Mengintegrasikan ArcSight dengan Google SecOps

Dokumen ini menjelaskan cara mengintegrasikan ArcSight dengan Google Security Operations.

Catatan: Integrasi ini menggunakan satu atau beberapa komponen open source. Anda dapat mendownload salinan kode sumber lengkap integrasi ini dari bucket penyimpanan.

Sebelum memulai

Sebelum mengonfigurasi integrasi ArcSight ESM di Google SecOps, pastikan lingkungan Anda memenuhi persyaratan koneksi dan izin untuk konektor, tugas, dan tindakan Anda.

Untuk menyiapkan lingkungan Anda untuk integrasi, penuhi prasyarat berikut:

1. Verifikasi persyaratan integrasi dasar untuk menetapkan line-of-sight jaringan dan autentikasi terprogram.

2. Untuk menyerap peristiwa keamanan atau kasus korelasi ke Google SecOps, konfigurasikan persyaratan khusus konektor.

3. Untuk memberikan hak istimewa terperinci untuk pengelolaan kasus dan otomatisasi playbook, konfigurasikan persyaratan khusus tugas dan tindakan.

4. Tinjau alur kerja konfigurasi untuk memahami urutan penyediaan di ArcSight ESM dan Google SecOps.

Persyaratan integrasi dasar

Integrasi dasar membuat koneksi HTTPS inti dan sesi autentikasi yang digunakan di semua tindakan, konektor, dan tugas Google SecOps.

Konfigurasikan persyaratan dasar berikut di lingkungan Anda:

1. Line-of-sight jaringan: Aktifkan komunikasi HTTPS dari instance Google SecOps atau Agen Jarak Jauh ke server ArcSight ESM di port pengelolaan (default: 8443/TCP).

2. Akses REST API: Verifikasi akses langsung ke layanan REST ArcSight ESM yang terletak di https://<esm-host>:8443/www/manager-service/rest/ dan https://<esm-host>:8443/www/core-service/rest/ seperti yang dijelaskan dalam Panduan API Layanan Web REST ArcSight ESM.

3. Kepercayaan SSL/TLS: Berikan file sertifikat CA root dan perantara PEM berenkode Base64 jika deployment ArcSight ESM Anda menggunakan certificate authority pribadi atau yang ditandatangani sendiri.

4. Properti akun layanan: Buat akun layanan ArcSight khusus dengan jenis pengguna Web User (direkomendasikan untuk menghindari penggunaan lisensi kursi Konsol interaktif) atau Normal User, dan pastikan Login Enabled ditetapkan ke aktif.

   Untuk prosedur administrasi pengguna, lihat bagian "Mengelola Pengguna" di Panduan Administrator ArcSight ESM.

5. Keanggotaan grup dasar: Tetapkan pengguna layanan ke grup pengguna khusus (misalnya, SecOps_Integration_Group) untuk mengelola semua hak istimewa operasi downstream, ACL resource, dan filter peristiwa secara terpusat.

   Untuk prosedur konfigurasi grup, lihat bagian "Mengelola Grup Pengguna" di Panduan Administrator ArcSight ESM.

Persyaratan khusus konektor

Konektor penyerapan menarik pemberitahuan dan peristiwa keamanan ke Google SecOps serta memerlukan cakupan data khusus dan izin operasional di luar integrasi dasar.

Konfigurasikan prasyarat yang sesuai dengan konektor penyerapan yang Anda pilih:

1. Penetapan filter peristiwa: Tetapkan filter peristiwa (seperti All Events atau filter organisasi tercakup) ke grup pengguna integrasi untuk menentukan cakupan data peristiwa keamanan yang dapat diambil konektor.

   Untuk mengetahui petunjuk tentang cara mengonfigurasi filter peristiwa tingkat grup, lihat Panduan Administrator ArcSight ESM.

2. ArcSight - Security Events Connector: Berikan hak istimewa operasi Security Events: Inspect, Reports: Inspect, dan Reports: Execute, serta tetapkan izin ACL Read dan Execute pada resource laporan tertentu di ArcSight yang mengekspor peristiwa korelasi

   Untuk prosedur ACL resource, lihat bagian "Mengelola Kontrol Akses pada Resource" di Panduan Pengguna Konsol ArcSight ESM.

3. ArcSight ESM Connector: Berikan hak istimewa operasi Security Events: Inspect dan Cases: Inspect, serta tetapkan izin ACL Read pada folder kasus target dan resource korelasi sesuai dengan Panduan Pengguna Konsol ArcSight ESM.

Persyaratan khusus tugas dan tindakan

Tugas terjadwal dan tindakan playbook mewarisi koneksi integrasi dasar dan memerlukan hak istimewa operasi terperinci dan izin ACL level objek, bergantung pada resource ArcSight tertentu yang berinteraksi dengannya.

Berikan hak istimewa dan ACL berdasarkan kemampuan integrasi yang Anda deploy:

1. Pengaktifan tindakan: Tindakan playbook tidak memerlukan konfigurasi koneksi terpisah di Google SecOps. Memberikan hak istimewa operasi dan ACL resource yang diperlukan ke grup akun layanan di ArcSight akan langsung mengaktifkannya untuk penggunaan playbook.

2. Tugas Close Cases: Berikan hak istimewa operasi Cases: Inspect dan Cases: Edit, serta tetapkan izin ACL Read dan Modify pada folder kasus target seperti yang diuraikan dalam ArcSight ESM Console User's Guide.

3. Tindakan daftar aktif: Berikan hak istimewa operasi Active Lists: Inspect dan Active Lists: Edit Content (atau Active Lists: Edit), dan tetapkan izin ACL Read dan Write pada daftar aktif tertentu yang ditargetkan oleh parameter tindakan playbook Anda.

4. Tindakan pengelolaan kasus: Memberikan hak istimewa operasi Cases: Inspect dan Cases: Edit, serta menetapkan izin ACL Read dan Modify pada folder kasus target.

5. Tindakan kueri dan penelusuran: Memberikan hak istimewa operasi Query Viewers: Inspect dan Query Viewers: Execute, serta menetapkan izin ACL Read dan Execute pada pelihat kueri target.

6. Tindakan laporan: Memberikan hak istimewa operasi Reports: Inspect dan Reports: Execute, serta menetapkan izin ACL Read dan Execute pada laporan target.

Pemetaan izin komponen

Tabel berikut menguraikan hak istimewa operasi minimum yang diperlukan dan ACL resource untuk setiap jenis komponen integrasi.

Tinjau tabel berikut untuk memahami persyaratan izin:

1. Sesi dasar: Integrasi dasar hanya memerlukan kredensial login yang valid dan hak pengguna terautentikasi default.

2. Konektor penyerapan: Konektor memerlukan hak pemfilteran peristiwa, hak istimewa pemeriksaan peristiwa, dan akses baca ke laporan atau kasus.

3. Tugas dan tindakan: Tindakan playbook dan tugas sinkronisasi memerlukan hak istimewa tugas fungsional dan izin ACL pada resource tertentu yang diakses, yang dikonfigurasi menggunakan Panduan Pengguna Konsol ArcSight ESM.

Jenis Komponen	Nama Komponen	Layanan API	Hak Istimewa Operasi yang Diperlukan	ACL Resource yang Diperlukan
Integrasi Dasar	Koneksi & Autentikasi Dasar	LoginService	Hak istimewa pengguna terautentikasi default	Tidak ada
Konektor	ArcSight - Security Events Connector	SecurityEventService, ReportService	Security Events: Inspect, Reports: Inspect, Reports: Execute	Read dan Execute pada resource laporan target
Konektor	Konektor ArcSight ESM	SecurityEventService, CaseService	Security Events: Inspect, Cases: Inspect	Read pada folder kasus target dan objek korelasi
Tugas	Tugas Tutup Kasus	CaseService	Cases: Inspect, Cases: Edit	Read dan Modify di folder kasus target
Tindakan	Tindakan Daftar Aktif (Menambahkan Entitas, Menambahkan Entri, Mendapatkan Entri, Memeriksa Nilai)	ActiveListService	Active Lists: Inspect, Active Lists: Edit Content (atau Active Lists: Edit)	Read dan Write di daftar aktif target
Tindakan	Tindakan Mengubah Tahap Kasus	CaseService	Cases: Inspect, Cases: Edit	Read dan Modify di folder kasus target
Tindakan	Tindakan Kueri & Penelusuran (Dapatkan Hasil Kueri, Telusuri)	QueryViewerService, SearchService	Query Viewers: Inspect, Query Viewers: Execute	Read dan Execute pada penampil kueri target
Tindakan	Tindakan Dapatkan Laporan	ReportService	Reports: Inspect, Reports: Execute	Laporan Read dan Execute sesuai target
Tindakan	Tindakan Mencantumkan Resource	ActiveListService, CaseService, QueryViewerService, ReportService	Hak istimewa Inspect untuk setiap jenis resource yang diaktifkan	Read di folder resource target

Alur kerja konfigurasi

Ikuti alur kerja multifase ini untuk menyediakan izin di ArcSight ESM dan mengaktifkan komponen yang Anda pilih di Google SecOps.

Selesaikan langkah-langkah konfigurasi dalam urutan berikut:

1. Penyediaan akun layanan dan grup ArcSight: Buat pengguna layanan khusus di ArcSight ESM, buat grup pengguna khusus, tetapkan pengguna layanan ke grup, dan terapkan filter peristiwa untuk menentukan visibilitas data seperti yang dijelaskan dalam Panduan Administrator ArcSight ESM.

2. Tetapkan hak istimewa dan ACL untuk komponen yang dipilih: Lakukan referensi silang konektor, tugas, dan tindakan yang Anda rencanakan dengan tabel pemetaan izin komponen, berikan hak istimewa operasi yang sesuai kepada grup pengguna, dan tetapkan ACL tingkat objek (seperti Read/Write pada daftar aktif atau Read/Execute pada laporan) pada folder resource target tertentu di Panduan Pengguna Konsol ArcSight ESM.

3. Konfigurasi di Google SecOps: Konfigurasikan integrasi dasar, konektor penyerapan, tugas terjadwal, dan tindakan playbook di Google SecOps seperti yang dijelaskan di bagian berikut.

Parameter integrasi

Gunakan parameter berikut untuk mengonfigurasi integrasi:

Nama parameter	Jenis	Nilai default	Wajib	Deskripsi
Nama Instance	String	T/A	Tidak	Nama instance yang ingin Anda konfigurasi integrasinya.
Deskripsi	String	T/A	Tidak	Deskripsi instance.
Root API	String	https://{IP}:{PORT}	Ya	Alamat server instance ArcSight.
Nama pengguna	String	T/A	Ya	Nama pengguna akun ArcSight.
Sandi	Sandi	T/A	Ya	Sandi akun ArcSight.
Menjalankan dari Jarak Jauh	Kotak centang	Tidak dicentang	Tidak	Centang kolom untuk menjalankan integrasi yang dikonfigurasi dari jarak jauh. Setelah dicentang, opsi akan muncul untuk memilih pengguna jarak jauh (agen).

Untuk mendapatkan petunjuk tentang cara mengonfigurasi integrasi di Google SecOps, lihat Mengonfigurasi integrasi.

Anda dapat melakukan perubahan pada tahap selanjutnya, jika diperlukan. Setelah mengonfigurasi instance integrasi, Anda dapat menggunakannya dalam playbook. Untuk mengetahui informasi selengkapnya tentang cara mengonfigurasi dan mendukung beberapa instance, lihat Mendukung beberapa instance.

Tindakan

Untuk mengetahui informasi selengkapnya tentang tindakan, lihat Merespons tindakan yang tertunda dari meja kerja Anda dan Menjalankan tindakan manual dalam kasus Anda.

Menambahkan Entri ke Daftar Aktif

Menyediakan mekanisme untuk mendapatkan informasi dari tren di luar, dan selain, laporan. Daftar aktif yang diperbarui oleh tren mendukung tampilan ringkasan informasi dari beberapa tren.

Parameter

Nama parameter	Jenis	Nilai default	Wajib	Deskripsi
Kolom	String	T/A	Ya	Contoh: Message;Username
Entri	String	T/A	Ya	Contoh: test1|Me1;Test|Me2
UUID Daftar Aktif	String	T/A	Ya	Contoh: HCN75QGABABCZXCOdT9P51w==

Dijalankan pada

Tindakan ini berjalan di semua entity.

Hasil tindakan

Tindakan ini dapat memberikan hasil berikut.

Hasil skrip

Nama hasil skrip	Opsi nilai	Contoh
is_succeed	Benar atau Salah	is_succeed:False

Ubah Tahap Kasus

Mengubah tahap kasus. Tahapan yang valid adalah INITIAL, QUEUED, CLOSED, FINAL, dan FOLLOW_UP.

Parameter

Nama parameter	Jenis	Nilai default	Wajib	Deskripsi
Nama Kasus	String	T/A	Ya	Nama kasus yang akan diperbarui.
Tahap	String	T/A	Ya	Tahap kasus. Contoh: CLOSED, INITIAL

Dijalankan pada

Tindakan ini berjalan di semua entity.

Hasil tindakan

Tindakan ini dapat memberikan hasil berikut.

Hasil skrip

Nama hasil skrip	Opsi nilai	Contoh
berhasil	Benar atau Salah	success:False

Mendapatkan Entri Activelist

Mengambil entri daftar aktif ArcSight dan menampilkan output csv.

Parameter

Nama parameter	Jenis	Nilai default	Wajib	Deskripsi
UUID daftar aktif	String	T/A	Ya	Contoh: HTcILQWABABCr553ieI0Xmw==

Dijalankan pada

Tindakan ini berjalan di semua entity.

Hasil tindakan

Tindakan ini dapat memberikan hasil berikut.

Hasil skrip

Nama hasil skrip	Opsi nilai	Contoh
Success_Indicator	T/A	T/A

Hasil JSON

[
"12346e4d96f0a72c42015d69aaf0e8ab ,
 file.txt",
 "0e0776034e5e096704cd28cbd40cdbb5 ,
 Test.config"
]

Mendapatkan Hasil Kueri

Mendapatkan hasil kueri berdasarkan ID kueri. Kueri dapat digunakan sebagai sumber data utama untuk laporan, atau tren (berdasarkan satu kueri) yang dapat digunakan sebagai sumber data untuk kueri lain yang lebih menyaring hasil kueri awal.

Parameter

Nama parameter	Jenis	Nilai default	Wajib	Deskripsi
ID Kueri	String	T/A	Ya	ID kueri.
Jumlah Item Maksimum yang Akan Ditampilkan	Bilangan bulat	100	Tidak	Tentukan jumlah item yang akan ditampilkan dalam respons.

Kasus Penggunaan

Tambahkan batasan untuk jumlah hasil yang akan ditampilkan.

Dijalankan pada

Tindakan ini berjalan di semua entity.

Hasil tindakan

Tindakan ini dapat memberikan hasil berikut.

Hasil skrip

Nama hasil skrip	Opsi nilai	Contoh
berhasil	Benar atau Salah	success:False

Hasil JSON

[
    {
        "Target User Name": "user",
        "Attacker Address": "192.0.2.1",
        "External ID": "127",
        "Name": "A Kerberos authentication ticket (TGT) was requested.",
        "Target Address": "192.0.2.1"
    },{
        "Target User Name": "user",
        "Attacker Address": "192.0.2.1",
        "External ID": "127",
        "Name": "A Kerberos authentication ticket (TGT) was requested.",
        "Target Address": "192.0.2.1"
    }
]

Dapatkan Laporannya

Mendapatkan laporan dengan kolom dinamis. Laporan adalah resource ArcSight yang mengikat data dari kueri atau tren ke template laporan yang ada. Setelah dijalankan, hasil laporan dapat dilihat di panel penampil konsol ArcSight, disimpan (diarsipkan), atau diekspor dalam berbagai format. Laporan dapat dijadwalkan untuk dijalankan secara berkala dan dapat dijalankan on-demand sesuai kebutuhan.

Parameter

Nama parameter	Jenis	Nilai default	Wajib	Deskripsi
Laporkan Jalur Lengkap (URI)	String	T/A	Ya	URI laporan yang relevan.
Kolom 2	String	T/A	Tidak	Kolom dinamis untuk kueri guna membuat laporan.
Kolom 3	String	T/A	Tidak	Kolom dinamis untuk kueri guna membuat laporan.
Kolom 4	String	T/A	Tidak	Kolom dinamis untuk kueri guna membuat laporan.
Kolom 6	String	T/A	Tidak	Kolom dinamis untuk kueri guna membuat laporan.
Kolom 6	String	T/A	Tidak	Kolom dinamis untuk kueri guna membuat laporan.
Kolom 7	String	T/A	Tidak	Kolom dinamis untuk kueri guna membuat laporan.
Kolom 8	String	T/A	Tidak	Kolom dinamis untuk kueri guna membuat laporan.
Kolom 9	String	T/A	Tidak	Kolom dinamis untuk kueri guna membuat laporan.
Kolom 10	String	T/A	Tidak	Kolom dinamis untuk kueri guna membuat laporan.

Dijalankan pada

Tindakan ini berjalan di semua entity.

Hasil tindakan

Tindakan ini dapat memberikan hasil berikut.

Hasil skrip

Nama hasil skrip	Opsi nilai	Contoh
json_report	T/A	T/A

Is Value in Activelist Column

Memeriksa apakah nilai tertentu ada dalam daftar aktif .

Parameter

Nama parameter	Jenis	Nilai default	Wajib	Deskripsi
UUID daftar aktif	String	T/A	Ya	UUID daftar aktif. Contoh: Contoh: cuser.
Nama kolom	String	T/A	Ya	Nama kolom. Contoh: sourceUserName.

Dijalankan pada

Tindakan ini berjalan di semua entity.

Hasil tindakan

Tindakan ini dapat memberikan hasil berikut.

Hasil skrip

Nama hasil skrip	Opsi nilai	Contoh
Success_Indicator	T/A	T/A

Ping

Menguji Konektivitas.

Parameter

Tidak ada.

Dijalankan pada

Tindakan ini berjalan di semua entity.

Hasil tindakan

Tindakan ini dapat memberikan hasil berikut.

Hasil skrip

Nama hasil skrip	Opsi nilai	Contoh
is_succeed	Benar atau Salah	is_succeed:False

Telusuri

Anda dapat memulai penelusuran di ArcSight Command Center dari saluran peristiwa konsol. Event Complete Search mencari atribut terkait, yang disimpan di beberapa kolom (misalnya, abc). Penelusuran peristiwa menelusuri nilai (misalnya, abc) yang disimpan dalam kolom yang ditentukan (misalnya, hanya di kolom nama).

Parameter

Nama parameter	Jenis	Nilai default	Wajib	Deskripsi
Kueri Penelusuran	String	T/A	Ya	Kueri penelusuran.
Jumlah Item Maksimum yang Akan Ditampilkan	Bilangan bulat	100	Tidak	Tentukan jumlah item yang akan ditampilkan dalam respons.

Kasus Penggunaan

Tambahkan batasan untuk jumlah hasil yang akan ditampilkan.

Dijalankan pada

Tindakan ini berjalan di semua entity.

Hasil tindakan

Tindakan ini dapat memberikan hasil berikut.

Hasil skrip

Nama hasil skrip	Opsi nilai	Contoh
berhasil	Benar atau Salah	success:False

Hasil JSON

[
    {
        "score": 1.2440307,
        "uuid": "UUID",
        "uri": "/All_Fields/ArcSight_Foundation/Variables_Library/IPv6/Attacker_IPv6_Address",
        "name": "Attacker IPv6 Address"
    }, {
        "score": 1.2440307,
        "uuid": "UUID",
        "uri": "/All_Fields/ArcSight_Foundation/Variables_Library/IPv6/Attacker_IPv6_Address",
        "name": "Attacker IPv6 Address"
    }
]

Konektor

Untuk mempelajari lebih lanjut cara mengonfigurasi konektor di Google SecOps, lihat Menyerap data (konektor).

Catatan: Untuk mencegah kehilangan data, konektor menggunakan Perataan Peristiwa. Jika pemberitahuan mentah berisi daftar entitas (seperti beberapa alamat email, nama host, atau alamat IP), konektor akan otomatis meratakannya menjadi peristiwa yang terpisah dan unik.

Misalnya, satu pemberitahuan mentah yang berisi tiga alamat email berbeda diserap sebagai tiga peristiwa terpisah, yang masing-masing berisi satu alamat email yang berbeda.

Proses ini memastikan bahwa setiap entity diindeks dengan benar sebagai aset unik, sehingga dapat sepenuhnya ditelusuri dan ditindaklanjuti dalam playbook.

Arcsight ESM Connector

Panduan ini mengacu pada ArcSight ESM versi 6.9.1 dan yang lebih baru.

Penerusan aturan atau kasus ESM ke Google SecOps

Bekerja dengan Aturan/Korelasi yang Dipicu

Anda akan diminta untuk mengonfigurasi ArcSight ESM agar meneruskan objek korelasi terbaru ke Google SecOps saat Anda mengonfigurasi Google SecOps untuk berfungsi di ArcSight ESM sebagai penyedia SIEM, dan juga untuk memberikan akses API ke ArcSight ESM melalui pengguna yang diberi otorisasi.

Fitur ini memungkinkan Google SecOps mengambil aturan yang dipicu dalam ArcSight ESM hampir secara real-time dan meneruskannya untuk diterjemahkan dan dikontekstualisasikan sebagai pemberitahuan untuk kasus.

Aliran Data antara Google SecOps dan ArcSight ESM

Google SecOps otomatis mengindeks dan mengontekstualisasi korelasi yang diteruskan ke Google SecOps dan dipicu di ArcSight ESM melalui modul ArcSight Forwarding Connector dan akses API.

Prioritas tingkat keparahan konektor

Konektor menetapkan tingkat keparahan dengan nilai prioritas berikut:

• 1 dan 2 - sangat rendah
• 3 dan 4 - rendah
• 5 dan 6 - sedang
• 7 dan 8 - tinggi
• 9 dan 10 - kritis

Input konektor

Gunakan parameter berikut untuk mengonfigurasi konektor:

Nama parameter	Jenis	Nilai default	Wajib	Deskripsi
Lingkungan	DDL	T/A	Ya	Pilih lingkungan yang diperlukan, misalnya, Customer One. Jika kolom Environment pemberitahuan kosong, pemberitahuan ini akan dimasukkan ke lingkungan ini.
Jalankan Setiap	Bilangan bulat	0:0:0:10	Tidak	Pilih waktu untuk menjalankan koneksi.
Nama Kolom Produk	String	device_product	Tidak	Nama kolom tempat nama produk disimpan. Nilai defaultnya adalah device_product. Nama produk terutama memengaruhi pemetaan. Untuk menyederhanakan dan meningkatkan proses pemetaan untuk konektor, nilai default device_product di-resolve ke nilai pengganti yang direferensikan dari kode. Setiap input yang tidak valid untuk parameter ini akan di-resolve ke nilai penggantian secara default.
Nama Kolom Peristiwa	String	nama	Tidak	Nama kolom yang digunakan untuk menentukan nama peristiwa (subjenis).
Waktu Tunggu Skrip (detik)	String	500	Tidak	Batas waktu tunggu (dalam detik) untuk proses python yang menjalankan skrip saat ini.
Alamat Server	String	T/A	Ya	https://{IP}:{PORT}
Nama pengguna	String	T/A	Ya	Nama pengguna akun ArcSight.
Sandi	Sandi	T/A	Ya	Sandi akun ArcSight.
Batas Jumlah Peristiwa	Bilangan bulat	15	Ya	Masukkan jumlah maksimum peristiwa yang akan diambil per korelasi. Batasi jumlah peristiwa, misalnya, 10.
Jalur Folder Kasus	String	I:\SiemShare\CorrelationSource	Ya	Lokasi file kasus, seperti I:\SiemShare\CorrelationSource Catatan: Parameter jalur Folder Kasus dapat diubah dari satu pelanggan ke pelanggan lain. Jalur lengkap. Contoh: C:\Desktop\CorrelationSource
Batas Jumlah Pemberitahuan	Bilangan bulat	10	Ya	Jumlah maksimum pemberitahuan yang akan diproses per siklus konektor, misalnya, 10.
Nama Kolom Lingkungan	String	event.customerURI	Ya	Nama kolom untuk mendapatkan lingkungan kasus, misalnya, event.customerUri.
Kolom Produk Perangkat Sekunder	String	T/A	Tidak	Ganti kolom produk asli (dari DeviceProductField konektor dengan nilai dari kolom produk sekunder). Contoh: Contoh: CustomDeviceString2
Nama Kolom Kustom Pemberitahuan	String	T/A	Tidak	Tarik nilai kolom kustom dari ArcSight ke dalam pemberitahuan, seperti baseEventCount,agent_address,device_assetId.
Hari retensi file yang selesai	Bilangan bulat	3	Ya	Jumlah hari untuk menyimpan setiap file csv DONE.
Hari retensi file error	Bilangan bulat	14	Ya	Jumlah hari untuk menyimpan setiap file csv ERROR.
Alamat Server Proxy	String	T/A	Tidak	Alamat server proxy yang akan digunakan.
Nama Pengguna Proxy	String	T/A	Tidak	Nama pengguna proxy untuk melakukan autentikasi.
Sandi Proxy	Sandi	T/A	Tidak	Sandi proxy untuk melakukan autentikasi.

Aturan konektor

Konektor mendukung proxy.

ArcSight - Security Events Connector

Tarik korelasi dari ArcSight. Konektor ini cocok untuk deployment SaaS Google SecOps dan direkomendasikan untuk penggunaan produksi.

Catatan: Daftar dinamis berfungsi dengan parameter name.

Konektor ini memerlukan penyelesaian langkah-langkah prasyarat.

Input konektor

Gunakan parameter berikut untuk mengonfigurasi konektor:

Nama Tampilan Parameter	Jenis	Nilai Default	Wajib	Deskripsi
Nama Kolom Produk	String	jenis	Ya	Nama kolom tempat nama produk disimpan. Nilai defaultnya adalah type. Nama produk terutama memengaruhi pemetaan. Untuk menyederhanakan dan meningkatkan proses pemetaan untuk konektor, nilai default type di-resolve ke nilai pengganti yang direferensikan dari kode. Setiap input yang tidak valid untuk parameter ini akan di-resolve ke nilai penggantian secara default.
Nama Kolom Peristiwa	String	nama	Ya	Nama kolom yang menentukan nama peristiwa (subjenis).
Nama Kolom Lingkungan	String	""	Tidak	Nama kolom tempat nama lingkungan disimpan. Jika kolom lingkungan tidak ada, konektor akan menggunakan nilai default.
Environment Regex Pattern	String	.*	FALSE	Tidak	Pola ekspresi reguler yang akan dijalankan pada nilai yang ditemukan di kolom Environment Field Name. Parameter ini memungkinkan Anda memanipulasi kolom lingkungan menggunakan logika ekspresi reguler. Gunakan nilai default .* untuk mengambil nilai Environment Field Name mentah yang diperlukan. Jika pola ekspresi reguler null atau kosong, atau nilai lingkungan null, hasil lingkungan akhir adalah lingkungan default.
Waktu Tunggu Skrip (Detik)	Bilangan bulat	360	Ya	Batas waktu tunggu, dalam detik, untuk proses Python yang menjalankan skrip saat ini.
Root API	String	https://{ip}	Ya	Root API instance ArcSight.
Nama pengguna	String	T/A	Ya	Nama pengguna akun ArcSight.
Sandi	Sandi	T/A	Ya	Sandi akun ArcSight.
Nama Laporan	String	T/A	Ya	Nama laporan yang akan digunakan untuk mengambil peristiwa.
Mengambil Peristiwa Dasar	Kotak centang	Dicentang	Ya	Jika diaktifkan, konektor juga akan mengambil peristiwa dasar.
Prioritas Terendah untuk Diambil	Bilangan bulat	T/A	Tidak	Prioritas terendah yang akan digunakan untuk mengambil peristiwa. Nilai yang mungkin berada dalam rentang 1 hingga 10. Jika tidak ada yang diberikan, semua peristiwa akan diserap.
Jumlah Maksimum Peristiwa yang Akan Diambil	Bilangan bulat	100	Tidak	Jumlah pemberitahuan yang akan diproses per iterasi konektor. Nilai maksimum yang diizinkan adalah 1000.
Menggunakan daftar dinamis sebagai daftar yang tidak diizinkan	Kotak centang	Dicentang	Ya	Jika dipilih, konektor akan menggunakan daftar dinamis sebagai daftar yang tidak diizinkan.
Verifikasi SSL	Kotak centang	Tidak dicentang	Ya	Jika dipilih, integrasi akan memvalidasi sertifikat SSL saat terhubung ke server ArcSight.
Alamat Server Proxy	String	T/A	Tidak	Alamat server proxy yang akan digunakan.
Nama Pengguna Proxy	String	T/A	Tidak	Nama pengguna proxy untuk melakukan autentikasi.
Sandi Proxy	Sandi		Tidak	Sandi proxy untuk melakukan autentikasi.

Aturan konektor

Konektor mendukung proxy.

Pekerjaan

Untuk mengetahui informasi selengkapnya tentang tugas, lihat Mengonfigurasi tugas baru dan Penjadwalan lanjutan.

Tutup Kasus

Tugas ini memerlukan parameter berikut:

Nama parameter	Jenis	Nilai default	Wajib	Deskripsi
Alamat Server	String	192.0.2.1	Ya	T/A
Nama pengguna	String	T/A	Ya	T/A
Sandi	Sandi	T/A	Ya	T/A

Perlu bantuan lain? Dapatkan jawaban dari anggota Komunitas dan profesional Google SecOps.