Integra ArcSight con Google SecOps

Questo documento descrive come integrare ArcSight con Google Security Operations.

Nota: questa integrazione utilizza uno o più componenti open source. Puoi scaricare una copia del codice sorgente completo di questa integrazione dal bucket di archiviazione.

Prima di iniziare

Prima di configurare l'integrazione di ArcSight ESM in Google SecOps, verifica che il tuo ambiente soddisfi i requisiti di connessione e autorizzazione per connettori, job e azioni.

Per preparare l'ambiente per l'integrazione, completa i seguenti prerequisiti:

1. Verifica i requisiti di integrazione di base per stabilire la linea di visuale della rete e l'autenticazione programmatica.

2. Per importare eventi di sicurezza o casi di correlazione in Google SecOps, configura i requisiti specifici del connettore.

3. Per concedere privilegi granulari per la gestione delle richieste e l'automazione dei playbook, configura i requisiti specifici per job e azioni.

4. Esamina il flusso di lavoro di configurazione per comprendere la sequenza di provisioning in ArcSight ESM e Google SecOps.

Requisiti di integrazione di base

L'integrazione di base stabilisce la connessione HTTPS principale e la sessione di autenticazione utilizzata in tutte le azioni, i connettori e i job di Google SecOps.

Configura i seguenti requisiti di base nel tuo ambiente:

1. Visibilità di rete: attiva la comunicazione HTTPS dalla tua istanza Google SecOps o dall'agente remoto al server ArcSight ESM sulla porta di gestione (impostazione predefinita: 8443/TCP).

2. Accesso all'API REST: verifica l'accesso diretto ai servizi REST di ArcSight ESM disponibili all'indirizzo https://<esm-host>:8443/www/manager-service/rest/ e https://<esm-host>:8443/www/core-service/rest/, come descritto nella guida all'API dei servizi web REST di ArcSight ESM.

3. Affidabilità SSL/TLS: fornisci un file di certificato CA radice e CA intermedia PEM con codifica Base64 se il deployment di ArcSight ESM utilizza un'autorità di certificazione privata o autofirmata.

4. Proprietà del service account: crea un account di servizio ArcSight dedicato con tipo di utente Web User (consigliato per evitare di utilizzare una licenza di Console interattiva) o Normal User e assicurati che Login Enabled sia impostato su attivo.

   Per le procedure di amministrazione degli utenti, consulta la sezione "Gestione degli utenti" della guida per l'amministratore di ArcSight ESM.

5. Iscrizione al gruppo di base: assegna l'utente del servizio a un gruppo di utenti dedicato (ad esempio, SecOps_Integration_Group) per gestire centralmente tutti i privilegi delle operazioni downstream, gli ACL delle risorse e i filtri degli eventi.

   Per le procedure di configurazione dei gruppi, consulta la sezione "Managing User Groups" (Gestione dei gruppi di utenti) della guida per l'amministratore di ArcSight ESM.

Requisiti specifici del connettore

I connettori di importazione estraggono avvisi ed eventi di sicurezza in Google SecOps e richiedono autorizzazioni operative e un ambito dei dati specializzato oltre all'integrazione di base.

Configura i prerequisiti corrispondenti al connettore di importazione scelto:

1. Assegnazione del filtro degli eventi: assegna un filtro degli eventi (ad esempio All Events o un filtro organizzativo con ambito) al gruppo di utenti di integrazione per definire l'ambito dei dati degli eventi di sicurezza che i connettori possono recuperare.

   Per istruzioni sulla configurazione dei filtri degli eventi a livello di gruppo, consulta la guida dell'amministratore di ArcSight ESM.

2. ArcSight - Security Events Connector: concedi i privilegi per le operazioni Security Events: Inspect, Reports: Inspect e Reports: Execute e assegna le autorizzazioni ACL Read e Execute alla risorsa report specifica in ArcSight che esporta gli eventi di correlazione

   Per le procedure relative alle ACL delle risorse, consulta la sezione "Managing Access Control on Resources" (Gestione del controllo dell'accesso alle risorse) della guida per l'utente della console ArcSight ESM.

3. Connettore ArcSight ESM: concedi i privilegi per le operazioni Security Events: Inspect e Cases: Inspect e assegna le autorizzazioni ACL Read alle cartelle dei casi di destinazione e alle risorse di correlazione in conformità con la guida per l'utente della console ArcSight ESM.

Requisiti specifici per attività e azioni

I job pianificati e le azioni del playbook ereditano la connessione di integrazione di base e richiedono privilegi di operazioni granulari e autorizzazioni ACL a livello di oggetto a seconda delle risorse ArcSight specifiche con cui interagiscono.

Concedi privilegi e ACL in base alle funzionalità di integrazione che stai implementando:

1. Attivazione delle azioni: le azioni del playbook non richiedono una configurazione di connessione separata in Google SecOps. La concessione dei privilegi per le operazioni richieste e delle ACL delle risorse al gruppo di account di servizio in ArcSight consente di utilizzarli immediatamente per i playbook.

2. Close Cases job: concedi i privilegi per le operazioni Cases: Inspect e Cases: Edit e assegna le autorizzazioni ACL Read e Modify alle cartelle dei casi di destinazione come descritto nella Guida per l'utente della console ArcSight ESM.

3. Azioni elenco attive: concede i privilegi per le operazioni Active Lists: Inspect e Active Lists: Edit Content (o Active Lists: Edit) e assegna le autorizzazioni ACL Read e Write agli elenchi attivi specifici a cui fanno riferimento i parametri dell'azione del playbook.

4. Azioni di gestione delle richieste: concedi privilegi per le operazioni Cases: Inspect e Cases: Edit e assegna autorizzazioni ACL Read e Modify alle cartelle delle richieste di destinazione.

5. Azioni di query e ricerca: concedi i privilegi per le operazioni Query Viewers: Inspect e Query Viewers: Execute e assegna le autorizzazioni ACL Read e Execute ai visualizzatori di query di destinazione.

6. Azioni report: concedi i privilegi per le operazioni Reports: Inspect e Reports: Execute e assegna le autorizzazioni ACL Read e Execute ai report di destinazione.

Mappatura delle autorizzazioni dei componenti

La tabella seguente descrive i privilegi di operazione e le ACL delle risorse minimi richiesti per ogni tipo di componente di integrazione.

Consulta la seguente tabella per comprendere i requisiti di autorizzazione:

1. Sessione di base: l'integrazione di base richiede solo credenziali di accesso valide e diritti utente autenticati predefiniti.

2. Connettori di importazione: i connettori richiedono diritti di filtro degli eventi, privilegi di ispezione degli eventi e accesso in lettura a report o richieste.

3. Job e azioni: le azioni del playbook e i job di sincronizzazione richiedono privilegi di attività funzionali e autorizzazioni ACL sulle risorse specifiche a cui si accede, configurate utilizzando la guida per l'utente della console ArcSight ESM.

Tipo di componente	Nome componente	Servizio API	Privilegi di Operations richiesti	ACL delle risorse obbligatorie
Integrazione di base	Connessione di base e autenticazione	LoginService	Privilegi utente autenticato predefiniti	Nessuno
Connettore	ArcSight - Security Events Connector	SecurityEventService, ReportService	Security Events: Inspect, Reports: Inspect, Reports: Execute	Read e Execute sulla risorsa report in linea con l'obiettivo
Connettore	Connettore ArcSight ESM	SecurityEventService, CaseService	Security Events: Inspect, Cases: Inspect	Read nelle cartelle dei casi di destinazione e negli oggetti di correlazione
Job	Job Chiudi casi	CaseService	Cases: Inspect, Cases: Edit	Read e Modify nelle cartelle dei casi di destinazione
Azione	Azioni di elenco attive (Aggiungi entità, Aggiungi voci, Ottieni voci, Controlla valore)	ActiveListService	Active Lists: Inspect, Active Lists: Edit Content (o Active Lists: Edit)	Read e Write negli elenchi attivi di destinazione
Azione	Azione Cambia fase della richiesta	CaseService	Cases: Inspect, Cases: Edit	Read e Modify nelle cartelle dei casi di destinazione
Azione	Query e azioni di ricerca (ottieni risultati query, ricerca)	QueryViewerService, SearchService	Query Viewers: Inspect, Query Viewers: Execute	Read e Execute per gli spettatori delle query di destinazione
Azione	Azione Scarica report	ReportService	Reports: Inspect, Reports: Execute	Read e Execute nei report sugli obiettivi
Azione	Azione Elenco risorse	ActiveListService, CaseService, QueryViewerService, ReportService	Privilegio Inspect per ogni tipo di risorsa abilitato	Read nelle cartelle delle risorse di destinazione

Workflow di configurazione

Segui questo flusso di lavoro in più fasi per eseguire il provisioning delle autorizzazioni in ArcSight ESM e attivare i componenti selezionati in Google SecOps.

Completa i passaggi di configurazione nella seguente sequenza:

1. Provisioning dell'account di servizio e del gruppo ArcSight: crea l'utente di servizio dedicato in ArcSight ESM, crea un gruppo di utenti dedicato, assegna l'utente di servizio al gruppo e applica un filtro eventi per definire la visibilità dei dati come descritto nella guida per l'amministratore di ArcSight ESM.

2. Assegna privilegi e ACL per i componenti scelti: fai un controllo incrociato tra i connettori, i job e le azioni pianificati e la tabella di mappatura delle autorizzazioni dei componenti, concedi i privilegi delle operazioni corrispondenti al gruppo di utenti e assegna ACL a livello di oggetto (ad esempio Read/Write negli elenchi attivi o Read/Execute nei report) nelle cartelle delle risorse di destinazione specifiche nella Guida per l'utente di ArcSight ESM Console.

3. Configura in Google SecOps: configura l'integrazione di base, i connettori di importazione, i job pianificati e le azioni del playbook in Google SecOps come descritto nelle sezioni seguenti.

Parametri di integrazione

Utilizza i seguenti parametri per configurare l'integrazione:

Nome parametro	Tipo	Valore predefinito	È obbligatorio	Descrizione
Nome istanza	Stringa	N/D	No	Nome dell'istanza per cui intendi configurare l'integrazione.
Descrizione	Stringa	N/D	No	Descrizione dell'istanza.
Root API	Stringa	https://{IP}:{PORT}	Sì	Indirizzo del server dell'istanza di ArcSight.
Nome utente	Stringa	N/D	Sì	Nome utente dell'account ArcSight.
Password	Password	N/D	Sì	Password dell'account ArcSight.
Esegui da remoto	Casella di controllo	Deselezionata	No	Seleziona il campo per eseguire l'integrazione configurata da remoto. Una volta selezionata, viene visualizzata l'opzione per selezionare l'utente remoto (agente).

Per istruzioni su come configurare un'integrazione in Google SecOps, consulta Configurare le integrazioni.

Se necessario, potrai apportare modifiche in un secondo momento. Dopo aver configurato un'istanza di integrazione, puoi utilizzarla nei playbook. Per saperne di più su come configurare e supportare più istanze, consulta Supporto di più istanze.

Azioni

Per ulteriori informazioni sulle azioni, vedi Rispondere alle azioni in attesa dalla tua scrivania e Eseguire un'azione manuale.

Aggiungere voci all'elenco attivo

Fornisce un meccanismo per ottenere informazioni dalle tendenze al di fuori e in aggiunta ai report. Gli elenchi attivi aggiornati in base alle tendenze supportano le visualizzazioni riepilogative delle informazioni di più tendenze.

Parametri

Nome parametro	Tipo	Valore predefinito	È obbligatorio	Descrizione
Colonne	Stringa	N/D	Sì	Esempio: Messaggio;Nome utente
Voci	Stringa	N/D	Sì	Esempio: test1|Me1;Test|Me2
UUID elenco attivo	Stringa	N/D	Sì	Esempio: HCN75QGABABCZXCOdT9P51w==

Pubblica su

Questa azione viene eseguita su tutte le entità.

Risultati dell'azione

Questa azione può fornire i seguenti risultati.

Risultato dello script

Nome del risultato dello script	Opzioni del valore	Esempio
is_succeed	Vero o falso	is_succeed:False

Cambia fase della richiesta

Modifica la fase di una richiesta. Le fasi valide sono INITIAL, QUEUED, CLOSED, FINAL e FOLLOW_UP.

Parametri

Nome parametro	Tipo	Valore predefinito	È obbligatorio	Descrizione
Nome richiesta	Stringa	N/D	Sì	Il nome della richiesta da aggiornare.
Fase	Stringa	N/D	Sì	La fase della richiesta. Esempio: CHIUSO, INIZIALE

Pubblica su

Questa azione viene eseguita su tutte le entità.

Risultati dell'azione

Questa azione può fornire i seguenti risultati.

Risultato dello script

Nome del risultato dello script	Opzioni del valore	Esempio
operazione riuscita	Vero o falso	success:False

Ottenere voci di Activelist

Recupera le voci dell'elenco attivo di ArcSight e restituisce l'output CSV.

Parametri

Nome parametro	Tipo	Valore predefinito	È obbligatorio	Descrizione
UUID elenco attivo	Stringa	N/D	Sì	Esempio: HTcILQWABABCr553ieI0Xmw==

Pubblica su

Questa azione viene eseguita su tutte le entità.

Risultati dell'azione

Questa azione può fornire i seguenti risultati.

Risultato dello script

Nome del risultato dello script	Opzioni del valore	Esempio
Success_Indicator	N/D	N/D

Risultato JSON

[
"12346e4d96f0a72c42015d69aaf0e8ab ,
 file.txt",
 "0e0776034e5e096704cd28cbd40cdbb5 ,
 Test.config"
]

Ottieni risultati query

Ottieni i risultati della query in base all'ID query. Una query può essere utilizzata come origine dati principale per un report o una tendenza (basata su una query) che può essere utilizzata come origine dati per un'altra query che perfeziona ulteriormente il risultato della query iniziale.

Parametri

Nome parametro	Tipo	Valore predefinito	È obbligatorio	Descrizione
ID query	Stringa	N/D	Sì	L'ID query.
Numero massimo di elementi da restituire	Numero intero	100	No	Specifica il numero di elementi da restituire nella risposta.

Casi d'uso

Aggiungi una limitazione al numero di risultati da restituire.

Pubblica su

Questa azione viene eseguita su tutte le entità.

Risultati dell'azione

Questa azione può fornire i seguenti risultati.

Risultato dello script

Nome del risultato dello script	Opzioni del valore	Esempio
operazione riuscita	Vero o falso	success:False

Risultato JSON

[
    {
        "Target User Name": "user",
        "Attacker Address": "192.0.2.1",
        "External ID": "127",
        "Name": "A Kerberos authentication ticket (TGT) was requested.",
        "Target Address": "192.0.2.1"
    },{
        "Target User Name": "user",
        "Attacker Address": "192.0.2.1",
        "External ID": "127",
        "Name": "A Kerberos authentication ticket (TGT) was requested.",
        "Target Address": "192.0.2.1"
    }
]

Scarica report

Genera un report con campi dinamici. Un report è una risorsa ArcSight che associa i dati di una query o di una tendenza a un modello di report esistente. Una volta eseguito, i risultati di un report possono essere visualizzati nel riquadro del visualizzatore delle console ArcSight, salvati (archiviati) o esportati in diversi formati. I report possono essere pianificati per essere eseguiti a intervalli regolari e possono essere eseguiti on demand in base alle necessità.

Parametri

Nome parametro	Tipo	Valore predefinito	È obbligatorio	Descrizione
Percorso completo del report (URI)	Stringa	N/D	Sì	L'URI del report pertinente.
Campo 2	Stringa	N/D	No	I campi dinamici della query per generare il report.
Campo 3	Stringa	N/D	No	I campi dinamici per la query per generare il report.
Campo 4	Stringa	N/D	No	I campi dinamici della query per generare il report.
Campo 6	Stringa	N/D	No	I campi dinamici della query per generare il report.
Campo 6	Stringa	N/D	No	I campi dinamici della query per generare il report.
Campo 7	Stringa	N/D	No	I campi dinamici della query per generare il report.
Campo 8	Stringa	N/D	No	I campi dinamici della query per generare il report.
Campo 9	Stringa	N/D	No	I campi dinamici per la query per generare il report.
Campo 10	Stringa	N/D	No	I campi dinamici della query per generare il report.

Pubblica su

Questa azione viene eseguita su tutte le entità.

Risultati dell'azione

Questa azione può fornire i seguenti risultati.

Risultato dello script

Nome del risultato dello script	Opzioni del valore	Esempio
json_report	N/D	N/D

Is Value in Activelist Column

Controlla se un valore specifico è presente nell'elenco attivo .

Parametri

Nome parametro	Tipo	Valore predefinito	È obbligatorio	Descrizione
UUID elenco attivo	Stringa	N/D	Sì	UUID dell'elenco attivo. Esempio: cuser.
Nome colonna	Stringa	N/D	Sì	Il nome della colonna. Esempio: sourceUserName.

Pubblica su

Questa azione viene eseguita su tutte le entità.

Risultati dell'azione

Questa azione può fornire i seguenti risultati.

Risultato dello script

Nome del risultato dello script	Opzioni del valore	Esempio
Success_Indicator	N/D	N/D

Dindin

Testa la connettività.

Parametri

Nessuno.

Pubblica su

Questa azione viene eseguita su tutte le entità.

Risultati dell'azione

Questa azione può fornire i seguenti risultati.

Risultato dello script

Nome del risultato dello script	Opzioni del valore	Esempio
is_succeed	Vero o falso	is_succeed:False

Cerca

Puoi avviare una ricerca in ArcSight Command Center dal canale degli eventi della console. La ricerca Evento completato cerca l'attributo associato, che è memorizzato in diversi campi (ad esempio, abc). La ricerca di eventi cerca un valore (ad esempio abc) memorizzato nel campo specificato (ad esempio, nel campo del solo nome).

Parametri

Nome parametro	Tipo	Valore predefinito	È obbligatorio	Descrizione
Query di ricerca	Stringa	N/D	Sì	La query di ricerca.
Numero massimo di elementi da restituire	Numero intero	100	No	Specifica il numero di elementi da restituire nella risposta.

Casi d'uso

Aggiungi una limitazione al numero di risultati da restituire.

Pubblica su

Questa azione viene eseguita su tutte le entità.

Risultati dell'azione

Questa azione può fornire i seguenti risultati.

Risultato dello script

Nome del risultato dello script	Opzioni del valore	Esempio
operazione riuscita	Vero o falso	success:False

Risultato JSON

[
    {
        "score": 1.2440307,
        "uuid": "UUID",
        "uri": "/All_Fields/ArcSight_Foundation/Variables_Library/IPv6/Attacker_IPv6_Address",
        "name": "Attacker IPv6 Address"
    }, {
        "score": 1.2440307,
        "uuid": "UUID",
        "uri": "/All_Fields/ArcSight_Foundation/Variables_Library/IPv6/Attacker_IPv6_Address",
        "name": "Attacker IPv6 Address"
    }
]

Connettori

Per scoprire di più sulla configurazione dei connettori in Google SecOps, consulta Importare i dati (connettori).

Nota:per evitare la perdita di dati, i connettori utilizzano l'appiattimento degli eventi. Se un avviso non elaborato contiene un elenco di entità (ad esempio più indirizzi email, nomi host o indirizzi IP), i connettori li appiattiscono automaticamente in eventi separati e unici.

Ad esempio, un singolo avviso non elaborato contenente tre indirizzi email diversi viene importato come tre eventi separati, ognuno contenente un indirizzo email distinto.

Questo processo garantisce che ogni entità venga indicizzata correttamente come asset unico, rendendola completamente ricercabile e utilizzabile nei playbook.

Connettore Arcsight ESM

Questa guida si riferisce ad ArcSight ESM versione 6.9.1 e successive.

Regola ESM o inoltro di casi a Google SecOps

Utilizzo di regole/correlazioni attivate

Dovrai configurare ArcSight ESM per inoltrare gli ultimi oggetti di correlazione a Google SecOps, mentre configuri Google SecOps per funzionare su ArcSight ESM come provider SIEM e per fornire l'accesso API ad ArcSight ESM tramite un utente autorizzato.

Questa funzionalità consente a Google SecOps di recuperare qualsiasi regola attivata in ArcSight ESM quasi in tempo reale e inoltrarla per essere tradotta e contestualizzata come avvisi per i casi.

Flusso di dati tra Google SecOps e ArcSight ESM

Google SecOps indicizza e contestualizza automaticamente le correlazioni che sono state inoltrate a Google SecOps e sono state attivate in ArcSight ESM tramite il modulo ArcSight Forwarding Connector e l'accesso API.

Prioritizzazione della gravità del connettore

Il connettore assegna la gravità con i seguenti valori di priorità:

• 1 e 2 - Molto bassa
• 3 e 4 - Bassa
• 5 e 6 - media
• 7 e 8 - alto
• 9 e 10 - critica

Input del connettore

Utilizza i seguenti parametri per configurare il connettore:

Nome parametro	Tipo	Valore predefinito	È obbligatorio	Descrizione
Ambiente	DDL	N/D	Sì	Seleziona l'ambiente richiesto, ad esempio Customer One. Se il campo Ambiente dell'avviso è vuoto, questo avviso verrà inserito in questo ambiente.
Esegui ogni	Numero intero	0:0:0:10	No	Seleziona l'ora in cui eseguire la connessione.
Nome campo prodotto	Stringa	device_product	No	Il nome del campo in cui è memorizzato il nome del prodotto. Il valore predefinito è device_product. Il nome del prodotto influisce principalmente sulla mappatura. Per semplificare e migliorare il processo di mappatura per il connettore, il valore predefinito device_product viene risolto in un valore di riserva a cui viene fatto riferimento dal codice. Qualsiasi input non valido per questo parametro viene risolto in un valore di riserva per impostazione predefinita.
Nome campo evento	Stringa	nome	No	Il nome del campo utilizzato per determinare il nome dell'evento (sottotipo).
Timeout dello script (secondi)	Stringa	500	No	Il limite di timeout (in secondi) per il processo Python che esegue lo script corrente.
Indirizzo del server	Stringa	N/D	Sì	https://{IP}:{PORT}
Nome utente	Stringa	N/D	Sì	Nome utente dell'account ArcSight.
Password	Password	N/D	Sì	La password dell'account ArcSight.
Limite conteggio eventi	Numero intero	15	Sì	Inserisci il numero massimo di eventi da recuperare per correlazione. Limita il numero di eventi, ad esempio 10.
Percorso della cartella dei casi	Stringa	I:\SiemShare\CorrelationSource	Sì	La posizione dei file della richiesta, ad esempio I:\SiemShare\CorrelationSource Nota:il parametro di percorso della cartella casi può variare da un cliente all'altro. Percorso completo. Esempio: C:\Desktop\CorrelationSource
Limite conteggio avvisi	Numero intero	10	Sì	Il numero massimo di avvisi da elaborare per ciclo del connettore, ad esempio 10.
Nome campo ambiente	Stringa	event.customerURI	Sì	Il nome del campo per ottenere l'ambiente della richiesta, ad esempio event.customerUri.
Campo Prodotto dispositivo secondario	Stringa	N/D	No	Sostituisci il campo prodotto originale (da DeviceProductField del connettore con il valore del campo prodotto secondario). Esempio: CustomDeviceString2
Nomi dei campi personalizzati dell'avviso	Stringa	N/D	No	Estrai i valori dei campi personalizzati da ArcSight nell'avviso, ad esempio baseEventCount,agent_address,device_assetId.
Giorni di conservazione dei file completati	Numero intero	3	Sì	Per quanti giorni conservare ogni file CSV DONE.
Giorni di conservazione dei file di errore	Numero intero	14	Sì	Per quanti giorni conservare ogni file CSV ERROR.
Indirizzo del server proxy	Stringa	N/D	No	L'indirizzo del server proxy da utilizzare.
Nome utente proxy	Stringa	N/D	No	Il nome utente del proxy per l'autenticazione.
Password proxy	Password	N/D	No	La password del proxy per l'autenticazione.

Regole del connettore

Il connettore supporta i proxy.

ArcSight - Security Events Connector

Estrai le correlazioni da ArcSight. Questo connettore è adatto al deployment SaaS di Google SecOps ed è quello consigliato per l'uso in produzione.

Nota: la lista dinamica funziona con il parametro name.

Questo connettore richiede il completamento dei passaggi preliminari.

Input del connettore

Utilizza i seguenti parametri per configurare il connettore:

Nome visualizzato del parametro	Tipo	Valore predefinito	È obbligatorio	Descrizione
Nome campo prodotto	Stringa	tipo	Sì	Il nome del campo in cui è memorizzato il nome del prodotto. Il valore predefinito è type. Il nome del prodotto influisce principalmente sulla mappatura. Per semplificare e migliorare il processo di mappatura per il connettore, il valore predefinito type viene risolto in un valore di riserva a cui viene fatto riferimento dal codice. Qualsiasi input non valido per questo parametro viene risolto in un valore di riserva per impostazione predefinita.
Nome campo evento	Stringa	nome	Sì	Il nome del campo che determina il nome (sottotipo) dell'evento.
Nome campo ambiente	Stringa	""	No	Il nome del campo in cui è memorizzato il nome dell'ambiente. Se il campo dell'ambiente non è presente, il connettore utilizza il valore predefinito.
Environment Regex Pattern	Stringa	.*	FALSE	No	Un pattern di espressione regolare da eseguire sul valore trovato nel campo Environment Field Name. Questo parametro consente di manipolare il campo dell'ambiente utilizzando la logica delle espressioni regolari. Utilizza il valore predefinito .* per recuperare il valore Environment Field Name non elaborato richiesto. Se il pattern dell'espressione regolare è nullo o vuoto oppure il valore dell'ambiente è nullo, l'ambiente finale è quello predefinito.
Timeout dello script (secondi)	Numero intero	360	Sì	Il limite di timeout, in secondi, per il processo Python che esegue lo script corrente.
Root API	Stringa	https://{ip}	Sì	La radice API dell'istanza di ArcSight.
Nome utente	Stringa	N/D	Sì	Nome utente dell'account ArcSight.
Password	Password	N/D	Sì	Password dell'account ArcSight.
Nome report	Stringa	N/D	Sì	Il nome del report che verrà utilizzato per recuperare gli eventi.
Recupera eventi di base	Casella di controllo	Selezionata	Sì	Se abilitato, il connettore recupererà anche gli eventi di base.
Priorità minima di recupero	Numero intero	N/D	No	La priorità più bassa che verrà utilizzata per recuperare gli eventi. I valori possibili sono compresi tra 1 e 10. Se non viene fornito alcun valore, verranno importati tutti gli eventi.
Numero massimo di eventi da recuperare	Numero intero	100	No	Il numero di avvisi da elaborare per iterazione del connettore. Il massimo consentito è 1000.
Utilizzare la lista dinamica come lista bloccata	Casella di controllo	Selezionata	Sì	Se selezionato, il connettore utilizza l'elenco dinamico come blocklist.
Verifica SSL	Casella di controllo	Deselezionata	Sì	Se selezionata, l'integrazione convalida il certificato SSL quando si connette al server ArcSight.
Indirizzo del server proxy	Stringa	N/D	No	L'indirizzo del server proxy da utilizzare.
Nome utente proxy	Stringa	N/D	No	Il nome utente del proxy per l'autenticazione.
Password proxy	Password		No	La password del proxy per l'autenticazione.

Regole del connettore

Il connettore supporta i proxy.

Job

Per saperne di più sui job, vedi Configurare un nuovo job e Pianificazione avanzata.

Chiudi casi

Il job richiede i seguenti parametri:

Nome parametro	Tipo	Valore predefinito	È obbligatorio	Descrizione
Indirizzo del server	Stringa	192.0.2.1	Sì	N/D
Nome utente	Stringa	N/D	Sì	N/D
Password	Password	N/D	Sì	N/D

Hai bisogno di ulteriore assistenza? Ricevi risposte dai membri della community e dai professionisti di Google SecOps.