Integrare ArcSight con Google SecOps

Questo documento descrive come integrare ArcSight con Google Security Operations (Google SecOps).

Versione integrazione: 42.0

Prerequisiti del connettore di eventi di sicurezza

Questo connettore funziona con i report generati automaticamente in ArcSight. Il connettore scarica il report generato, estrae gli ID evento e poi utilizza l'API ArcSight per ottenere maggiori dettagli sugli eventi.

Configura il connettore eventi di sicurezza

  1. Accedi alla console ArcSight.

  2. Vai alla scheda Report e alla sezione Query.

  3. Per creare una nuova query, inserisci il seguente nome query: Google SecOps SOAR Security Events Connector Query.

    Presta attenzione ai parametri Ora di inizio e Ora di fine. È consigliabile eseguire query sui dati a intervalli di un'ora, ma puoi aumentare l'intervallo, se necessario.

    Configurazione di esempio:

    • Nome:query del connettore di eventi di sicurezza di Google SecOps SOAR
    • Query su: evento
    • Ora di inizio: $Now - 1h
    • Ora di fine: $Now
    • Usa come timestamp: ora di fine
    • Limite di righe:5000

  4. Definisci i campi per la query. Per quanto riguarda i campi, devi avere i seguenti:

    • ID evento
    • Nome
    • Ora di inizio
    • Ora di fine
    • Priorità

    Assicurati di aver selezionato Ora di fine ASC nella colonna Ordina per.

  5. Imposta le Condizioni. Qui puoi fornire il tuo filtro.

  6. Salva query.

  7. Vai alla sezione Report e crea un nuovo report. Per specificare il report, inserisci il seguente nome: Google SecOps SOAR Security Events Connector Report. Utilizza lo stesso nome per il parametro Nome report della configurazione del connettore.

  8. Nella scheda Dati, seleziona la query creata nei passaggi precedenti come Origine dati.

  9. Nella scheda Parametri, modifica Formato report in csv per soddisfare i requisiti del connettore.

  10. Salva report.

  11. Fornisci il nome del report nella configurazione del connettore del parametro Nome report.

  12. Esegui una prova per assicurarti che il connettore funzioni come previsto.

Configurare la cartella condivisa Google SecOps per ArcSight

Server Google SecOps

  1. Trova UID e GID nel file /etc/passwd:

    cat /etc/passwd | grep scripting

    L'output di esempio del comando è il seguente:

    scripting:x:1001:1001:/home/scripting:/bin/bash

    UID è il terzo campo e GID è il quarto nell'output del comando.

  2. Crea lo script:

    1. Crea un file e chiamalo configure_smp_nfs.sh.

    2. Copia i seguenti contenuti nel file.

      #!/bin/bash

#Declare the variables:
uid=SCRIPTING_USER_UID
gid=SCRIPTING_USER_GID
arcsight_ip=ARCSIGHT_IP

#Install nfs-utils
yum install nfs-utils -y
#Create the directory that will be shared
mkdir /opt/Correlations
#Change the permissions
chmod -R 755 /opt/Correlations/
chown -R scripting:scripting /opt/Correlations/
#Start the services and enable them to be started at boot time
systemctl enable rpcbind
systemctl enable nfs-server
systemctl enable nfs-lock
systemctl enable nfs-idmap
systemctl start rpcbind
systemctl start nfs-server
systemctl start nfs-lock
systemctl start nfs-idmap

#Edit the exports file as follows
echo "/opt/Correlations/ $arcsight_ip(rw,sync,all_squash,anonuid=$uid,anongid=$gid)">>/etc/exports
#Restart the NFS service and export the path
systemctl restart nfs-server
exportfs -a
#If FirewallD is running add the next rules:
firewall-cmd --permanent --zone=public --add-service=nfs
firewall-cmd --permanent --zone=public --add-service=mountd
firewall-cmd --permanent --zone=public --add-service=rpc-bind
firewall-cmd --reload
setsebool -P nfs_export_all_rw 1

    3. Dichiara le variabili uid, gid e arcisght_ip in base al tuo ambiente.

    4. Concedi le autorizzazioni:

      chmod +x configure_smp_nfs.sh

    5. Esegui lo script:

      ./configure_smp_nfs.sh

Server ArcSight

  1. Crea lo script:

    1. Crea un file e chiamalo configure_smp_nfs.sh.

    2. Copia i seguenti contenuti nel file.

      #!/bin/bash
#Declare the variables:
siemplify_ip=SIEMPLIFY_IP

#Install nfs-utils
yum install nfs-utils -y
#Start the services and enable them to be started at boot time
systemctl enable rpcbind
systemctl enable nfs-server
systemctl enable nfs-lock
systemctl enable nfs-idmap
systemctl start rpcbind
systemctl start nfs-server
systemctl start nfs-lock
systemctl start nfs-idmap
#If FirewallD is running add the next rules:
firewall-cmd --permanent --zone=public --add-service=nfs
firewall-cmd --permanent --zone=public --add-service=mountd
firewall-cmd --permanent --zone=public --add-service=rpc-bind
firewall-cmd --reload
#Create the NFS directory mount point
mkdir -p /mnt/nfs/var/SiemShare
#Add the values:
echo "$siemplify_ip:/opt/Correlations /mnt/nfs/var/SiemShare nfs defaults 0 0">>/etc/fstab
mount -a

    3. Dichiara la variabile siemplify_ip in base al tuo ambiente.

Nota per i clienti che utilizzano il percorso precedente

Il programma di installazione dell'hotfix sovrascrive l'autorizzazione della cartella /opt/siemplify/Correlations con siemplifyadmin.

Se utilizzi il percorso precedente e stai applicando l'upgrade, devi ripristinare l'autorizzazione per l'utente di scripting seguendo questi passaggi:

  1. Prima di iniziare l'upgrade, arresta il servizio del server NFS:

    _systemctl stop nfs-server_

  2. Una volta completato l'upgrade, modifica le autorizzazioni per le cartelle:

    _chmod -R 755 /opt/siemplify/Correlations/_

    _chown -R scripting:scripting/opt/siemplify/Correlations/_

    _systemctl start nfs-server_

    _exportfs -a_

  3. Per verificare che il server NFS funzioni correttamente dopo le modifiche, controlla il suo stato:

    _systemctl status nfs-server_

Crea e configura un utente per l'accesso API

  1. Accedi alla console ArcSight.

  2. Crea un gruppo di utenti Google_SecOps_API e aggiungici un utente Google_SecOps_API. Questo utente verrà utilizzato da Google SecOps tramite l'API ArcSight ESM.

    1. Vai alla scheda Attributi e imposta l'attributo Tipo di utente su Normal User.

    2. Nella scheda Risorse, fai clic con il tasto destro del mouse sul gruppo di utenti creato.

    3. Dal menu, scegli Modifica controllo dell'accesso.

    4. Nella finestra Ispeziona/Modifica dell'editor ACL:

      1. Nella scheda Eventi, aggiungi il filtro creato in precedenza, Google_SecOps_Correlations_Filter. Puoi anche aggiungere qualsiasi filtro di origine per concedere l'accesso a Google SecOps.

      2. Utilizza le impostazioni predefinite per le altre schede.

      3. Fai clic su Aggiungi, seleziona ArcSight System > Core e seleziona la casella di controllo Tutti gli eventi.

        È importante verificare che la casella di controllo Tutti gli eventi sia selezionata. Il requisito minimo è includere tutti gli eventi di correlazione che verranno importati in Google SecOps.

Google Security Operations utilizza i seguenti metodi principali quando utilizza l'API ArcSight ESM:

  • Servizio principale: Login, GetSession

  • Servizio di gestione: GetSecurityEvents

Accesso alla rete con ArcSight ESM

Per accedere da Google SecOps ad ArcSight ESM, consenti il traffico sulle porte 443 (HTTPS) e 8443 (API su SSL) o come configurato nel tuo ambiente.

Per accedere da ArcSight ESM a Google SecOps, consenti il traffico sulle porte 445 e 139 (SMB/SAMBA/CIFS) o come configurato nel tuo ambiente.

Funzione Porte Direzione Protocollo
NFS 111, 1039, 1047, 1048 e 2049 In uscita e in entrata UDP
NFS 111, 1039, 1047, 1048 e 2049 In uscita e in entrata TCP

Parametri di integrazione

Per istruzioni dettagliate su come configurare un'integrazione in Google SecOps, vedi Configurare le integrazioni.

Utilizza i seguenti parametri per configurare l'integrazione:

Nome parametro Tipo Valore predefinito È obbligatorio Descrizione
Nome istanza Stringa N/D No Nome dell'istanza per cui intendi configurare l'integrazione.
Descrizione Stringa N/D No Descrizione dell'istanza.
Root API Stringa https://{IP}:{PORT} Sì L'indirizzo del server dell'istanza di ArcSight.
Nome utente Stringa N/D Sì Nome utente dell'account ArcSight.
Password Password N/D Sì Password dell'account ArcSight.
Esegui da remoto Casella di controllo Deselezionata No Seleziona il campo per eseguire l'integrazione configurata da remoto. Una volta selezionata, viene visualizzata l'opzione per selezionare l'utente remoto (agente).

Azioni

Aggiungere voci all'elenco attivo

Descrizione

Fornisce un meccanismo per ottenere informazioni dalle tendenze al di fuori e in aggiunta ai report. Le liste attive aggiornate in base alle tendenze supportano le visualizzazioni riepilogative delle informazioni di più tendenze.

Parametri

Nome parametro Tipo Valore predefinito È obbligatorio Descrizione
Colonne Stringa N/D Sì Esempio: Messaggio;Nome utente
Voci Stringa N/D Sì Esempio: test1|Me1;Test|Me2
UUID elenco attivo Stringa N/D Sì Esempio: HCN75QGABABCZXCOdT9P51w==

Pubblica su

Questa azione viene eseguita su tutte le entità.

Risultati dell'azione

Risultato dello script
Nome del risultato dello script Opzioni del valore Esempio
is_succeed Vero o falso is_succeed:False

Cambia fase della richiesta

Descrizione

Modificare la fase di una richiesta. Le fasi valide sono INITIAL, QUEUED, CLOSED, FINAL e FOLLOW_UP.

Parametri

Nome parametro Tipo Valore predefinito È obbligatorio Descrizione
Nome richiesta Stringa N/D Sì Il nome della richiesta da aggiornare.
Fase Stringa N/D Sì La fase della richiesta. Esempio: CHIUSO, INIZIALE

Pubblica su

Questa azione viene eseguita su tutte le entità.

Risultati dell'azione

Risultato dello script
Nome del risultato dello script Opzioni del valore Esempio
operazione riuscita Vero o falso success:False

Get Activelist Entries

Descrizione

Recupera le voci dell'elenco attivo di ArcSight e restituisce l'output CSV.

Parametri

Nome parametro Tipo Valore predefinito È obbligatorio Descrizione
UUID elenco attivo Stringa N/D Sì Esempio: HTcILQWABABCr553ieI0Xmw==

Pubblica su

Questa azione viene eseguita su tutte le entità.

Risultati dell'azione

Risultato dello script
Nome del risultato dello script Opzioni del valore Esempio
Success_Indicator N/D N/D
Risultato JSON
[
"12346e4d96f0a72c42015d69aaf0e8ab ,
 file.txt",
 "0e0776034e5e096704cd28cbd40cdbb5 ,
 Test.config"
]

Ottieni risultati query

Descrizione

Ottieni i risultati della query in base all'ID query. Una query può essere utilizzata come origine dati principale per un report o una tendenza (basata su una query) che può essere utilizzata come origine dati per un'altra query che perfeziona ulteriormente il risultato della query iniziale.

Parametri

Nome parametro Tipo Valore predefinito È obbligatorio Descrizione
ID query Stringa N/D Sì L'ID query.
Numero massimo di articoli da restituire Numero intero 100 No Specifica il numero di elementi da restituire nella risposta.

Casi d'uso

Aggiungi una limitazione al numero di risultati da restituire.

Pubblica su

Questa azione viene eseguita su tutte le entità.

Risultati dell'azione

Risultato dello script
Nome del risultato dello script Opzioni del valore Esempio
operazione riuscita Vero o falso success:False
Risultato JSON
[
    {
        "Target User Name": "user",
        "Attacker Address": "192.0.2.1",
        "External ID": "127",
        "Name": "A Kerberos authentication ticket (TGT) was requested.",
        "Target Address": "192.0.2.1"
    },{
        "Target User Name": "user",
        "Attacker Address": "192.0.2.1",
        "External ID": "127",
        "Name": "A Kerberos authentication ticket (TGT) was requested.",
        "Target Address": "192.0.2.1"
    }
]

Scarica report

Descrizione

Ricevi un report con campi dinamici. Un report è una risorsa ArcSight che associa i dati di una query o di una tendenza a un modello di report esistente. Una volta eseguito, i risultati di un report possono essere visualizzati nel riquadro del visualizzatore delle console ArcSight, salvati (archiviati) o esportati in diversi formati. I report possono essere pianificati per essere eseguiti a intervalli regolari e possono essere eseguiti on demand in base alle necessità.

Parametri

Nome parametro Tipo Valore predefinito È obbligatorio Descrizione
Percorso completo del report (URI) Stringa N/D Sì L'URI del report pertinente.
Campo 2 Stringa N/D No I campi dinamici della query per generare il report.
Campo 3 Stringa N/D No I campi dinamici della query per generare il report.
Campo 4 Stringa N/D No I campi dinamici della query per generare il report.
Campo 6 Stringa N/D No I campi dinamici della query per generare il report.
Campo 6 Stringa N/D No I campi dinamici della query per generare il report.
Campo 7 Stringa N/D No I campi dinamici della query per generare il report.
Campo 8 Stringa N/D No I campi dinamici della query per generare il report.
Campo 9 Stringa N/D No I campi dinamici della query per generare il report.
Campo 10 Stringa N/D No I campi dinamici della query per generare il report.

Pubblica su

Questa azione viene eseguita su tutte le entità.

Risultati dell'azione

Risultato dello script
Nome del risultato dello script Opzioni del valore Esempio
json_report N/D N/D

Is Value in Activelist Column

Descrizione

Controlla se un valore specifico è presente nell'elenco attivo .

Parametri

Nome parametro Tipo Valore predefinito È obbligatorio Descrizione
UUID elenco attivo Stringa N/D Sì UUID dell'elenco attivo. Esempio: cuser.
Nome colonna Stringa N/D Sì Il nome della colonna. Esempio: sourceUserName.

Pubblica su

Questa azione viene eseguita su tutte le entità.

Risultati dell'azione

Risultato dello script
Nome del risultato dello script Opzioni del valore Esempio
Success_Indicator N/D N/D

Dindin

Descrizione

Testa la connettività.

Parametri

Pubblica su

Questa azione viene eseguita su tutte le entità.

Risultati dell'azione

Risultato dello script
Nome del risultato dello script Opzioni del valore Esempio
is_succeed Vero o falso is_succeed:False

Descrizione

Puoi avviare una ricerca in ArcSight Command Center dal canale degli eventi della console. La ricerca Evento completato cerca l'attributo associato, che è memorizzato in diversi campi (ad esempio abc). La ricerca di eventi cerca un valore (ad esempio abc) memorizzato nel campo specificato (ad esempio, nel campo del solo nome).

Parametri

Nome parametro Tipo Valore predefinito È obbligatorio Descrizione
Query di ricerca Stringa N/D Sì La query di ricerca.
Numero massimo di articoli da restituire Numero intero 100 No Specifica il numero di elementi da restituire nella risposta.

Casi d'uso

Aggiungi una limitazione al numero di risultati da restituire.

Pubblica su

Questa azione viene eseguita su tutte le entità.

Risultati dell'azione

Risultato dello script
Nome del risultato dello script Opzioni del valore Esempio
operazione riuscita Vero o falso success:False
Risultato JSON
[
    {
        "score": 1.2440307,
        "uuid": "UUID",
        "uri": "/All_Fields/ArcSight_Foundation/Variables_Library/IPv6/Attacker_IPv6_Address",
        "name": "Attacker IPv6 Address"
    }, {
        "score": 1.2440307,
        "uuid": "UUID",
        "uri": "/All_Fields/ArcSight_Foundation/Variables_Library/IPv6/Attacker_IPv6_Address",
        "name": "Attacker IPv6 Address"
    }
]

Connettori

Per istruzioni dettagliate su come configurare un connettore in Google SecOps, vedi Configurazione del connettore.

Connettore Arcsight ESM

Questa guida si riferisce ad ArcSight ESM versione 6.9.1 e successive.

Regola ESM o inoltro di casi a Google SecOps

Utilizzo di regole/correlazioni attivate

Dovrai configurare ArcSight ESM per inoltrare gli ultimi oggetti di correlazione a Google SecOps mentre configuri Google SecOps per funzionare su ArcSight ESM come provider SIEM e per fornire l'accesso API ad ArcSight ESM tramite un utente autorizzato.

Questa funzionalità consente a Google SecOps di recuperare qualsiasi regola attivata in ArcSight ESM quasi in tempo reale e inoltrarla per essere tradotta e contestualizzata come avvisi per le richieste.

Flusso di dati tra Google SecOps e ArcSight ESM

Google SecOps indicizza e contestualizza automaticamente le correlazioni che sono state inoltrate a Google SecOps e sono state attivate in ArcSight ESM tramite il modulo ArcSight Forwarding Connector e l'accesso API.

Prioritizzazione della gravità del connettore

Il connettore assegna la gravità con i seguenti valori di priorità:

  • 1 e 2 - molto bassa
  • 3 e 4 - basso
  • 5 e 6 - media
  • 7 e 8 - alto
  • 9 e 10 - critiche

Input del connettore

Utilizza i seguenti parametri per configurare il connettore:

Nome parametro Tipo Valore predefinito È obbligatorio Descrizione
Ambiente DDL N/D Sì

Seleziona l'ambiente richiesto, ad esempio Customer One.

Se il campo Ambiente dell'avviso è vuoto, l'avviso verrà inserito in questo ambiente.
Esegui ogni Numero intero 0:0:0:10 No Seleziona l'ora in cui eseguire la connessione.
Nome campo prodotto Stringa device_product No

Il nome del campo in cui è memorizzato il nome del prodotto.

Il valore predefinito è device_product.

Il nome del prodotto influisce principalmente sulla mappatura. Per semplificare e migliorare il processo di mappatura per il connettore, il valore predefinito device_product viene risolto in un valore di riserva a cui viene fatto riferimento dal codice. Qualsiasi input non valido per questo parametro viene risolto in un valore di riserva per impostazione predefinita.
Nome campo evento Stringa nome No Il nome del campo utilizzato per determinare il nome dell'evento (sottotipo).
Timeout dello script (secondi) Stringa 500 No Il limite di timeout (in secondi) per il processo Python che esegue lo script corrente.
Indirizzo del server Stringa N/D Sì https://{IP}:{PORT}
Nome utente Stringa N/D Sì Nome utente dell'account ArcSight.
Password Password N/D Sì La password dell'account ArcSight.
Limite di conteggio eventi Numero intero 15 Sì Inserisci il numero massimo di eventi da recuperare per correlazione. Limita il numero di eventi, ad esempio 10.
Percorso della cartella dei casi Stringa I:\SiemShare\CorrelationSource Sì

La posizione dei file della richiesta, ad esempio I:\SiemShare\CorrelationSource

Nota: il parametro Percorso cartella richieste può essere modificato da un cliente all'altro.

Percorso completo. Esempio: C:\Desktop\CorrelationSource
Limite conteggio avvisi Numero intero 10 Sì Il numero massimo di avvisi da elaborare per ciclo del connettore, ad esempio 10.
Nome campo ambiente Stringa event.customerURI Sì Il nome del campo per ottenere l'ambiente della richiesta, ad esempio event.customerUri.
Campo Prodotto dispositivo secondario Stringa N/D No Sostituisci il campo prodotto originale (da DeviceProductField del connettore con il valore del campo prodotto secondario). Esempio: CustomDeviceString2
Nomi dei campi personalizzati degli avvisi Stringa N/D No Estrai i valori dei campi personalizzati da ArcSight nell'avviso, ad esempio baseEventCount,agent_address,device_assetId.
Giorni di conservazione dei file completati Numero intero 3 Sì Per quanti giorni conservare ogni file CSV DONE.
Giorni di conservazione dei file di errore Numero intero 14 Sì Per quanti giorni conservare ogni file CSV ERROR.
Indirizzo del server proxy Stringa N/D No L'indirizzo del server proxy da utilizzare.
Nome utente proxy Stringa N/D No Il nome utente del proxy con cui eseguire l'autenticazione.
Password proxy Password N/D No La password del proxy per l'autenticazione.

Regole del connettore

Il connettore supporta i proxy.

ArcSight - Security Events Connector

Estrai le correlazioni da ArcSight. Questo connettore è adatto per il deployment SaaS di Google SecOps ed è quello consigliato per l'uso in produzione.

Questo connettore richiede il completamento dei passaggi preliminari.

Input del connettore

Utilizza i seguenti parametri per configurare il connettore:

Nome visualizzato del parametro Tipo Valore predefinito È obbligatorio Descrizione
Nome campo prodotto Stringa tipo Sì

Il nome del campo in cui è memorizzato il nome del prodotto.

Il valore predefinito è type.

Il nome del prodotto influisce principalmente sulla mappatura. Per semplificare e migliorare il processo di mappatura per il connettore, il valore predefinito type viene risolto in un valore di riserva a cui viene fatto riferimento dal codice. Qualsiasi input non valido per questo parametro viene risolto in un valore di riserva per impostazione predefinita.
Nome campo evento Stringa nome Sì

Il nome del campo che determina il nome (sottotipo) dell'evento.
Nome campo ambiente Stringa "" No

Il nome del campo in cui è memorizzato il nome dell'ambiente.

Se il campo ambiente non è presente, il connettore utilizza il valore predefinito.
Environment Regex Pattern Stringa .* FALSE No

Un pattern di espressione regolare da eseguire sul valore trovato nel campo Environment Field Name. Questo parametro ti consente di manipolare il campo dell'ambiente utilizzando la logica delle espressioni regolari.

Utilizza il valore predefinito .* per recuperare il valore Environment Field Name non elaborato richiesto.

Se il pattern dell'espressione regolare è nullo o vuoto oppure il valore dell'ambiente è nullo, l'ambiente finale è quello predefinito.
Timeout dello script (secondi) Numero intero 360 Sì

Il limite di timeout, in secondi, per il processo Python che esegue lo script corrente.
Root API Stringa https://{ip} Sì La radice dell'API dell'istanza di ArcSight.
Nome utente Stringa N/D Sì Nome utente dell'account ArcSight.
Password Password N/D Sì Password dell'account ArcSight.
Nome report Stringa N/D Sì Nome del report che verrà utilizzato per recuperare gli eventi.
Recupera eventi di base Casella di controllo Selezionata Sì Se abilitato, il connettore recupererà anche gli eventi di base.
Priorità minima di recupero Numero intero N/D No La priorità più bassa che verrà utilizzata per recuperare gli eventi. I valori possibili sono compresi tra 1 e 10. Se non viene fornito alcun valore, verranno importati tutti gli eventi.
Numero massimo di eventi da recuperare Numero intero 100 No Il numero di avvisi da elaborare per iterazione del connettore. Il massimo consentito è 1000.
Utilizzare una lista dinamica come lista bloccata Casella di controllo Selezionata Sì

Se selezionato, il connettore utilizza l'elenco dinamico come blocklist.
Verifica SSL Casella di controllo Deselezionata Sì Se selezionata, l'integrazione convalida il certificato SSL quando si connette al server ArcSight.
Indirizzo del server proxy Stringa N/D No L'indirizzo del server proxy da utilizzare.
Nome utente proxy Stringa N/D No Il nome utente del proxy con cui eseguire l'autenticazione.
Password proxy Password No La password del proxy per l'autenticazione.

Regole del connettore

Il connettore supporta i proxy.

Job

Chiudi richieste

Il job richiede i seguenti parametri:

Nome parametro Tipo Valore predefinito È obbligatorio Descrizione
Indirizzo del server Stringa 192.0.2.1 Sì N/D
Nome utente Stringa N/D Sì N/D
Password Password N/D Sì N/D

Hai bisogno di ulteriore assistenza? Ricevi risposte dai membri della community e dai professionisti di Google SecOps.