ArcSight를 Google SecOps와 통합

이 문서에서는 ArcSight를 Google Security Operations와 통합하는 방법을 설명합니다.

참고: 이 통합은 오픈소스 구성요소를 하나 이상 사용합니다. 스토리지 버킷에서 이 통합의 전체 소스 코드 사본을 다운로드할 수 있습니다.

시작하기 전에

Google SecOps에서 ArcSight ESM 통합을 구성하기 전에 환경이 커넥터, 작업, 작업의 연결 및 권한 요구사항을 충족하는지 확인하세요.

통합을 위해 환경을 준비하려면 다음 필수 요건을 완료하세요.

1. 기본 통합 요구사항을 확인하여 네트워크 가시선과 프로그래매틱 인증을 설정합니다.

2. 보안 이벤트 또는 상관관계 케이스를 Google SecOps에 수집하려면 커넥터별 요구사항을 구성하세요.

3. 케이스 관리 및 플레이북 자동화에 대한 세부적인 권한을 부여하려면 작업 및 작업별 요구사항을 구성하세요.

4. 구성 워크플로를 검토하여 ArcSight ESM과 Google SecOps 간의 프로비저닝 시퀀스를 파악합니다.

기본 통합 요구사항

기본 통합은 모든 Google SecOps 작업, 커넥터, 작업에서 사용되는 핵심 HTTPS 연결 및 인증 세션을 설정합니다.

환경에서 다음 기본 요구사항을 구성합니다.

1. 네트워크 가시선: Google SecOps 인스턴스 또는 원격 에이전트에서 관리 포트 (기본값: 8443/TCP)의 ArcSight ESM 서버로 HTTPS 통신을 사용 설정합니다.

2. REST API 액세스: ArcSight ESM REST 웹 서비스 API 가이드에 설명된 대로 https://<esm-host>:8443/www/manager-service/rest/ 및 https://<esm-host>:8443/www/core-service/rest/에 있는 ArcSight ESM REST 서비스에 대한 직접 액세스를 확인합니다.

3. SSL/TLS 신뢰: ArcSight ESM 배포에서 비공개 또는 자체 서명 인증 기관을 사용하는 경우 Base64로 인코딩된 PEM 루트 및 중간 CA 인증서 파일을 제공합니다.

4. 서비스 계정 속성: 사용자 유형이 Web User (대화형 콘솔 시트 라이선스 사용을 방지하는 것이 좋음) 또는 Normal User인 전용 ArcSight 서비스 계정을 만들고 Login Enabled이 활성으로 설정되어 있는지 확인합니다.

   사용자 관리 절차는 ArcSight ESM 관리자 가이드의 '사용자 관리' 섹션을 참고하세요.

5. 기본 그룹 멤버십: 전용 사용자 그룹(예: SecOps_Integration_Group)에 서비스 사용자를 할당하여 모든 다운스트림 작업 권한, 리소스 ACL, 이벤트 필터를 중앙에서 관리합니다.

   그룹 구성 절차는 ArcSight ESM 관리자 가이드의 '사용자 그룹 관리' 섹션을 참고하세요.

커넥터별 요구사항

수집 커넥터는 알림과 보안 이벤트를 Google SecOps로 가져오며 기본 통합을 넘어 전문적인 데이터 범위 지정 및 운영 권한이 필요합니다.

선택한 수집 커넥터에 해당하는 필수 요건을 구성합니다.

1. 이벤트 필터 할당: 통합 사용자 그룹에 이벤트 필터 (예: All Events 또는 범위가 지정된 조직 필터)를 할당하여 커넥터가 가져올 수 있는 보안 이벤트의 데이터 범위를 정의합니다.

   그룹 수준 이벤트 필터 구성에 관한 안내는 ArcSight ESM 관리자 가이드를 참고하세요.

2. ArcSight - 보안 이벤트 커넥터: Security Events: Inspect, Reports: Inspect, Reports: Execute 작업 권한을 부여하고 상관관계 이벤트를 내보내는 ArcSight의 특정 보고서 리소스에 Read 및 Execute ACL 권한을 할당합니다.

   리소스 ACL 절차는 ArcSight ESM Console User's Guide의 'Managing Access Control on Resources'(리소스에 대한 액세스 제어 관리) 섹션을 참고하세요.

3. ArcSight ESM 커넥터: ArcSight ESM 콘솔 사용자 가이드에 따라 Security Events: Inspect 및 Cases: Inspect 작업 권한을 부여하고 타겟 케이스 폴더 및 상관관계 리소스에 Read ACL 권한을 할당합니다.

작업 및 작업별 요구사항

예약된 작업과 플레이북 작업은 기본 통합 연결을 상속하며, 상호작용하는 특정 ArcSight 리소스에 따라 세부적인 작업 권한과 객체 수준 ACL 권한이 필요합니다.

배포하는 통합 기능에 따라 권한과 ACL을 부여합니다.

1. 작업 사용 설정: 플레이북 작업에는 Google SecOps에서 별도의 연결 구성이 필요하지 않습니다. 필수 작업 권한과 리소스 ACL을 ArcSight의 서비스 계정 그룹에 부여하면 플레이북을 즉시 사용할 수 있습니다.

2. 케이스 종료 작업: ArcSight ESM 콘솔 사용자 가이드에 설명된 대로 Cases: Inspect 및 Cases: Edit 작업 권한을 부여하고 타겟 케이스 폴더에 Read 및 Modify ACL 권한을 할당합니다.

3. 활성 목록 작업: Active Lists: Inspect 및 Active Lists: Edit Content (또는 Active Lists: Edit) 작업 권한을 부여하고 플레이북 작업 매개변수의 타겟팅을 받는 특정 활성 목록에 Read 및 Write ACL 권한을 할당합니다.

4. 케이스 관리 작업: Cases: Inspect 및 Cases: Edit 작업 권한을 부여하고 타겟 케이스 폴더에 Read 및 Modify ACL 권한을 할당합니다.

5. 쿼리 및 검색 작업: Query Viewers: Inspect 및 Query Viewers: Execute 작업 권한을 부여하고 대상 쿼리 뷰어에 Read 및 Execute ACL 권한을 할당합니다.

6. 보고서 작업: Reports: Inspect 및 Reports: Execute 작업 권한을 부여하고 타겟 보고서에 Read 및 Execute ACL 권한을 할당합니다.

구성요소 권한 매핑

다음 표에는 각 통합 구성요소 유형에 필요한 최소 작업 권한과 리소스 ACL이 간략하게 나와 있습니다.

다음 표를 검토하여 권한 요구사항을 확인하세요.

1. 기본 세션: 기본 통합에는 유효한 로그인 사용자 인증 정보와 기본 인증된 사용자 권한만 필요합니다.

2. 수집 커넥터: 커넥터에는 이벤트 필터링 권한, 이벤트 검사 권한, 보고서 또는 케이스에 대한 읽기 액세스 권한이 필요합니다.

3. 작업 및 작업: 플레이북 작업 및 동기화 작업에는 액세스하는 특정 리소스에 대한 기능 작업 권한과 ACL 권한이 필요하며, 이는 ArcSight ESM Console User's Guide를 사용하여 구성됩니다.

구성요소 유형	구성요소 이름	API 서비스	필수 작업 권한	필수 리소스 ACL
베이스 통합	기본 연결 및 인증	LoginService	기본 인증된 사용자 권한	없음
커넥터	ArcSight - 보안 관련 활동 커넥터	SecurityEventService, ReportService	Security Events: Inspect, Reports: Inspect, Reports: Execute	대상 보고서 리소스에 대한 Read 및 Execute
커넥터	ArcSight ESM 커넥터	SecurityEventService, CaseService	Security Events: Inspect, Cases: Inspect	타겟 케이스 폴더 및 상관관계 객체에 대한 Read 권한
작업	케이스 종료 작업	CaseService	Cases: Inspect, Cases: Edit	타겟 케이스 폴더에 대한 Read 및 Modify
작업	활성 목록 작업 (항목 추가, 항목 가져오기, 값 확인)	ActiveListService	Active Lists: Inspect, Active Lists: Edit Content(또는 Active Lists: Edit)	타겟 활성 목록에 대한 Read 및 Write
작업	케이스 단계 변경 작업	CaseService	Cases: Inspect, Cases: Edit	타겟 케이스 폴더에 대한 Read 및 Modify
작업	질문 및 검색 작업 (질문 결과 가져오기, 검색)	QueryViewerService, SearchService	Query Viewers: Inspect, Query Viewers: Execute	타겟 질문 보기 권한에 대한 Read 및 Execute
작업	보고서 작업 가져오기	ReportService	Reports: Inspect, Reports: Execute	타겟 보고서에 대한 Read 및 Execute
작업	리소스 나열 작업	ActiveListService, CaseService, QueryViewerService, ReportService	사용 설정된 각 리소스 유형의 Inspect 권한	대상 리소스 폴더에 대한 Read

구성 워크플로

이 다단계 워크플로에 따라 ArcSight ESM에서 권한을 프로비저닝하고 Google SecOps에서 선택한 구성요소를 활성화하세요.

다음 순서로 구성 단계를 완료합니다.

1. ArcSight 서비스 계정 및 그룹 프로비저닝: ArcSight ESM에서 전용 서비스 사용자를 만들고, 전용 사용자 그룹을 만들고, 서비스 사용자를 그룹에 할당하고, ArcSight ESM 관리자 가이드에 자세히 설명된 대로 데이터 공개 상태를 정의하는 이벤트 필터를 적용합니다.

2. 선택한 구성요소에 대한 권한 및 ACL 할당: 계획된 커넥터, 작업, 작업을 구성요소 권한 매핑 표와 상호 참조하고, 사용자 그룹에 해당 작업 권한을 부여하고, ArcSight ESM Console User's Guide의 특정 타겟 리소스 폴더에 객체 수준 ACL (예: 활성 목록의 Read/Write 또는 보고서의 Read/Execute)을 할당합니다.

3. Google SecOps에서 구성: 다음 섹션에 설명된 대로 Google SecOps에서 기본 통합, 수집 커넥터, 예약된 작업, 플레이북 작업을 구성합니다.

통합 매개변수

다음 매개변수를 사용하여 통합을 구성합니다.

매개변수 이름	유형	기본값	필수 항목	설명
인스턴스 이름	문자열	해당 사항 없음	아니요	통합을 구성할 인스턴스의 이름입니다.
설명	문자열	해당 사항 없음	아니요	인스턴스에 대한 설명입니다.
API 루트	문자열	https://{IP}:{PORT}	예	ArcSight 인스턴스의 서버 주소입니다.
사용자 이름	문자열	해당 사항 없음	예	ArcSight 계정의 사용자 이름입니다.
비밀번호	비밀번호	해당 사항 없음	예	ArcSight 계정의 비밀번호입니다.
원격 실행	체크박스	선택 해제	No	구성된 통합을 원격으로 실행하려면 필드를 선택합니다. 선택하면 원격 사용자(에이전트)를 선택하는 옵션이 나타납니다.

Google SecOps에서 통합을 구성하는 방법에 대한 안내는 통합 구성을 참고하세요.

필요한 경우 이후 단계에서 변경할 수 있습니다. 통합 인스턴스를 구성한 후 플레이북에서 사용할 수 있습니다. 여러 인스턴스를 구성하고 지원하는 방법에 관한 자세한 내용은 여러 인스턴스 지원을 참고하세요.

작업

작업에 대한 자세한 내용은 Workdesk에서 대기 중인 작업에 응답 및 직접 조치 실행을 참고하세요.

활성 목록에 항목 추가

보고서 외에 트렌드에서 정보를 가져오는 메커니즘을 제공합니다. 트렌드에 따라 업데이트되는 활성 목록은 여러 트렌드의 정보에 대한 요약 보기를 지원합니다.

매개변수

파라미터 이름	유형	기본값	필수 항목	설명
열	문자열	해당 사항 없음	예	예: Message(메시지), Username(사용자 이름)
항목	문자열	해당 사항 없음	예	예: test1|Me1;Test|Me2
활성 목록 UUID	문자열	해당 사항 없음	예	예: HCN75QGABABCZXCOdT9P51w==

실행

이 작업은 모든 항목에서 실행됩니다.

작업 결과

이 작업은 다음과 같은 결과를 제공할 수 있습니다.

스크립트 결과

스크립트 결과 이름	값 옵션	예
is_succeed	True 또는 False	is_succeed:False

케이스 단계 변경

케이스의 단계를 변경합니다. 유효한 단계는 INITIAL, QUEUED, CLOSED, FINAL, FOLLOW_UP입니다.

매개변수

파라미터 이름	유형	기본값	필수 항목	설명
케이스 이름	문자열	해당 사항 없음	예	업데이트할 케이스의 이름입니다.
단계	문자열	해당 사항 없음	예	케이스의 단계입니다. 예: CLOSED, INITIAL

실행

이 작업은 모든 항목에서 실행됩니다.

작업 결과

이 작업은 다음과 같은 결과를 제공할 수 있습니다.

스크립트 결과

스크립트 결과 이름	값 옵션	예
성공	True 또는 False	success:False

활성 목록 항목 가져오기

ArcSight 활성 목록 항목을 가져와 csv 출력을 반환합니다.

매개변수

파라미터 이름	유형	기본값	필수 항목	설명
활성 목록 UUID	문자열	해당 사항 없음	예	예: HTcILQWABABCr553ieI0Xmw==

실행

이 작업은 모든 항목에서 실행됩니다.

작업 결과

이 작업은 다음과 같은 결과를 제공할 수 있습니다.

스크립트 결과

스크립트 결과 이름	값 옵션	예
Success_Indicator	해당 사항 없음	해당 사항 없음

JSON 결과

[
"12346e4d96f0a72c42015d69aaf0e8ab ,
 file.txt",
 "0e0776034e5e096704cd28cbd40cdbb5 ,
 Test.config"
]

쿼리 결과 가져오기

쿼리 ID로 쿼리 결과를 가져옵니다. 쿼리는 보고서의 기본 데이터 소스로 사용하거나, 초기 쿼리 결과를 추가로 구체화하는 다른 쿼리의 데이터 소스로 사용할 수 있는 추세 (하나의 쿼리 기반)로 사용할 수 있습니다.

매개변수

파라미터 이름	유형	기본값	필수 항목	설명
쿼리 ID	문자열	해당 사항 없음	예	쿼리 ID입니다.
반환할 최대 항목 수	정수	100	아니요	응답에서 반환할 항목 수를 지정합니다.

사용 사례

반환할 결과 수에 제한을 추가합니다.

실행

이 작업은 모든 항목에서 실행됩니다.

작업 결과

이 작업은 다음과 같은 결과를 제공할 수 있습니다.

스크립트 결과

스크립트 결과 이름	값 옵션	예
성공	True 또는 False	success:False

JSON 결과

[
    {
        "Target User Name": "user",
        "Attacker Address": "192.0.2.1",
        "External ID": "127",
        "Name": "A Kerberos authentication ticket (TGT) was requested.",
        "Target Address": "192.0.2.1"
    },{
        "Target User Name": "user",
        "Attacker Address": "192.0.2.1",
        "External ID": "127",
        "Name": "A Kerberos authentication ticket (TGT) was requested.",
        "Target Address": "192.0.2.1"
    }
]

보고서 받기

동적 필드가 포함된 보고서를 가져옵니다. 보고서는 쿼리 또는 추세의 데이터를 기존 보고서 템플릿에 바인딩하는 ArcSight 리소스입니다. 실행된 보고서의 결과는 ArcSight 콘솔 뷰어 패널에서 보거나, 저장(보관)하거나, 다양한 형식으로 내보낼 수 있습니다. 보고서는 정기적으로 실행되도록 예약할 수 있으며 필요에 따라 주문형으로 실행할 수 있습니다.

매개변수

파라미터 이름	유형	기본값	필수 항목	설명
전체 경로 보고 (URI)	문자열	해당 사항 없음	예	관련 보고서 URI입니다.
필드 2	문자열	해당 사항 없음	아니요	보고서를 생성하는 쿼리의 동적 필드입니다.
필드 3	문자열	해당 사항 없음	아니요	보고서를 생성하는 쿼리의 동적 필드입니다.
필드 4	문자열	해당 사항 없음	아니요	보고서를 생성하는 쿼리의 동적 필드입니다.
필드 6	문자열	해당 사항 없음	아니요	보고서를 생성하는 쿼리의 동적 필드입니다.
필드 6	문자열	해당 사항 없음	아니요	보고서를 생성하는 쿼리의 동적 필드입니다.
필드 7	문자열	해당 사항 없음	아니요	보고서를 생성하는 쿼리의 동적 필드입니다.
필드 8	문자열	해당 사항 없음	아니요	보고서를 생성하기 위한 쿼리의 동적 필드입니다.
필드 9	문자열	해당 사항 없음	아니요	보고서를 생성하는 쿼리의 동적 필드입니다.
필드 10	문자열	해당 사항 없음	아니요	보고서를 생성하는 쿼리의 동적 필드입니다.

실행

이 작업은 모든 항목에서 실행됩니다.

작업 결과

이 작업은 다음과 같은 결과를 제공할 수 있습니다.

스크립트 결과

스크립트 결과 이름	값 옵션	예
json_report	해당 사항 없음	해당 사항 없음

활성 목록 열에 값이 있는지 여부

특정 값이 활성 목록에 있는지 확인합니다 .

매개변수

파라미터 이름	유형	기본값	필수 항목	설명
활성 목록 UUID	문자열	해당 사항 없음	예	활성 목록 UUID입니다. 예: cuser
열 이름	문자열	해당 사항 없음	예	열의 이름입니다. 예: sourceUserName

실행

이 작업은 모든 항목에서 실행됩니다.

작업 결과

이 작업은 다음과 같은 결과를 제공할 수 있습니다.

스크립트 결과

스크립트 결과 이름	값 옵션	예
Success_Indicator	해당 사항 없음	해당 사항 없음

핑

연결을 테스트합니다.

매개변수

없음

실행

이 작업은 모든 항목에서 실행됩니다.

작업 결과

이 작업은 다음과 같은 결과를 제공할 수 있습니다.

스크립트 결과

스크립트 결과 이름	값 옵션	예
is_succeed	True 또는 False	is_succeed:False

검색

콘솔 이벤트 채널에서 ArcSight Command Center 검색을 시작할 수 있습니다. 이벤트 Complete Search는 여러 필드 (예: abc)에 저장된 연결된 속성을 찾습니다. 이벤트 검색은 지정된 필드 (예: 이름 필드만)에 저장된 값 (예: abc)을 검색합니다.

매개변수

파라미터 이름	유형	기본값	필수 항목	설명
검색어	문자열	해당 사항 없음	예	검색어입니다.
반환할 최대 항목 수	정수	100	아니요	응답에서 반환할 항목 수를 지정합니다.

사용 사례

반환할 결과 수에 제한을 추가합니다.

실행

이 작업은 모든 항목에서 실행됩니다.

작업 결과

이 작업은 다음과 같은 결과를 제공할 수 있습니다.

스크립트 결과

스크립트 결과 이름	값 옵션	예
성공	True 또는 False	success:False

JSON 결과

[
    {
        "score": 1.2440307,
        "uuid": "UUID",
        "uri": "/All_Fields/ArcSight_Foundation/Variables_Library/IPv6/Attacker_IPv6_Address",
        "name": "Attacker IPv6 Address"
    }, {
        "score": 1.2440307,
        "uuid": "UUID",
        "uri": "/All_Fields/ArcSight_Foundation/Variables_Library/IPv6/Attacker_IPv6_Address",
        "name": "Attacker IPv6 Address"
    }
]

커넥터

Google SecOps에서 커넥터를 구성하는 방법을 자세히 알아보려면 데이터 수집 (커넥터)을 참고하세요.

참고: 데이터 손실을 방지하기 위해 커넥터는 이벤트 평면화를 사용합니다. 원시 알림에 엔티티 목록 (예: 여러 이메일 주소, 호스트 이름 또는 IP 주소)이 포함된 경우 커넥터는 이를 별도의 고유한 이벤트로 자동 평면화합니다.

예를 들어 서로 다른 이메일 주소 3개가 포함된 단일 원시 알림은 각각 고유한 이메일 주소 하나를 포함하는 별도의 이벤트 3개로 수집됩니다.

이 프로세스를 통해 모든 항목이 고유한 애셋으로 올바르게 색인화되므로 플레이북에서 완전히 검색 가능하고 실행 가능합니다.

Arcsight ESM 커넥터

이 가이드에서는 ArcSight ESM 버전 6.9.1 이상을 참조합니다.

ESM 규칙 또는 케이스를 Google SecOps로 전달

트리거된 규칙/상관관계 작업

ArcSight ESM을 SIEM 제공업체로 작동하도록 Google SecOps를 구성하고 승인된 사용자를 통해 ArcSight ESM에 API 액세스를 제공하는 동안 최신 상관관계 객체를 Google SecOps로 전달하도록 ArcSight ESM을 구성해야 합니다.

이 기능을 사용하면 Google SecOps가 ArcSight ESM 내에서 트리거된 규칙을 거의 실시간으로 가져와 케이스 알림으로 번역되고 맥락화되도록 전달할 수 있습니다.

Google SecOps와 ArcSight ESM 간 데이터 흐름

Google SecOps는 ArcSight 전달 커넥터 모듈 및 API 액세스를 통해 Google SecOps로 전달되고 ArcSight ESM에서 트리거된 상관관계를 자동으로 색인화하고 맥락화합니다.

커넥터 심각도 우선순위 지정

커넥터는 다음 우선순위 값을 사용하여 심각도를 할당합니다.

• 1과 2 - 매우 낮음
• 3, 4 - 낮음
• 5, 6 - 중간
• 7 및 8 - 높음
• 9와 10 - 심각

커넥터 입력

다음 매개변수를 사용하여 커넥터를 구성합니다.

매개변수 이름	유형	기본값	필수 항목	설명
환경	DDL	해당 사항 없음	예	필요한 환경(예: Customer One)을 선택합니다. 알림의 환경 필드가 비어 있는 경우 이 알림이 이 환경에 삽입됩니다.
실행 빈도	정수	0:0:0:10	아니요	연결을 실행할 시간을 선택합니다.
제품 필드 이름	문자열	device_product	아니요	제품 이름이 저장된 필드의 이름입니다. 기본값은 device_product입니다. 제품 이름은 주로 매핑에 영향을 미칩니다. 커넥터의 매핑 프로세스를 간소화하고 개선하기 위해 기본값 device_product은 코드에서 참조되는 대체 값으로 확인됩니다. 이 매개변수의 잘못된 입력은 기본적으로 대체 값으로 처리됩니다.
이벤트 필드 이름	문자열	name	아니요	이벤트 이름(하위 유형)을 결정하는 데 사용되는 필드 이름입니다.
스크립트 제한 시간 (초)	문자열	500	아니요	현재 스크립트를 실행하는 Python 프로세스의 제한 시간 한도 (초)입니다.
서버 주소	문자열	해당 사항 없음	예	https://{IP}:{PORT}
사용자 이름	문자열	해당 사항 없음	예	ArcSight 계정의 사용자 이름입니다.
비밀번호	비밀번호	해당 사항 없음	예	ArcSight 계정의 비밀번호입니다.
이벤트 수 제한	정수	15	예	상관관계별로 가져올 최대 이벤트 수를 입력합니다. 이벤트 수를 제한합니다(예: 10개).
Cases Folder Path(케이스 폴더 경로)	문자열	I:\SiemShare\CorrelationSource	예	케이스 파일의 위치(예: I:\SiemShare\CorrelationSource) 참고: 케이스 폴더 경로 매개변수는 고객마다 다를 수 있습니다. 전체 경로입니다. 예: C:\Desktop\CorrelationSource
알림 수 제한	정수	10	예	커넥터 주기당 처리할 최대 알림 수입니다(예: 10).
환경 필드 이름	문자열	event.customerURI	예	케이스의 환경을 가져올 필드의 이름입니다(예: event.customerUri).
보조 기기 제품 필드	문자열	해당 사항 없음	아니요	원래 제품 필드 (커넥터의 DeviceProductField)를 보조 제품 필드의 값으로 바꿉니다. 예: CustomDeviceString2
알림 맞춤 필드 이름	문자열	해당 사항 없음	아니요	ArcSight에서 baseEventCount, agent_address, device_assetId와 같은 맞춤 필드 값을 알림으로 가져옵니다.
완료된 파일 보관 기간(일)	정수	3	예	각 DONE csv 파일을 보관할 일수입니다.
오류 파일 보관 기간(일)	정수	14	예	각 오류 csv 파일을 보관할 일수입니다.
프록시 서버 주소	문자열	해당 사항 없음	아니요	사용할 프록시 서버의 주소입니다.
프록시 사용자 이름	문자열	해당 사항 없음	아니요	인증할 프록시 사용자 이름입니다.
프록시 비밀번호	비밀번호	해당 사항 없음	아니요	인증할 프록시 비밀번호입니다.

커넥터 규칙

커넥터가 프록시를 지원합니다.

ArcSight - 보안 관련 활동 커넥터

ArcSight에서 상관관계를 가져옵니다. 이 커넥터는 Google SecOps의 SaaS 배포에 적합하며 프로덕션 용도로 권장됩니다.

참고: 동적 목록은 name 매개변수와 함께 작동합니다.

이 커넥터를 사용하려면 기본 요건 단계를 완료해야 합니다.

커넥터 입력

다음 매개변수를 사용하여 커넥터를 구성합니다.

매개변수 표시 이름	유형	기본값	필수 항목	설명
제품 필드 이름	문자열	유형	예	제품 이름이 저장된 필드의 이름입니다. 기본값은 type입니다. 제품 이름은 주로 매핑에 영향을 미칩니다. 커넥터의 매핑 프로세스를 간소화하고 개선하기 위해 기본값 type은 코드에서 참조되는 대체 값으로 확인됩니다. 이 매개변수의 잘못된 입력은 기본적으로 대체 값으로 처리됩니다.
이벤트 필드 이름	문자열	name	예	이벤트 이름 (하위 유형)을 결정하는 필드의 이름입니다.
환경 필드 이름	문자열	""	아니요	환경 이름이 저장된 필드의 이름입니다. 환경 필드가 누락된 경우 커넥터는 기본값을 사용합니다.
Environment Regex Pattern	문자열	.*	FALSE	아니요	Environment Field Name 필드에 있는 값에서 실행할 정규 표현식 패턴입니다. 이 매개변수를 사용하면 정규 표현식 로직을 사용하여 환경 필드를 조작할 수 있습니다. 기본값 .*를 사용하여 필요한 원시 Environment Field Name 값을 가져옵니다. 정규 표현식 패턴이 null이거나 비어 있거나 환경 값이 null인 경우 최종 환경 결과는 기본 환경입니다.
스크립트 제한 시간(초)	정수	360	예	현재 스크립트를 실행하는 Python 프로세스의 제한 시간 한도(초)입니다.
API 루트	문자열	https://{ip}	예	ArcSight 인스턴스의 API 루트입니다.
사용자 이름	문자열	해당 사항 없음	예	ArcSight 계정의 사용자 이름입니다.
비밀번호	비밀번호	해당 사항 없음	예	ArcSight 계정의 비밀번호입니다.
보고서 이름	문자열	해당 사항 없음	예	이벤트를 가져오는 데 사용될 보고서의 이름입니다.
기본 이벤트 가져오기	체크박스	선택	예	사용 설정된 경우 커넥터는 기본 이벤트도 가져옵니다.
가져올 가장 낮은 우선순위	정수	해당 사항 없음	아니요	이벤트를 가져오는 데 사용할 가장 낮은 우선순위입니다. 가능한 값은 1~10 범위에 있습니다. 아무것도 제공하지 않으면 모든 이벤트가 수집됩니다.
가져올 최대 이벤트 수	정수	100	아니요	커넥터 반복당 처리할 알림 수입니다. 최대 허용 값은 1,000입니다.
동적 목록을 차단 목록으로 사용	체크박스	선택	예	선택하면 커넥터가 동적 목록을 차단 목록으로 사용합니다.
SSL 확인	체크박스	선택 해제	예	선택하면 통합에서 ArcSight 서버에 연결할 때 SSL 인증서를 검증합니다.
프록시 서버 주소	문자열	해당 사항 없음	아니요	사용할 프록시 서버의 주소입니다.
프록시 사용자 이름	문자열	해당 사항 없음	아니요	인증할 프록시 사용자 이름입니다.
프록시 비밀번호	비밀번호		아니요	인증할 프록시 비밀번호입니다.

커넥터 규칙

커넥터가 프록시를 지원합니다.

작업

작업에 대한 자세한 내용은 새 작업 구성 및 고급 예약을 참고하세요.

케이스 종료

작업에는 다음 매개변수가 필요합니다.

매개변수 이름	유형	기본값	필수 항목	설명
서버 주소	문자열	192.0.2.1	예	해당 사항 없음
사용자 이름	문자열	해당 사항 없음	예	해당 사항 없음
비밀번호	비밀번호	해당 사항 없음	예	해당 사항 없음

도움이 더 필요하신가요? 커뮤니티 회원 및 Google SecOps 전문가에게 문의하여 답변을 받으세요.