Mengintegrasikan ArcSight dengan Google SecOps

Dokumen ini menjelaskan cara mengintegrasikan ArcSight dengan Google Security Operations.

Catatan: Integrasi ini menggunakan satu atau beberapa komponen open source. Anda dapat mendownload salinan kode sumber lengkap integrasi ini dari bucket penyimpanan.

Sebelum memulai

Sebelum mengonfigurasi integrasi ArcSight ESM di Google SecOps, pastikan lingkungan Anda memenuhi persyaratan koneksi dan izin untuk konektor, tugas, dan tindakan Anda.

Untuk menyiapkan lingkungan Anda agar dapat melakukan integrasi, selesaikan prasyarat berikut:

1. Verifikasi persyaratan integrasi dasar untuk membuat koneksi visual jaringan dan autentikasi terprogram.

2. Untuk menyerap peristiwa keamanan atau kasus korelasi ke Google SecOps, konfigurasikan persyaratan khusus konektor.

3. Untuk memberikan hak istimewa terperinci bagi pengelolaan kasus dan otomatisasi playbook, konfigurasi persyaratan khusus tugas dan tindakan.

4. Tinjau alur kerja konfigurasi untuk memahami urutan penyediaan di ArcSight ESM dan Google SecOps.

Persyaratan integrasi dasar

Integrasi dasar membuat koneksi HTTPS dan sesi autentikasi inti yang digunakan di semua tindakan, konektor, dan tugas Google SecOps.

Konfigurasi persyaratan dasar berikut di lingkungan Anda:

1. Jaringan dalam jangkauan: Aktifkan komunikasi HTTPS dari instance Google SecOps atau Agen Jarak Jauh ke server ArcSight ESM di port pengelolaan (default: 8443/TCP).

2. Akses REST API: Verifikasi akses langsung ke layanan REST ArcSight ESM yang terletak di https://<esm-host>:8443/www/manager-service/rest/ dan https://<esm-host>:8443/www/core-service/rest/ seperti yang dijelaskan dalam Panduan API Layanan Web REST ArcSight ESM.

3. Kepercayaan SSL/TLS: Berikan file sertifikat CA root dan menengah PEM yang dienkode Base64 jika deployment ArcSight ESM Anda menggunakan certificate authority pribadi atau yang ditandatangani sendiri.

4. Properti akun layanan: Buat akun layanan ArcSight khusus dengan jenis pengguna Web User (direkomendasikan untuk menghindari penggunaan lisensi tempat Konsol interaktif) atau Normal User, dan pastikan Login Enabled disetel ke aktif.

   Untuk prosedur administrasi pengguna, lihat bagian "Managing Users" dalam ArcSight ESM Administrator's Guide.

5. Keanggotaan grup dasar: Tetapkan pengguna layanan ke grup pengguna khusus (misalnya, SecOps_Integration_Group) untuk mengelola semua hak istimewa operasi hilir, ACL resource, dan filter peristiwa secara terpusat.

   Untuk prosedur konfigurasi grup, lihat bagian "Managing User Groups" dalam ArcSight ESM Administrator's Guide.

Persyaratan khusus konektor

Konektor penyerapan menarik pemberitahuan dan peristiwa keamanan ke Google SecOps dan memerlukan cakupan data khusus serta izin operasional di luar integrasi dasar.

Konfigurasi prasyarat yang sesuai dengan konektor penyerapan yang Anda pilih:

1. Penetapan filter peristiwa: Tetapkan filter peristiwa (seperti All Events atau filter organisasi yang tercakup) ke grup pengguna integrasi untuk menentukan cakupan data peristiwa keamanan yang dapat diambil oleh konektor.

   Untuk mengetahui petunjuk tentang cara mengonfigurasi filter peristiwa tingkat grup, lihat Panduan Administrator ArcSight ESM.

2. ArcSight - Security Events Connector: Berikan hak istimewa operasi Security Events: Inspect, Reports: Inspect, dan Reports: Execute, serta tetapkan izin ACL Read dan Execute pada resource laporan tertentu di ArcSight yang mengekspor peristiwa korelasi

   Untuk prosedur ACL resource, lihat bagian "Managing Access Control on Resources" di ArcSight ESM Console User's Guide.

3. Konektor ArcSight ESM: Berikan hak istimewa operasi Security Events: Inspect dan Cases: Inspect, serta tetapkan izin ACL Read pada folder kasus target dan resource korelasi sesuai dengan Panduan Pengguna Konsol ArcSight ESM.

Persyaratan khusus tugas dan tindakan

Tugas terjadwal dan tindakan playbook mewarisi koneksi integrasi dasar dan memerlukan hak istimewa operasi terperinci dan izin ACL tingkat objek bergantung pada resource ArcSight tertentu yang berinteraksi dengannya.

Berikan hak istimewa dan ACL berdasarkan kemampuan integrasi yang Anda deploy:

1. Pengaktifan tindakan: Tindakan playbook tidak memerlukan konfigurasi koneksi terpisah di Google SecOps. Memberikan hak istimewa operasi yang diperlukan dan ACL resource ke grup akun layanan di ArcSight akan langsung mengaktifkannya untuk penggunaan playbook.

2. Tutup tugas Kasus: Berikan hak istimewa operasi Cases: Inspect dan Cases: Edit, serta tetapkan izin ACL Read dan Modify pada folder kasus target seperti yang diuraikan dalam Panduan Pengguna Konsol ArcSight ESM.

3. Tindakan daftar aktif: Berikan hak istimewa operasi Active Lists: Inspect dan Active Lists: Edit Content (atau Active Lists: Edit), serta tetapkan izin ACL Read dan Write pada daftar aktif tertentu yang ditargetkan oleh parameter tindakan playbook Anda.

4. Tindakan pengelolaan kasus: Berikan hak istimewa operasi Cases: Inspect dan Cases: Edit, serta tetapkan izin ACL Read dan Modify pada folder kasus target.

5. Tindakan kueri dan penelusuran: Berikan hak istimewa operasi Query Viewers: Inspect dan Query Viewers: Execute, serta tetapkan izin ACL Read dan Execute pada pelihat kueri target.

6. Tindakan laporan: Berikan hak istimewa operasi Reports: Inspect dan Reports: Execute, serta tetapkan izin ACL Read dan Execute pada laporan target.

Pemetaan izin komponen

Tabel berikut menguraikan hak istimewa operasi dan ACL resource minimum yang diperlukan untuk setiap jenis komponen integrasi.

Tinjau tabel berikut untuk memahami persyaratan izin:

1. Sesi dasar: Integrasi dasar hanya memerlukan kredensial login yang valid dan hak pengguna terautentikasi default.

2. Konektor penyerapan: Konektor memerlukan hak pemfilteran peristiwa, hak istimewa pemeriksaan peristiwa, dan akses baca ke laporan atau kasus.

3. Tugas dan tindakan: Tindakan playbook dan tugas sinkronisasi memerlukan hak istimewa tugas fungsional dan izin ACL pada resource tertentu yang diakses, yang dikonfigurasi menggunakan Panduan Pengguna Konsol ArcSight ESM.

Jenis Komponen	Nama Komponen	Layanan API	Hak Istimewa Operasi yang Diperlukan	ACL Resource yang Diperlukan
Integrasi Dasar	Koneksi & Autentikasi Dasar	LoginService	Hak istimewa pengguna yang diautentikasi secara default	Tidak ada
Konektor	ArcSight - Konektor Peristiwa Keamanan	SecurityEventService, ReportService	Security Events: Inspect, Reports: Inspect, Reports: Execute	Read dan Execute pada resource laporan target
Konektor	Konektor ArcSight ESM	SecurityEventService, CaseService	Security Events: Inspect, Cases: Inspect	Read pada folder kasus target dan objek korelasi
Tugas	Tugas Menutup Kasus	CaseService	Cases: Inspect, Cases: Edit	Read dan Modify di folder kasus target
Tindakan	Tindakan Daftar Aktif (Tambahkan Entitas, Tambahkan Entri, Dapatkan Entri, Periksa Nilai)	ActiveListService	Active Lists: Inspect, Active Lists: Edit Content (atau Active Lists: Edit)	Read dan Write pada daftar aktif target
Tindakan	Tindakan Ubah Tahap Kasus	CaseService	Cases: Inspect, Cases: Edit	Read dan Modify di folder kasus target
Tindakan	Tindakan Kueri & Penelusuran (Mendapatkan Hasil Kueri, Penelusuran)	QueryViewerService, SearchService	Query Viewers: Inspect, Query Viewers: Execute	Read dan Execute pada pelihat kueri target
Tindakan	Mendapatkan Tindakan Laporan	ReportService	Reports: Inspect, Reports: Execute	Read dan Execute pada laporan target
Tindakan	Tindakan Mencantumkan Resource	ActiveListService, CaseService, QueryViewerService, ReportService	Inspect untuk setiap jenis resource yang diaktifkan	Read pada folder resource target

Alur kerja konfigurasi

Ikuti alur kerja multi-fase ini untuk menyediakan izin di ArcSight ESM dan mengaktifkan komponen yang Anda pilih di Google SecOps.

Selesaikan langkah-langkah konfigurasi dalam urutan berikut:

1. Penyediaan grup dan akun layanan ArcSight: Buat pengguna layanan khusus di ArcSight ESM, buat grup pengguna khusus, tetapkan pengguna layanan ke grup, dan terapkan filter peristiwa untuk menentukan visibilitas data seperti yang dijelaskan dalam Panduan Administrator ArcSight ESM.

2. Tetapkan hak istimewa dan ACL untuk komponen yang dipilih: Lakukan referensi silang pada konektor, tugas, dan tindakan yang direncanakan dengan tabel pemetaan izin komponen, berikan hak istimewa operasi yang sesuai kepada grup pengguna, dan tetapkan ACL tingkat objek (seperti Read/Write pada daftar aktif atau Read/Execute pada laporan) di folder resource target tertentu dalam Panduan Pengguna Konsol ArcSight ESM.

3. Konfigurasi di Google SecOps: Konfigurasi integrasi dasar, konektor penyerapan, tugas terjadwal, dan tindakan playbook di Google SecOps seperti yang dijelaskan di bagian berikut.

Parameter integrasi

Gunakan parameter berikut untuk mengonfigurasi integrasi:

Nama parameter	Jenis	Nilai default	Wajib	Deskripsi
Nama Instance	String	T/A	Tidak	Nama instance yang ingin Anda konfigurasi integrasinya.
Deskripsi	String	T/A	Tidak	Deskripsi instance.
Root API	String	https://{IP}:{PORT}	Ya	Alamat server instance ArcSight.
Nama pengguna	String	T/A	Ya	Nama pengguna akun ArcSight.
Sandi	Sandi	T/A	Ya	Sandi akun ArcSight.
Menjalankan dari Jarak Jauh	Kotak centang	Tidak dicentang	Tidak	Centang kolom untuk menjalankan integrasi yang dikonfigurasi dari jarak jauh. Setelah dicentang, opsi akan muncul untuk memilih pengguna jarak jauh (agen).

Untuk mengetahui petunjuk tentang cara mengonfigurasi integrasi di Google SecOps, lihat Mengonfigurasi integrasi.

Anda dapat melakukan perubahan di tahap selanjutnya, jika diperlukan. Setelah mengonfigurasi instance integrasi, Anda dapat menggunakannya dalam playbook. Untuk mengetahui informasi selengkapnya tentang cara mengonfigurasi dan mendukung beberapa instance, lihat Mendukung beberapa instance.

Tindakan

Untuk mengetahui informasi selengkapnya tentang tindakan, lihat Merespons tindakan tertunda dari Ruang Kerja Anda dan Melakukan tindakan manual.

Menambahkan Entri ke Daftar Aktif

Menyediakan mekanisme untuk mendapatkan informasi dari tren di luar, dan selain itu, laporan. Daftar aktif yang diperbarui menurut tren mendukung tampilan ringkasan informasi dari beberapa tren.

Parameter

Nama parameter	Jenis	Nilai default	Wajib	Deskripsi
Kolom	String	T/A	Ya	Contoh: Pesan;Nama Pengguna
Entri	String	T/A	Ya	Contoh: test1|Me1;Test|Me2
UUID Daftar Aktif	String	T/A	Ya	Contoh: HCN75QGABABCZXCOdT9P51w==

Dijalankan pada

Tindakan ini dijalankan di semua entity.

Hasil tindakan

Tindakan ini dapat memberikan hasil berikut.

Hasil skrip

Nama hasil skrip	Opsi nilai	Contoh
is_succeed	Benar atau Salah	is_succeed:False

Ubah Tahap Kasus

Mengubah tahap kasus. Tahapan yang valid adalah INITIAL, QUEUED, CLOSED, FINAL, dan FOLLOW_UP.

Parameter

Nama parameter	Jenis	Nilai default	Wajib	Deskripsi
Nama Kasus	String	T/A	Ya	Nama kasus yang akan diupdate.
Tahap	String	T/A	Ya	Tahap kasus. Contoh: DITUTUP, AWAL

Dijalankan pada

Tindakan ini dijalankan di semua entity.

Hasil tindakan

Tindakan ini dapat memberikan hasil berikut.

Hasil skrip

Nama hasil skrip	Opsi nilai	Contoh
berhasil	Benar atau Salah	success:False

Mendapatkan Entri Activelist

Mengambil entri daftar aktif ArcSight dan menampilkan output CSV.

Parameter

Nama parameter	Jenis	Nilai default	Wajib	Deskripsi
UUID daftar aktif	String	T/A	Ya	Contoh: HTcILQWABABCr553ieI0Xmw==

Dijalankan pada

Tindakan ini dijalankan di semua entity.

Hasil tindakan

Tindakan ini dapat memberikan hasil berikut.

Hasil skrip

Nama hasil skrip	Opsi nilai	Contoh
Success_Indicator	T/A	T/A

Hasil JSON

[
"12346e4d96f0a72c42015d69aaf0e8ab ,
 file.txt",
 "0e0776034e5e096704cd28cbd40cdbb5 ,
 Test.config"
]

Mendapatkan Hasil Kueri

Mendapatkan hasil kueri menurut ID kueri. Kueri dapat digunakan sebagai sumber data utama untuk laporan, atau tren (berdasarkan satu kueri) yang dapat digunakan sebagai sumber data untuk kueri lain yang lebih menyaring hasil kueri awal.

Parameter

Nama parameter	Jenis	Nilai default	Wajib	Deskripsi
ID Kueri	String	T/A	Ya	ID kueri.
Jumlah Maksimum Item yang Akan Ditampilkan	Bilangan bulat	100	Tidak	Tentukan jumlah item yang akan ditampilkan dalam respons.

Kasus Penggunaan

Tambahkan batasan untuk jumlah hasil yang akan ditampilkan.

Dijalankan pada

Tindakan ini dijalankan di semua entity.

Hasil tindakan

Tindakan ini dapat memberikan hasil berikut.

Hasil skrip

Nama hasil skrip	Opsi nilai	Contoh
berhasil	Benar atau Salah	success:False

Hasil JSON

[
    {
        "Target User Name": "user",
        "Attacker Address": "192.0.2.1",
        "External ID": "127",
        "Name": "A Kerberos authentication ticket (TGT) was requested.",
        "Target Address": "192.0.2.1"
    },{
        "Target User Name": "user",
        "Attacker Address": "192.0.2.1",
        "External ID": "127",
        "Name": "A Kerberos authentication ticket (TGT) was requested.",
        "Target Address": "192.0.2.1"
    }
]

Dapatkan Laporannya

Mendapatkan laporan dengan kolom dinamis. Laporan adalah resource ArcSight yang mengikat data dari kueri atau tren ke template laporan yang ada. Setelah dijalankan, hasil laporan dapat dilihat di panel penampil konsol ArcSight, disimpan (diarsipkan), atau diekspor dalam berbagai format. Laporan dapat dijadwalkan untuk dijalankan secara berkala dan dapat dijalankan sesuai permintaan jika diperlukan.

Parameter

Nama parameter	Jenis	Nilai default	Wajib	Deskripsi
Jalur Lengkap Laporan (URI)	String	T/A	Ya	URI laporan yang relevan.
Kolom 2	String	T/A	Tidak	Kolom dinamis untuk kueri guna membuat laporan.
Kolom 3	String	T/A	Tidak	Kolom dinamis untuk kueri guna membuat laporan.
Kolom 4	String	T/A	Tidak	Kolom dinamis untuk kueri guna membuat laporan.
Kolom 6	String	T/A	Tidak	Kolom dinamis untuk kueri guna membuat laporan.
Kolom 6	String	T/A	Tidak	Kolom dinamis untuk kueri guna membuat laporan.
Kolom 7	String	T/A	Tidak	Kolom dinamis untuk kueri guna membuat laporan.
Kolom 8	String	T/A	Tidak	Kolom dinamis untuk kueri guna membuat laporan.
Kolom 9	String	T/A	Tidak	Kolom dinamis untuk kueri guna membuat laporan.
Kolom 10	String	T/A	Tidak	Kolom dinamis untuk kueri guna membuat laporan.

Dijalankan pada

Tindakan ini dijalankan di semua entity.

Hasil tindakan

Tindakan ini dapat memberikan hasil berikut.

Hasil skrip

Nama hasil skrip	Opsi nilai	Contoh
json_report	T/A	T/A

Apakah Nilai dalam Kolom Activelist

Periksa apakah nilai tertentu ada dalam daftar aktif .

Parameter

Nama parameter	Jenis	Nilai default	Wajib	Deskripsi
UUID daftar aktif	String	T/A	Ya	UUID daftar aktif. Contoh: cuser.
Nama kolom	String	T/A	Ya	Nama kolom. Contoh: sourceUserName.

Dijalankan pada

Tindakan ini dijalankan di semua entity.

Hasil tindakan

Tindakan ini dapat memberikan hasil berikut.

Hasil skrip

Nama hasil skrip	Opsi nilai	Contoh
Success_Indicator	T/A	T/A

Ping

Uji Konektivitas.

Parameter

Tidak ada.

Dijalankan pada

Tindakan ini dijalankan di semua entity.

Hasil tindakan

Tindakan ini dapat memberikan hasil berikut.

Hasil skrip

Nama hasil skrip	Opsi nilai	Contoh
is_succeed	Benar atau Salah	is_succeed:False

Telusuri

Anda dapat memulai penelusuran di ArcSight Command Center dari saluran peristiwa konsol. Penelusuran Selesai Peristiwa mencari atribut terkait, yang disimpan di beberapa kolom (misalnya, abc). Penelusuran peristiwa akan menelusuri nilai (misalnya, abc) yang disimpan dalam kolom yang ditentukan (misalnya, hanya dalam kolom nama).

Parameter

Nama parameter	Jenis	Nilai default	Wajib	Deskripsi
Kueri Penelusuran	String	T/A	Ya	Kueri penelusuran.
Jumlah Maksimum Item yang Akan Ditampilkan	Bilangan bulat	100	Tidak	Tentukan jumlah item yang akan ditampilkan dalam respons.

Kasus Penggunaan

Tambahkan batasan untuk jumlah hasil yang akan ditampilkan.

Dijalankan pada

Tindakan ini dijalankan di semua entity.

Hasil tindakan

Tindakan ini dapat memberikan hasil berikut.

Hasil skrip

Nama hasil skrip	Opsi nilai	Contoh
berhasil	Benar atau Salah	success:False

Hasil JSON

[
    {
        "score": 1.2440307,
        "uuid": "UUID",
        "uri": "/All_Fields/ArcSight_Foundation/Variables_Library/IPv6/Attacker_IPv6_Address",
        "name": "Attacker IPv6 Address"
    }, {
        "score": 1.2440307,
        "uuid": "UUID",
        "uri": "/All_Fields/ArcSight_Foundation/Variables_Library/IPv6/Attacker_IPv6_Address",
        "name": "Attacker IPv6 Address"
    }
]

Konektor

Untuk mempelajari lebih lanjut cara mengonfigurasi konektor di Google SecOps, lihat Menyerap data Anda (konektor).

Catatan: Untuk mencegah kehilangan data, konektor menggunakan Perataan Peristiwa. Jika pemberitahuan mentah berisi daftar entitas (seperti beberapa alamat email, nama host, atau alamat IP), konektor akan otomatis meratakan entitas tersebut menjadi peristiwa terpisah dan unik.

Misalnya, satu pemberitahuan mentah yang berisi tiga alamat email berbeda akan diserap sebagai tiga peristiwa terpisah, yang masing-masing berisi satu alamat email yang berbeda.

Proses ini memastikan bahwa setiap entitas diindeks dengan benar sebagai aset unik, sehingga dapat ditelusuri dan dapat ditindaklanjuti sepenuhnya dalam playbook.

Konektor Arcsight ESM

Panduan ini merujuk pada ArcSight ESM versi 6.9.1 dan yang lebih baru.

Penerusan aturan atau kasus ESM ke Google SecOps

Bekerja dengan Aturan/Korelasi yang Dipicu

Anda akan diminta untuk mengonfigurasi ArcSight ESM agar meneruskan objek korelasi terbaru ke Google SecOps saat Anda mengonfigurasi Google SecOps agar berfungsi di ArcSight ESM sebagai penyedia SIEM, dan juga untuk memberikan akses API ke ArcSight ESM melalui pengguna yang berwenang.

Fitur ini memungkinkan Google SecOps mengambil aturan yang dipicu dalam ArcSight ESM secara hampir real-time dan meneruskannya untuk diterjemahkan dan diberi konteks sebagai pemberitahuan untuk kasus.

Alur Data antara Google SecOps dan ArcSight ESM

Google SecOps secara otomatis mengindeks dan mengontekstualisasi korelasi yang diteruskan ke Google SecOps dan dipicu di ArcSight ESM melalui akses API dan modul ArcSight Forwarding Connector.

Prioritas tingkat keparahan konektor

Konektor menetapkan tingkat keparahan dengan nilai prioritas berikut:

• 1 dan 2 - sangat rendah
• 3 dan 4 - rendah
• 5 dan 6 - sedang
• 7 dan 8 - tinggi
• 9 dan 10 - kritis

Input konektor

Gunakan parameter berikut untuk mengonfigurasi konektor:

Nama parameter	Jenis	Nilai default	Wajib	Deskripsi
Lingkungan	DDL	T/A	Ya	Pilih lingkungan yang diperlukan, misalnya, Customer One. Jika kolom Lingkungan pemberitahuan kosong, pemberitahuan ini akan dimasukkan ke lingkungan ini.
Jalankan Setiap	Bilangan bulat	0:0:0:10	Tidak	Pilih waktu untuk menjalankan koneksi.
Nama Kolom Produk	String	device_product	Tidak	Nama kolom tempat nama produk disimpan. Nilai defaultnya adalah device_product. Nama produk terutama memengaruhi pemetaan. Untuk menyederhanakan dan meningkatkan proses pemetaan untuk konektor, nilai default device_product di-resolve ke nilai penggantian yang dirujuk dari kode. Input yang tidak valid untuk parameter ini akan diselesaikan ke nilai penggantian secara default.
Nama Kolom Peristiwa	String	nama	Tidak	Nama kolom yang digunakan untuk menentukan nama peristiwa (sub-jenis).
Waktu Tunggu Skrip (detik)	String	500	Tidak	Batas waktu (dalam detik) untuk proses python yang menjalankan skrip saat ini.
Alamat Server	String	T/A	Ya	https://{IP}:{PORT}
Nama pengguna	String	T/A	Ya	Nama pengguna akun ArcSight.
Sandi	Sandi	T/A	Ya	Sandi akun ArcSight.
Batas Jumlah Peristiwa	Bilangan bulat	15	Ya	Masukkan jumlah maksimum peristiwa yang akan diambil per korelasi. Batasi jumlah peristiwa, misalnya, 10.
Jalur Folder Kasus	String	I:\SiemShare\CorrelationSource	Ya	Lokasi file kasus, seperti I:\SiemShare\CorrelationSource Catatan: Parameter Jalur Folder Kasus dapat diubah dari satu pelanggan ke pelanggan lain. Jalur lengkap. Contoh: C:\Desktop\CorrelationSource
Batas Jumlah Pemberitahuan	Bilangan bulat	10	Ya	Jumlah maksimum pemberitahuan yang akan diproses per siklus konektor, misalnya, 10.
Nama Kolom Lingkungan	String	event.customerURI	Ya	Nama kolom untuk mendapatkan lingkungan kasus, misalnya, event.customerUri.
Kolom Produk Perangkat Sekunder	String	T/A	Tidak	Ganti kolom produk asli (dari DeviceProductField konektor dengan nilai dari kolom produk sekunder). Contoh: CustomDeviceString2
Nama Kolom Kustom Pemberitahuan	String	T/A	Tidak	Tarik nilai kolom kustom dari ArcSight ke dalam pemberitahuan, seperti baseEventCount,agent_address,device_assetId.
Jumlah hari retensi file selesai	Bilangan bulat	3	Ya	Berapa hari untuk menyimpan setiap file CSV DONE.
Hari retensi file error	Bilangan bulat	14	Ya	Jumlah hari untuk menyimpan setiap file CSV ERROR.
Alamat Server Proxy	String	T/A	Tidak	Alamat server proxy yang akan digunakan.
Nama Pengguna Proxy	String	T/A	Tidak	Nama pengguna proxy untuk melakukan autentikasi.
Sandi Proxy	Sandi	T/A	Tidak	Sandi proxy untuk melakukan autentikasi.

Aturan konektor

Konektor mendukung proxy.

ArcSight - Konektor Peristiwa Keamanan

Tarik korelasi dari ArcSight. Konektor ini cocok untuk deployment SaaS Google SecOps dan merupakan konektor yang direkomendasikan untuk penggunaan produksi.

Catatan: Daftar dinamis berfungsi dengan parameter name.

Konektor ini mengharuskan Anda menyelesaikan langkah prasyarat.

Input konektor

Gunakan parameter berikut untuk mengonfigurasi konektor:

Nama Tampilan Parameter	Jenis	Nilai Default	Wajib	Deskripsi
Nama Kolom Produk	String	jenis	Ya	Nama kolom tempat nama produk disimpan. Nilai defaultnya adalah type. Nama produk terutama memengaruhi pemetaan. Untuk menyederhanakan dan meningkatkan proses pemetaan untuk konektor, nilai default type di-resolve ke nilai penggantian yang dirujuk dari kode. Input tidak valid untuk parameter ini akan diselesaikan ke nilai penggantian secara default.
Nama Kolom Peristiwa	String	nama	Ya	Nama kolom yang menentukan nama peristiwa (subjenis).
Nama Kolom Lingkungan	String	""	Tidak	Nama kolom tempat nama lingkungan disimpan. Jika kolom environment tidak ada, konektor akan menggunakan nilai default.
Environment Regex Pattern	String	.*	FALSE	Tidak	Pola ekspresi reguler untuk dijalankan pada nilai yang ditemukan di kolom Environment Field Name. Parameter ini memungkinkan Anda memanipulasi kolom lingkungan menggunakan logika ekspresi reguler. Gunakan nilai default .* untuk mengambil nilai Environment Field Name mentah yang diperlukan. Jika pola ekspresi reguler adalah null atau kosong, atau nilai lingkungan adalah null, hasil lingkungan akhir adalah lingkungan default.
Waktu Tunggu Skrip (Detik)	Bilangan bulat	360	Ya	Batas waktu, dalam detik, untuk proses Python yang menjalankan skrip saat ini.
Root API	String	https://{ip}	Ya	Root API instance ArcSight.
Nama pengguna	String	T/A	Ya	Nama pengguna akun ArcSight.
Sandi	Sandi	T/A	Ya	Sandi akun ArcSight.
Nama Laporan	String	T/A	Ya	Nama laporan yang akan digunakan untuk mengambil peristiwa.
Mengambil Peristiwa Dasar	Kotak centang	Dicentang	Ya	Jika diaktifkan, konektor juga akan mengambil peristiwa dasar.
Prioritas Terendah yang Akan Diambil	Bilangan bulat	T/A	Tidak	Prioritas terendah yang akan digunakan untuk mengambil peristiwa. Nilai yang mungkin berada dalam rentang 1 hingga 10. Jika tidak ada yang diberikan, semua peristiwa akan ditransfer.
Jumlah Maksimum Peristiwa yang Akan Diambil	Bilangan bulat	100	Tidak	Jumlah pemberitahuan yang akan diproses per iterasi konektor. Jumlah maksimum yang diizinkan adalah 1000.
Menggunakan daftar dinamis sebagai daftar yang tidak diizinkan	Kotak centang	Dicentang	Ya	Jika dipilih, konektor akan menggunakan daftar dinamis sebagai daftar blokir.
Verifikasi SSL	Kotak centang	Tidak dicentang	Ya	Jika dipilih, integrasi akan memvalidasi sertifikat SSL saat terhubung ke server ArcSight.
Alamat Server Proxy	String	T/A	Tidak	Alamat server proxy yang akan digunakan.
Nama Pengguna Proxy	String	T/A	Tidak	Nama pengguna proxy untuk melakukan autentikasi.
Sandi Proxy	Sandi		Tidak	Sandi proxy untuk melakukan autentikasi.

Aturan konektor

Konektor mendukung proxy.

Pekerjaan

Untuk mengetahui informasi selengkapnya tentang tugas, lihat Mengonfigurasi tugas baru dan Penjadwalan lanjutan.

Tutup Kasus

Tugas ini memerlukan parameter berikut:

Nama parameter	Jenis	Nilai default	Wajib	Deskripsi
Alamat Server	String	192.0.2.1	Ya	T/A
Nama pengguna	String	T/A	Ya	T/A
Sandi	Sandi	T/A	Ya	T/A

Perlu bantuan lain? Dapatkan jawaban dari anggota Komunitas dan profesional Google SecOps.