: פעולות של פלייבוק ומשימות סנכרון דורשות הרשאות פונקציונליות למשימות והרשאות ACL במשאבים הספציפיים שאליהם ניגשים, שמוגדרים באמצעות המדריך למשתמש של ArcSight ESM Console.

סוג הרכיב שם הרכיב שירות API הרשאות נדרשות לפעולות רשימות ACL של משאבים נדרשים
שילוב בסיסי חיבור ואימות בסיסיים LoginService הרשאות ברירת המחדל של משתמשים מאומתים ללא
מחבר ‫ArcSight – מחבר לאירועי אבטחה SecurityEventService, ReportService ‫Security Events: Inspect, Reports: Inspect, Reports: Execute ‫Read ו-Execute במשאב הדוח של היעד
מחבר מחבר ArcSight ESM SecurityEventService, CaseService Security Events: Inspect, Cases: Inspect ‫Read בתיקיות של תיקי היעד ובאובייקטים של קורלציה
משרה סגירת משימת בקשות התמיכה CaseService Cases: Inspect, Cases: Edit ‫Read ו-Modify בתיקיות של תיקי היעד
פעולה פעולות ברשימה פעילה (הוספת ישויות, הוספת רשומות, קבלת רשומות, בדיקת ערך) ActiveListService ‫Active Lists: Inspect,‏ Active Lists: Edit Content (או Active Lists: Edit) ‫Read ו-Write ברשימות פעילות של יעדים
פעולה פעולה לשינוי שלב הפנייה CaseService Cases: Inspect, Cases: Edit ‫Read ו-Modify בתיקיות של תיקי היעד
פעולה פעולות של שאילתות וחיפוש (קבלת תוצאות של שאילתות, חיפוש) QueryViewerService, SearchService Query Viewers: Inspect, Query Viewers: Execute Read ו-Execute בצופים בשאילתת היעד
פעולה פעולה לקבלת דוח ReportService Reports: Inspect, Reports: Execute Read ו-Execute בדוחות של יעדים
פעולה פעולה של רשימת משאבים ActiveListService, CaseService, QueryViewerService, ReportService הרשאת Inspect לכל סוג משאב מופעל ‫Read בתיקיות של משאבי היעד

תהליך עבודה של הגדרה

כדי להקצות הרשאות ב-ArcSight ESM ולהפעיל את הרכיבים שבחרתם ב-Google SecOps, צריך לפעול לפי תהליך העבודה הרב-שלבי הזה.

מבצעים את שלבי ההגדרה לפי הסדר הבא:

  1. הקצאת חשבון שירות וקבוצה ב-ArcSight: יוצרים את משתמש השירות הייעודי ב-ArcSight ESM, יוצרים קבוצת משתמשים ייעודית, מקצים את משתמש השירות לקבוצה ומחילים מסנן אירועים כדי להגדיר את הרשאות הגישה לנתונים, כפי שמפורט במדריך לאדמינים של ArcSight ESM.

  2. הקצאת הרשאות ורשימות ACL לרכיבים שנבחרו: מצליבים את המחברים, המשימות והפעולות המתוכננים עם טבלת מיפוי ההרשאות של הרכיבים, מעניקים את הרשאות הפעולות המתאימות לקבוצת המשתמשים ומקצים רשימות ACL ברמת האובייקט (כמו Read/Write ברשימות פעילות או Read/Execute בדוחות) בתיקיות של משאבי היעד הספציפיים במדריך למשתמש של ArcSight ESM Console.

  3. הגדרה ב-Google SecOps: מגדירים את השילוב הבסיסי, את מחברי הטמעת הנתונים, את המשימות המתוזמנות ואת הפעולות של הפלייבוק ב-Google SecOps, כמו שמתואר בקטעים הבאים.

פרמטרים של שילוב

כדי להגדיר את השילוב, משתמשים בפרמטרים הבאים:

שם הפרמטר סוג ערך ברירת המחדל חובה תיאור
שם המכונה String לא רלוונטי לא שם המכונה שרוצים להגדיר בה את השילוב.
תיאור String לא רלוונטי לא תיאור המכונה.
הרמה הבסיסית (root) של ה-API String https://{IP}:{PORT} כן כתובת השרת של המכונה ב-ArcSight.
שם משתמש String לא רלוונטי כן שם המשתמש של חשבון ArcSight.
סיסמה סיסמה לא רלוונטי כן הסיסמה של חשבון ArcSight.
הפעלה מרחוק תיבת סימון התיבה לא מסומנת לא מסמנים את השדה כדי להפעיל את השילוב שהוגדר מרחוק. אחרי שמסמנים את התיבה, מופיעה האפשרות לבחור את המשתמש המרוחק (הנציג).

איך מגדירים שילובים ב-Google SecOps

אם צריך, אפשר לבצע שינויים בשלב מאוחר יותר. אחרי שמגדירים מופע של אינטגרציה, אפשר להשתמש בו בפלייבוקים. במאמר תמיכה במספר מופעים מוסבר איך להגדיר מספר מופעים ולתמוך בהם.

פעולות

מידע נוסף על פעולות זמין במאמרים מענה לפעולות בהמתנה משולחן העבודה והפעלה ידנית של פעולה בבקשת התמיכה.

הוספת רשומות לרשימה פעילה

מספקת מנגנון לקבלת מידע ממגמות מחוץ לדוחות ובנוסף להם. רשימות פעילות שמתעדכנות לפי מגמות תומכות בתצוגות סיכום של מידע ממגמות מרובות.

פרמטרים

שם הפרמטר סוג ערך ברירת המחדל חובה תיאור
Columns String לא רלוונטי כן דוגמה: הודעה;שם משתמש
רשומות String לא רלוונטי כן דוגמה: test1|Me1;Test|Me2
מזהה ייחודי אוניברסלי (UUID) של רשימה פעילה String לא רלוונטי כן דוגמה: HCN75QGABABCZXCOdT9P51w==‎

הפעלה ב-

הפעולה הזו פועלת בכל הישויות.

תוצאות הפעולה

הפעולה הזו יכולה להניב את התוצאות הבאות.

תוצאת הסקריפט
שם תוצאת הסקריפט אפשרויות לערכים דוגמה
is_succeed נכון או לא נכון is_succeed:False

שינוי השלב של בקשת התמיכה

לשנות את השלב של בקשת התמיכה. השלבים החוקיים הם INITIAL,‏ QUEUED,‏ CLOSED,‏ FINAL ו-FOLLOW_UP.

פרמטרים

שם הפרמטר סוג ערך ברירת המחדל חובה תיאור
שם בקשת התמיכה String לא רלוונטי כן שם בקשת התמיכה שרוצים לעדכן.
שלב String לא רלוונטי כן השלב של בקשת התמיכה. לדוגמה: CLOSED, INITIAL

הפעלה ב-

הפעולה הזו פועלת בכל הישויות.

תוצאות הפעולה

הפעולה הזו יכולה להניב את התוצאות הבאות.

תוצאת הסקריפט
שם תוצאת הסקריפט אפשרויות לערכים דוגמה
הפעולה בוצעה נכון או לא נכון success:False

קבלת רשומות של Activelist

אחזור רשומות של רשימה פעילה ב-ArcSight והחזרת פלט CSV.

פרמטרים

שם הפרמטר סוג ערך ברירת המחדל חובה תיאור
מזהה ייחודי אוניברסלי (UUID) של רשימה פעילה String לא רלוונטי כן דוגמה: HTcILQWABABCr553ieI0Xmw==‎

הפעלה ב-

הפעולה הזו פועלת בכל הישויות.

תוצאות הפעולה

הפעולה הזו יכולה להניב את התוצאות הבאות.

תוצאת הסקריפט
שם תוצאת הסקריפט אפשרויות לערכים דוגמה
Success_Indicator לא רלוונטי לא רלוונטי
תוצאת JSON
[
"12346e4d96f0a72c42015d69aaf0e8ab ,
 file.txt",
 "0e0776034e5e096704cd28cbd40cdbb5 ,
 Test.config"
]

קבלת תוצאות השאילתה

קבלת תוצאות של שאילתה לפי מזהה השאילתה. שאילתה יכולה לשמש כמקור הנתונים הראשי של דוח, או כמגמה (על סמך שאילתה אחת) שיכולה לשמש כמקור הנתונים של שאילתה אחרת, שמחדדת עוד יותר את תוצאת השאילתה הראשונית.

פרמטרים

שם הפרמטר סוג ערך ברירת המחדל חובה תיאור
מזהה השאילתה String לא רלוונטי כן מזהה השאילתה.
מספר הפריטים המקסימלי להחזרה מספר שלם 100 לא מציינים כמה פריטים להחזיר בתגובה.

תרחישים לדוגמה

הוספת מגבלה על מספר התוצאות שיוחזרו.

הפעלה ב-

הפעולה הזו פועלת בכל הישויות.

תוצאות הפעולה

הפעולה הזו יכולה להניב את התוצאות הבאות.

תוצאת הסקריפט
שם תוצאת הסקריפט אפשרויות לערכים דוגמה
הפעולה בוצעה נכון או לא נכון success:False
תוצאת JSON
[
    {
        "Target User Name": "user",
        "Attacker Address": "192.0.2.1",
        "External ID": "127",
        "Name": "A Kerberos authentication ticket (TGT) was requested.",
        "Target Address": "192.0.2.1"
    },{
        "Target User Name": "user",
        "Attacker Address": "192.0.2.1",
        "External ID": "127",
        "Name": "A Kerberos authentication ticket (TGT) was requested.",
        "Target Address": "192.0.2.1"
    }
]

לצפייה בדוח

קבלת דוח עם שדות דינמיים. דוח הוא משאב של ArcSight שמקשר נתונים משאילתה או ממגמה לתבנית דוח קיימת. אחרי שמריצים את הדוח, אפשר לראות את התוצאות בחלונית הצפייה של מסופי ArcSight, לשמור אותן (להעביר לארכיון) או לייצא אותן במגוון פורמטים. אפשר לתזמן את הדוחות כך שיפעלו במרווחי זמן קבועים, ואפשר להריץ אותם לפי דרישה לפי הצורך.

פרמטרים

שם הפרמטר סוג ערך ברירת המחדל חובה תיאור
הנתיב המלא של הדוח (URI) String לא רלוונטי כן ה-URI של הדוח הרלוונטי.
שדה 2 String לא רלוונטי לא השדות הדינמיים של השאילתה ליצירת הדוח.
שדה 3 String לא רלוונטי לא השדות הדינמיים של השאילתה ליצירת הדוח.
שדה 4 String לא רלוונטי לא השדות הדינמיים של השאילתה ליצירת הדוח.
שדה 6 String לא רלוונטי לא השדות הדינמיים של השאילתה ליצירת הדוח.
שדה 6 String לא רלוונטי לא השדות הדינמיים של השאילתה ליצירת הדוח.
שדה 7 String לא רלוונטי לא השדות הדינמיים של השאילתה ליצירת הדוח.
שדה 8 String לא רלוונטי לא השדות הדינמיים של השאילתה ליצירת הדוח.
שדה 9 String לא רלוונטי לא השדות הדינמיים של השאילתה ליצירת הדוח.
שדה 10 String לא רלוונטי לא השדות הדינמיים של השאילתה ליצירת הדוח.

הפעלה ב-

הפעולה הזו פועלת בכל הישויות.

תוצאות הפעולה

הפעולה הזו יכולה להניב את התוצאות הבאות.

תוצאת הסקריפט
שם תוצאת הסקריפט אפשרויות לערכים דוגמה
json_report לא רלוונטי לא רלוונטי

האם הערך נמצא בעמודה Activelist

בודקים אם ערך מסוים נמצא ברשימה הפעילה .

פרמטרים

שם הפרמטר סוג ערך ברירת המחדל חובה תיאור
מזהה ייחודי אוניברסלי (UUID) של רשימה פעילה String לא רלוונטי כן מזהה UUID של הרשימה הפעילה. דוגמה: cuser.
שם העמודה String לא רלוונטי כן שם העמודה. לדוגמה: sourceUserName.

הפעלה ב-

הפעולה הזו פועלת בכל הישויות.

תוצאות הפעולה

הפעולה הזו יכולה להניב את התוצאות הבאות.

תוצאת הסקריפט
שם תוצאת הסקריפט אפשרויות לערכים דוגמה
Success_Indicator לא רלוונטי לא רלוונטי

פינג

בדיקת הקישוריות.

פרמטרים

אין.

הפעלה ב-

הפעולה הזו פועלת בכל הישויות.

תוצאות הפעולה

הפעולה הזו יכולה להניב את התוצאות הבאות.

תוצאת הסקריפט
שם תוצאת הסקריפט אפשרויות לערכים דוגמה
is_succeed נכון או לא נכון is_succeed:False

אפשר להתחיל חיפוש ב-ArcSight Command Center מערוץ האירועים במסוף. החיפוש המלא של האירוע מחפש את המאפיין המשויך, שמאוחסן בכמה שדות (לדוגמה, abc). החיפוש של אירועים מחפש ערך (לדוגמה, abc) שמאוחסן בשדה שצוין (לדוגמה, בשדה של השם בלבד).

פרמטרים

שם הפרמטר סוג ערך ברירת המחדל חובה תיאור
שאילתת חיפוש String לא רלוונטי כן שאילתת החיפוש.
מספר הפריטים המקסימלי להחזרה מספר שלם 100 לא מציינים כמה פריטים להחזיר בתגובה.

תרחישים לדוגמה

הוספת מגבלה על מספר התוצאות שיוחזרו.

הפעלה ב-

הפעולה הזו פועלת בכל הישויות.

תוצאות הפעולה

הפעולה הזו יכולה להניב את התוצאות הבאות.

תוצאת הסקריפט
שם תוצאת הסקריפט אפשרויות לערכים דוגמה
הפעולה בוצעה נכון או לא נכון success:False
תוצאת JSON
[
    {
        "score": 1.2440307,
        "uuid": "UUID",
        "uri": "/All_Fields/ArcSight_Foundation/Variables_Library/IPv6/Attacker_IPv6_Address",
        "name": "Attacker IPv6 Address"
    }, {
        "score": 1.2440307,
        "uuid": "UUID",
        "uri": "/All_Fields/ArcSight_Foundation/Variables_Library/IPv6/Attacker_IPv6_Address",
        "name": "Attacker IPv6 Address"
    }
]

מחברים

איך מגדירים מחברים ב-Google SecOps?

מחבר Arcsight ESM

המדריך הזה מתייחס לגרסאות 6.9.1 ואילך של ArcSight ESM.

העברת כללים או פניות מ-ESM ל-Google SecOps

עבודה עם כללים/קורלציות שהופעלו

תצטרכו להגדיר את ArcSight ESM כך שיעביר את אובייקטי הקורלציה העדכניים ביותר ל-Google SecOps, בזמן שאתם מגדירים את Google SecOps לפעול ב-ArcSight ESM כספק SIEM, וגם לספק גישה ל-API ל-ArcSight ESM דרך משתמש מורשה.

התכונה הזו מאפשרת ל-Google SecOps לאחזר כללים שהופעלו ב-ArcSight ESM כמעט בזמן אמת, ולהעביר אותם לתרגום ולהוספת הקשר כהתראות לבקשות תמיכה.

זרימת נתונים בין Google SecOps ל-ArcSight ESM

מערכת Google SecOps מוסיפה באופן אוטומטי לאינדקס ויוצרת הקשרים של קורלציות שהועברו ל-Google SecOps והופעלו ב-ArcSight ESM באמצעות מודול ArcSight Forwarding Connector וגישה ל-API.

תעדוף לפי רמת החומרה של המחבר

המחבר מקצה חומרה לפי ערכי העדיפות הבאים:

  • ‫1 ו-2 – נמוכה מאוד
  • ‫3 ו-4 – נמוך
  • ‫5 ו-6 – בינוני
  • ‫7 ו-8 – גבוהה
  • ‫9 ו-10 – קריטי

כניסות קלט של מחברים

כדי להגדיר את המחבר, משתמשים בפרמטרים הבאים:

שם הפרמטר סוג ערך ברירת המחדל חובה תיאור
סביבה DDL לא רלוונטי כן

בוחרים את הסביבה הרצויה, לדוגמה, Customer One.

אם השדה "סביבה" של ההתראה ריק, ההתראה הזו תתווסף לסביבה הזו.
תדירות הרצה מספר שלם 0:0:0:10 לא בוחרים את השעה שבה החיבור יפעל.
שם שדה המוצר String device_product לא

שם השדה שבו מאוחסן שם המוצר.

ערך ברירת המחדל הוא device_product.

שם המוצר משפיע בעיקר על המיפוי. כדי לייעל ולשפר את תהליך המיפוי של המחבר, ערך ברירת המחדל device_product מוחלף בערך חלופי שמוזכר בקוד. כל קלט לא חוקי בפרמטר הזה יקבל ערך חלופי כברירת מחדל.
שם השדה של האירוע String name לא שם השדה שמשמש לקביעת שם האירוע (סוג משנה).
זמן קצוב לתפוגה של סקריפט (בשניות) String 500 לא מגבלת הזמן הקצוב לתפוגה (בשניות) של תהליך Python שמריץ את הסקריפט הנוכחי.
כתובת השרת String לא רלוונטי כן https://{IP}:{PORT}
שם משתמש String לא רלוונטי כן שם המשתמש של חשבון ArcSight.
סיסמה סיסמה לא רלוונטי כן הסיסמה של חשבון ArcSight.
מגבלה על מספר האירועים מספר שלם 15 כן מזינים את מספר האירועים המקסימלי לאחזור לכל קורלציה. מגבילים את מספר האירועים, למשל ל-10.
נתיב התיקייה של הפניות String I:\SiemShare\CorrelationSource כן

המיקום של קובצי התיק, למשל I:\SiemShare\CorrelationSource

הערה: אפשר לשנות את הפרמטר של הנתיב Cases Folder Path (נתיב תיקיית הפניות) מלקוח אחד לאחר.

הנתיב המלא. לדוגמה: C:\Desktop\CorrelationSource
מגבלת מספר ההתראות מספר שלם 10 כן מספר ההתראות המקסימלי לעיבוד בכל מחזור של המחבר, לדוגמה, 10.
שם השדה של הסביבה String event.customerURI כן שם השדה שבו מופיעה הסביבה של הבקשה, לדוגמה event.customerUri.
שדה המוצר של המכשיר המשני String לא רלוונטי לא מחליפים את שדה המוצר המקורי (מ-DeviceProductField של המחבר בערך משדה המוצר המשני). דוגמה: CustomDeviceString2
שמות של שדות מותאמים אישית של התראות String לא רלוונטי לא אפשר למשוך ערכים של שדות בהתאמה אישית מ-ArcSight לתוך ההתראה, כמו baseEventCount,‏ agent_address,‏ device_assetId.
מספר הימים לשמירת קבצים שהושלמו מספר שלם 3 כן כמה ימים לשמור כל קובץ CSV שהושלם.
מספר הימים לשמירת קובצי שגיאות מספר שלם 14 כן כמה ימים לשמור כל קובץ CSV של שגיאות.
כתובת שרת ה-Proxy String לא רלוונטי לא כתובת שרת ה-Proxy שבו רוצים להשתמש.
שם המשתמש בשרת ה-proxy String לא רלוונטי לא שם המשתמש של שרת ה-proxy לאימות.
סיסמת שרת ה-Proxy סיסמה לא רלוונטי לא הסיסמה לאימות מול שרת ה-proxy.

כללי מחברים

המחבר תומך בשרתי proxy.

‫ArcSight – מחבר לאירועי אבטחה

שליפת קורלציות מ-ArcSight. המחבר הזה מתאים לפריסת SaaS של Google SecOps, ומומלץ להשתמש בו בסביבת הייצור.

כדי להשתמש במחבר הזה, צריך לבצע את השלבים המקדימים.

כניסות קלט של מחברים

כדי להגדיר את המחבר, משתמשים בפרמטרים הבאים:

השם המוצג של הפרמטר סוג ערך ברירת המחדל חובה תיאור
שם שדה המוצר String סוג כן

שם השדה שבו מאוחסן שם המוצר.

ערך ברירת המחדל הוא type.

שם המוצר משפיע בעיקר על המיפוי. כדי לייעל ולשפר את תהליך המיפוי של המחבר, ערך ברירת המחדל type מומר לערך חלופי שמופיע בקוד. כל קלט לא חוקי בפרמטר הזה יוחלף בערך חלופי כברירת מחדל.
שם השדה של האירוע String name כן

שם השדה שקובע את שם האירוע (סוג משנה).
שם השדה של הסביבה String "" לא

שם השדה שבו מאוחסן שם הסביבה.

אם שדה הסביבה חסר, המחבר משתמש בערך ברירת המחדל.
Environment Regex Pattern String .* לא נכון לא

תבנית של ביטוי רגולרי להפעלה על הערך שנמצא בשדה Environment Field Name. הפרמטר הזה מאפשר לכם לשנות את שדה הסביבה באמצעות הלוגיקה של הביטוי הרגולרי.

משתמשים בערך ברירת המחדל .* כדי לאחזר את הערך הגולמי הנדרש של Environment Field Name.

אם התבנית של הביטוי הרגולרי היא null או ריקה, או אם ערך הסביבה הוא null, התוצאה הסופית של הסביבה היא סביבת ברירת המחדל.
זמן קצוב לתפוגה של סקריפט (בשניות) מספר שלם 360 כן

מגבלת הזמן הקצוב לתפוגה, בשניות, של תהליך Python שמריץ את הסקריפט הנוכחי.
הרמה הבסיסית (root) של ה-API String https://{ip} כן שורש ה-API של המכונה של ArcSight.
שם משתמש String לא רלוונטי כן שם המשתמש של חשבון ArcSight.
סיסמה סיסמה לא רלוונטי כן הסיסמה של חשבון ArcSight.
שם הדוח String לא רלוונטי כן שם הדוח שישמש לאחזור אירועים.
אחזור אירועי בסיס תיבת סימון סימן אישור כן אם המדיניות מופעלת, המחבר יאחזר גם אירועי בסיס.
העדיפות הנמוכה ביותר לאחזור מספר שלם לא רלוונטי לא העדיפות הנמוכה ביותר שתשמש לאחזור אירועים. הערכים האפשריים הם בטווח שבין 1 ל-10. אם לא תציינו שום דבר, המערכת תטמיע את כל האירועים.
מספר האירועים המקסימלי לאחזור מספר שלם 100 לא מספר ההתראות לעיבוד בכל איטרציה של המחבר. המספר המקסימלי המותר הוא 1,000.
שימוש ברשימה דינמית כרשימת חסימה תיבת סימון סימן אישור כן

אם בוחרים באפשרות הזו, המחבר משתמש ברשימה הדינמית כרשימת חסימה.
אימות SSL תיבת סימון התיבה לא מסומנת כן אם בוחרים באפשרות הזו, השילוב מאמת את אישור ה-SSL כשמתחברים לשרת ArcSight.
כתובת שרת ה-Proxy String לא רלוונטי לא כתובת שרת ה-Proxy שבו רוצים להשתמש.
שם המשתמש בשרת ה-proxy String לא רלוונטי לא שם המשתמש של שרת ה-proxy לאימות.
סיסמת שרת ה-Proxy סיסמה לא הסיסמה לאימות מול שרת ה-proxy.

כללי מחברים

המחבר תומך בשרתי proxy.

תעסוקה

מידע נוסף על משימות זמין במאמרים הגדרת משימה חדשה ו תזמון מתקדם.

סגירת בקשות תמיכה

למשימה נדרשים הפרמטרים הבאים:

שם הפרמטר סוג ערך ברירת המחדל חובה תיאור
כתובת השרת String 192.0.2.1 כן לא רלוונטי
שם משתמש String לא רלוונטי כן לא רלוונטי
סיסמה סיסמה לא רלוונטי כן לא רלוונטי

הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.