ArcSight를 Google SecOps와 통합

이 문서에서는 ArcSight를 Google Security Operations와 통합하는 방법을 설명합니다.

참고: 이 통합은 오픈소스 구성요소를 하나 이상 사용합니다. 스토리지 버킷에서 이 통합의 전체 소스 코드 사본을 다운로드할 수 있습니다.

시작하기 전에

Google SecOps에서 ArcSight ESM 통합을 구성하기 전에 환경이 커넥터, 작업, 조치의 연결 및 권한 요구사항을 충족하는지 확인하세요.

통합을 위해 환경을 준비하려면 다음 기본 요건을 완료하세요.

1. 기본 통합 요구사항을 확인하여 네트워크 가시선과 프로그래매틱 인증을 설정합니다.

2. 보안 이벤트 또는 상관관계 케이스를 Google SecOps로 수집하려면 커넥터별 요구사항을 구성합니다.

3. 케이스 관리 및 플레이북 자동화에 대한 세분화된 권한을 부여하려면 작업 및 작업별 요구사항을 구성합니다.

4. 구성 워크플로를 검토하여 ArcSight ESM과 Google SecOps 간의 프로비저닝 시퀀스를 이해합니다.

기본 통합 요구사항

기본 통합은 모든 Google SecOps 작업, 커넥터, 작업에서 사용되는 핵심 HTTPS 연결 및 인증 세션을 설정합니다.

환경에서 다음 기본 요구사항을 구성합니다.

1. 네트워크 가시성: Google SecOps 인스턴스 또는 원격 에이전트에서 관리 포트 (기본값: 8443/TCP)의 ArcSight ESM 서버로의 HTTPS 통신을 사용 설정합니다.

2. REST API 액세스: ArcSight ESM REST 웹 서비스 API 가이드에 설명된 대로 https://<esm-host>:8443/www/manager-service/rest/ 및 https://<esm-host>:8443/www/core-service/rest/에 있는 ArcSight ESM REST 서비스에 대한 직접 액세스를 확인합니다.

3. SSL/TLS 트러스트: ArcSight ESM 배포에서 비공개 또는 자체 서명 인증 기관을 사용하는 경우 Base64로 인코딩된 PEM 루트 및 중간 CA 인증서 파일을 제공합니다.

4. 서비스 계정 속성: 사용자 유형이 Web User (대화형 콘솔 시트 라이선스 사용을 방지하기 위해 권장됨) 또는 Normal User인 전용 ArcSight 서비스 계정을 만들고 Login Enabled가 활성으로 설정되어 있는지 확인합니다.

   사용자 관리 절차는 ArcSight ESM 관리자 가이드의 '사용자 관리' 섹션을 참조하세요.

5. 기본 그룹 멤버십: 서비스 사용자를 전용 사용자 그룹(예: SecOps_Integration_Group)에 할당하여 모든 다운스트림 작업 권한, 리소스 ACL, 이벤트 필터를 중앙에서 관리합니다.

   그룹 구성 절차는 ArcSight ESM 관리자 가이드의 '사용자 그룹 관리' 섹션을 참조하세요.

커넥터별 요구사항

수집 커넥터는 알림 및 보안 관련 활동을 Google SecOps로 가져오며, 기본 통합 외에 특수한 데이터 범위 지정 및 운영 권한이 필요합니다.

선택한 수집 커넥터에 해당하는 기본 요건을 구성합니다.

1. 이벤트 필터 할당: 이벤트 필터 (예: All Events 또는 범위가 지정된 조직 필터)를 통합 사용자 그룹에 할당하여 커넥터가 검색할 수 있는 보안 관련 활동의 데이터 범위를 정의합니다.

   그룹 수준 이벤트 필터 구성에 대한 안내는 ArcSight ESM 관리자 가이드를 참조하세요.

2. ArcSight - 보안 이벤트 커넥터: Security Events: Inspect, Reports: Inspect, Reports: Execute 작업 권한을 부여하고 상관관계 이벤트를 내보내는 ArcSight의 특정 보고서 리소스에 Read 및 Execute ACL 권한을 할당합니다.

   리소스 ACL 절차는 ArcSight ESM 콘솔 사용자 가이드의 '리소스에 대한 액세스 제어 관리' 섹션을 참조하세요.

3. ArcSight ESM 커넥터: Security Events: Inspect 및 Cases: Inspect 작업 권한을 부여하고 ArcSight ESM 콘솔 사용자 가이드에 따라 대상 케이스 폴더 및 상관관계 리소스에 대한 Read ACL 권한을 할당합니다.

작업 및 액션별 요구사항

예약된 작업과 플레이북 작업은 기본 통합 연결을 상속하며, 상호작용하는 특정 ArcSight 리소스에 따라 세분화된 작업 권한과 객체 수준 ACL 권한이 필요합니다.

배포하는 통합 기능에 따라 권한 및 ACL을 부여합니다.

1. 작업 사용 설정: 플레이북 작업에는 Google SecOps에서 별도의 연결 구성이 필요하지 않습니다. ArcSight의 서비스 계정 그룹에 필요한 작업 권한과 리소스 ACL을 부여하면 플레이북 사용이 즉시 사용 설정됩니다.

2. 케이스 닫기 작업: Cases: Inspect 및 Cases: Edit 작업 권한을 부여하고 ArcSight ESM 콘솔 사용자 가이드에 설명된 대로 대상 케이스 폴더에 Read 및 Modify ACL 권한을 할당합니다.

3. 활성 목록 작업: Active Lists: Inspect 및 Active Lists: Edit Content (또는 Active Lists: Edit) 작업 권한을 부여하고 플레이북 작업 매개변수의 타겟팅 대상인 특정 활성 목록에 Read 및 Write ACL 권한을 할당합니다.

4. 케이스 관리 작업: Cases: Inspect 및 Cases: Edit 작업 권한을 부여하고 대상 케이스 폴더에 Read 및 Modify ACL 권한을 할당합니다.

5. 쿼리 및 검색 작업: Query Viewers: Inspect 및 Query Viewers: Execute 작업 권한을 부여하고 대상 쿼리 뷰어에 Read 및 Execute ACL 권한을 할당합니다.

6. 보고서 작업: Reports: Inspect 및 Reports: Execute 작업 권한을 부여하고 대상 보고서에 Read 및 Execute ACL 권한을 할당합니다.

구성요소 권한 매핑

다음 표에는 각 통합 구성요소 유형에 필요한 최소 작업 권한과 리소스 ACL이 요약되어 있습니다.

다음 표를 검토하여 권한 요구사항을 확인하세요.

1. 기본 세션: 기본 통합에는 유효한 로그인 사용자 인증 정보와 기본 인증 사용자 권한만 필요합니다.

2. 수집 커넥터: 커넥터에는 이벤트 필터링 권한, 이벤트 검사 권한, 보고서 또는 케이스에 대한 읽기 액세스 권한이 필요합니다.

3. 작업 및 작업: 플레이북 작업 및 동기화 작업에는 ArcSight ESM 콘솔 사용자 가이드를 사용하여 구성된 액세스된 특정 리소스에 대한 기능적 태스크 권한 및 ACL 권한이 필요합니다.

구성요소 유형	구성요소 이름	API 서비스	필수 작업 권한	필수 리소스 ACL
기본 통합	기본 연결 및 인증	LoginService	기본 인증된 사용자 권한	없음
커넥터	ArcSight - 보안 관련 활동 커넥터	SecurityEventService, ReportService	Security Events: Inspect, Reports: Inspect, Reports: Execute	대상 보고서 리소스에 대한 Read 및 Execute 권한
커넥터	ArcSight ESM 커넥터	SecurityEventService, CaseService	Security Events: Inspect, Cases: Inspect	대상 케이스 폴더 및 상관관계 객체에 대한 Read 권한
작업	케이스 종료 작업	CaseService	Cases: Inspect, Cases: Edit	대상 케이스 폴더에 대한 Read 및 Modify 권한
작업	활성 목록 작업 (항목 추가, 항목 추가, 항목 가져오기, 값 확인)	ActiveListService	Active Lists: Inspect, Active Lists: Edit Content(또는 Active Lists: Edit)	대상 활성 목록에 대한 Read 및 Write
작업	케이스 단계 변경 작업	CaseService	Cases: Inspect, Cases: Edit	대상 케이스 폴더에 대한 Read 및 Modify 권한
작업	쿼리 및 검색 작업 (쿼리 결과 가져오기, 검색)	QueryViewerService, SearchService	Query Viewers: Inspect, Query Viewers: Execute	타겟팅된 쿼리 뷰어에 대한 Read 및 Execute
작업	보고서 작업 가져오기	ReportService	Reports: Inspect, Reports: Execute	대상 보고서에 대한 Read 및 Execute
작업	리소스 나열 작업	ActiveListService, CaseService, QueryViewerService, ReportService	사용 설정된 각 리소스 유형에 대한 Inspect 권한	대상 리소스 폴더에 대한 Read 권한

구성 워크플로

이 다단계 워크플로에 따라 ArcSight ESM에서 권한을 프로비저닝하고 Google SecOps에서 선택한 구성요소를 활성화합니다.

다음 순서로 구성 단계를 완료합니다.

1. ArcSight 서비스 계정 및 그룹 프로비저닝: ArcSight ESM에서 전용 서비스 사용자를 만들고, 전용 사용자 그룹을 만들고, 서비스 사용자를 그룹에 할당하고, 이벤트 필터를 적용하여 ArcSight ESM 관리자 가이드에 설명된 대로 데이터 공개 상태를 정의합니다.

2. 선택한 구성요소에 대한 권한 및 ACL 할당: 계획된 커넥터, 작업, 작업을 구성요소 권한 매핑 테이블과 교차 참조하고, 해당 작업 권한을 사용자 그룹에 부여하고, ArcSight ESM 콘솔 사용자 가이드의 특정 대상 리소스 폴더에 객체 수준 ACL (예: 활성 목록의 Read/Write 또는 보고서의 Read/Execute)을 할당합니다.

3. Google SecOps에서 구성: 다음 섹션에 설명된 대로 Google SecOps에서 기본 통합, 수집 커넥터, 예약된 작업, 플레이북 작업을 구성합니다.

통합 매개변수

다음 매개변수를 사용하여 통합을 구성합니다.

매개변수 이름	유형	기본값	필수 항목	설명
인스턴스 이름	문자열	해당 사항 없음	아니요	통합을 구성할 인스턴스의 이름입니다.
설명	문자열	해당 사항 없음	아니요	인스턴스에 대한 설명입니다.
API 루트	문자열	https://{IP}:{PORT}	예	ArcSight 인스턴스의 서버 주소입니다.
사용자 이름	문자열	해당 사항 없음	예	ArcSight 계정의 사용자 이름입니다.
비밀번호	비밀번호	해당 사항 없음	예	ArcSight 계정의 비밀번호입니다.
원격 실행	체크박스	선택 해제	No	구성된 통합을 원격으로 실행하려면 필드를 선택합니다. 선택하면 원격 사용자(에이전트)를 선택하는 옵션이 나타납니다.

Google SecOps에서 통합을 구성하는 방법에 대한 안내는 통합 구성을 참조하세요.

필요한 경우 이후 단계에서 변경할 수 있습니다. 통합 인스턴스를 구성한 후 플레이북에서 사용할 수 있습니다. 여러 인스턴스를 구성하고 지원하는 방법에 관한 자세한 내용은 다중 인스턴스 지원을 참고하세요.

작업

작업에 대한 자세한 내용은 Workdesk의 대기 중인 작업에 응답 및 케이스에서 수동 작업 실행을 참고하세요.

활성 목록에 항목 추가

보고서 외에 트렌드에서 정보를 가져오는 메커니즘을 제공합니다. 트렌드로 업데이트된 활성 목록은 여러 트렌드의 정보 요약 보기를 지원합니다.

매개변수

파라미터 이름	유형	기본값	필수 항목	설명
열	문자열	해당 사항 없음	예	예: Message;Username
항목	문자열	해당 사항 없음	예	예: test1|Me1;Test|Me2
활성 목록 UUID	문자열	해당 사항 없음	예	예: HCN75QGABABCZXCOdT9P51w==

실행

이 작업은 모든 항목에서 실행됩니다.

작업 결과

이 작업은 다음과 같은 결과를 제공할 수 있습니다.

스크립트 결과

스크립트 결과 이름	값 옵션	예
is_succeed	True 또는 False	is_succeed:False

케이스 단계 변경

케이스 단계를 변경합니다. 유효한 단계는 INITIAL, QUEUED, CLOSED, FINAL, FOLLOW_UP입니다.

매개변수

파라미터 이름	유형	기본값	필수 항목	설명
케이스 이름	문자열	해당 사항 없음	예	업데이트할 케이스의 이름입니다.
단계	문자열	해당 사항 없음	예	케이스의 단계입니다. 예: CLOSED, INITIAL

실행

이 작업은 모든 항목에서 실행됩니다.

작업 결과

이 작업은 다음과 같은 결과를 제공할 수 있습니다.

스크립트 결과

스크립트 결과 이름	값 옵션	예
성공	True 또는 False	success:False

활성 목록 항목 가져오기

ArcSight 활성 목록 항목을 검색하고 csv 출력을 반환합니다.

매개변수

파라미터 이름	유형	기본값	필수 항목	설명
활성 목록 UUID	문자열	해당 사항 없음	예	예: HTcILQWABABCr553ieI0Xmw==

실행

이 작업은 모든 항목에서 실행됩니다.

작업 결과

이 작업은 다음과 같은 결과를 제공할 수 있습니다.

스크립트 결과

스크립트 결과 이름	값 옵션	예
Success_Indicator	해당 사항 없음	해당 사항 없음

JSON 결과

[
"12346e4d96f0a72c42015d69aaf0e8ab ,
 file.txt",
 "0e0776034e5e096704cd28cbd40cdbb5 ,
 Test.config"
]

쿼리 결과 가져오기

쿼리 ID별로 쿼리 결과를 가져옵니다. 쿼리는 보고서의 기본 데이터 소스로 사용되거나, 초기 쿼리 결과를 추가로 미세 조정하는 다른 쿼리의 데이터 소스로 사용될 수 있는 추세 (하나의 쿼리를 기반으로 함)로 사용될 수 있습니다.

매개변수

파라미터 이름	유형	기본값	필수 항목	설명
쿼리 ID	문자열	해당 사항 없음	예	쿼리 ID입니다.
반환할 최대 항목 수	정수	100	아니요	응답에서 반환할 항목 수를 지정합니다.

사용 사례

반환할 결과 수에 대한 제한을 추가합니다.

실행

이 작업은 모든 항목에서 실행됩니다.

작업 결과

이 작업은 다음과 같은 결과를 제공할 수 있습니다.

스크립트 결과

스크립트 결과 이름	값 옵션	예
성공	True 또는 False	success:False

JSON 결과

[
    {
        "Target User Name": "user",
        "Attacker Address": "192.0.2.1",
        "External ID": "127",
        "Name": "A Kerberos authentication ticket (TGT) was requested.",
        "Target Address": "192.0.2.1"
    },{
        "Target User Name": "user",
        "Attacker Address": "192.0.2.1",
        "External ID": "127",
        "Name": "A Kerberos authentication ticket (TGT) was requested.",
        "Target Address": "192.0.2.1"
    }
]

보고서 받기

동적 필드가 있는 보고서를 가져옵니다. 보고서는 쿼리 또는 추세의 데이터를 기존 보고서 템플릿에 바인딩하는 ArcSight 리소스입니다. 실행되면 보고서 결과를 ArcSight 콘솔 뷰어 패널에서 보거나, 저장(보관)하거나, 다양한 형식으로 내보낼 수 있습니다. 보고서는 정기적으로 실행되도록 예약할 수 있으며 필요에 따라 주문형으로 실행할 수 있습니다.

매개변수

파라미터 이름	유형	기본값	필수 항목	설명
전체 경로 (URI) 보고	문자열	해당 사항 없음	예	관련 보고서 URI입니다.
필드 2	문자열	해당 사항 없음	아니요	보고서를 생성하는 쿼리의 동적 필드입니다.
필드 3	문자열	해당 사항 없음	아니요	보고서를 생성하는 쿼리의 동적 필드입니다.
필드 4	문자열	해당 사항 없음	아니요	보고서를 생성하는 쿼리의 동적 필드입니다.
필드 6	문자열	해당 사항 없음	아니요	보고서를 생성하는 쿼리의 동적 필드입니다.
필드 6	문자열	해당 사항 없음	아니요	보고서를 생성하는 쿼리의 동적 필드입니다.
필드 7	문자열	해당 사항 없음	아니요	보고서를 생성하는 쿼리의 동적 필드입니다.
필드 8	문자열	해당 사항 없음	아니요	보고서를 생성하는 쿼리의 동적 필드입니다.
필드 9	문자열	해당 사항 없음	아니요	보고서를 생성하는 쿼리의 동적 필드입니다.
필드 10	문자열	해당 사항 없음	아니요	보고서를 생성하는 쿼리의 동적 필드입니다.

실행

이 작업은 모든 항목에서 실행됩니다.

작업 결과

이 작업은 다음과 같은 결과를 제공할 수 있습니다.

스크립트 결과

스크립트 결과 이름	값 옵션	예
json_report	해당 사항 없음	해당 사항 없음

활성 목록 열에 값이 있음

특정 값이 활성 목록에 있는지 확인합니다 .

매개변수

파라미터 이름	유형	기본값	필수 항목	설명
활성 목록 UUID	문자열	해당 사항 없음	예	활성 목록 UUID입니다. 예: cuser
열 이름	문자열	해당 사항 없음	예	열의 이름입니다. 예: sourceUserName

실행

이 작업은 모든 항목에서 실행됩니다.

작업 결과

이 작업은 다음과 같은 결과를 제공할 수 있습니다.

스크립트 결과

스크립트 결과 이름	값 옵션	예
Success_Indicator	해당 사항 없음	해당 사항 없음

핑

연결을 테스트합니다.

매개변수

없음

실행

이 작업은 모든 항목에서 실행됩니다.

작업 결과

이 작업은 다음과 같은 결과를 제공할 수 있습니다.

스크립트 결과

스크립트 결과 이름	값 옵션	예
is_succeed	True 또는 False	is_succeed:False

검색

콘솔 이벤트 채널에서 ArcSight Command Center에서 검색을 시작할 수 있습니다. 이벤트 전체 검색은 여러 필드 (예: abc)에 저장된 연결된 속성을 찾습니다. 이벤트 검색은 지정된 필드 (예: 이름 필드만)에 저장된 값 (예: abc)을 검색합니다.

매개변수

파라미터 이름	유형	기본값	필수 항목	설명
검색어	문자열	해당 사항 없음	예	검색어입니다.
반환할 최대 항목 수	정수	100	아니요	응답에서 반환할 항목 수를 지정합니다.

사용 사례

반환할 결과 수에 대한 제한을 추가합니다.

실행

이 작업은 모든 항목에서 실행됩니다.

작업 결과

이 작업은 다음과 같은 결과를 제공할 수 있습니다.

스크립트 결과

스크립트 결과 이름	값 옵션	예
성공	True 또는 False	success:False

JSON 결과

[
    {
        "score": 1.2440307,
        "uuid": "UUID",
        "uri": "/All_Fields/ArcSight_Foundation/Variables_Library/IPv6/Attacker_IPv6_Address",
        "name": "Attacker IPv6 Address"
    }, {
        "score": 1.2440307,
        "uuid": "UUID",
        "uri": "/All_Fields/ArcSight_Foundation/Variables_Library/IPv6/Attacker_IPv6_Address",
        "name": "Attacker IPv6 Address"
    }
]

커넥터

Google SecOps에서 커넥터를 구성하는 방법에 대한 자세한 내용은 데이터 수집 (커넥터)을 참조하세요.

참고: 데이터 손실을 방지하기 위해 커넥터는 이벤트 평면화를 활용합니다. 원시 알림에 항목 목록 (예: 여러 이메일 주소, 호스트 이름 또는 IP 주소)이 포함된 경우 커넥터는 이를 별도의 고유한 이벤트로 자동으로 평면화합니다.

예를 들어 서로 다른 이메일 주소 3개가 포함된 단일 원시 알림은 각각 고유한 이메일 주소 1개가 포함된 3개의 개별 이벤트로 수집됩니다.

이 프로세스를 통해 모든 항목이 고유한 애셋으로 올바르게 색인 생성되어 플레이북에서 완전히 검색하고 실행할 수 있습니다.

Arcsight ESM 커넥터

이 가이드는 ArcSight ESM 버전 6.9.1 이상을 참조합니다.

Google SecOps로 ESM 규칙 또는 케이스 전달

트리거된 규칙/상관관계 작업

Google SecOps를 ArcSight ESM에서 SIEM 제공업체로 작동하도록 구성하는 동안 최신 상관관계 객체를 Google SecOps에 전달하도록 ArcSight ESM을 구성하고 승인된 사용자를 통해 ArcSight ESM에 API 액세스 권한을 제공해야 합니다.

이 기능을 사용하면 Google SecOps가 ArcSight ESM 내에서 트리거된 규칙을 거의 실시간으로 검색하고 이를 전달하여 케이스에 대한 알림으로 변환하고 맥락화할 수 있습니다.

Google SecOps와 ArcSight ESM 간의 데이터 흐름

Google SecOps는 ArcSight Forwarding Connector 모듈 및 API 액세스를 통해 Google SecOps로 전달되고 ArcSight ESM에서 트리거된 상관관계를 자동으로 색인 생성하고 맥락화합니다.

커넥터 심각도 우선순위 지정

커넥터는 다음 우선순위 값으로 심각도를 할당합니다.

• 1 및 2 - 매우 낮음
• 3 및 4 - 낮음
• 5 및 6 - 중간
• 7 및 8 - 높음
• 9 및 10 - 중요

커넥터 입력

다음 매개변수를 사용하여 커넥터를 구성합니다.

매개변수 이름	유형	기본값	필수 항목	설명
환경	DDL	해당 사항 없음	예	필요한 환경(예: 고객 1)을 선택합니다. 알림의 환경 필드가 비어 있는 경우 이 알림이 이 환경에 삽입됩니다.
실행 빈도	정수	0:0:0:10	아니요	연결을 실행할 시간을 선택합니다.
제품 필드 이름	문자열	device_product	아니요	제품 이름이 저장된 필드의 이름입니다. 기본값은 device_product입니다. 제품 이름은 주로 매핑에 영향을 미칩니다. 커넥터의 매핑 프로세스를 간소화하고 개선하기 위해 기본값 device_product은 코드에서 참조되는 대체 값으로 확인됩니다. 이 매개변수에 잘못된 입력이 있으면 기본적으로 대체 값으로 확인됩니다.
이벤트 필드 이름	문자열	name	아니요	이벤트 이름(하위 유형)을 결정하는 데 사용되는 필드 이름입니다.
스크립트 제한 시간 (초)	문자열	500	아니요	현재 스크립트를 실행하는 Python 프로세스의 제한 시간 한도 (초)입니다.
서버 주소	문자열	해당 사항 없음	예	https://{IP}:{PORT}
사용자 이름	문자열	해당 사항 없음	예	ArcSight 계정의 사용자 이름입니다.
비밀번호	비밀번호	해당 사항 없음	예	ArcSight 계정의 비밀번호입니다.
이벤트 수 한도	정수	15	예	상관관계당 가져올 최대 이벤트 수를 입력합니다. 이벤트 수를 제한합니다(예: 10개).
Cases 폴더 경로	문자열	I:\SiemShare\CorrelationSource	예	케이스 파일의 위치(예: I:\SiemShare\CorrelationSource) 참고: Cases 폴더 경로 매개변수는 고객마다 다를 수 있습니다. 전체 경로입니다. 예: C:\Desktop\CorrelationSource
알림 수 한도	정수	10	예	커넥터 주기당 처리할 최대 알림 수입니다(예: 10).
환경 필드 이름	문자열	event.customerURI	예	케이스의 환경을 가져올 필드의 이름입니다(예: event.customerUri).
보조 기기 제품 필드	문자열	해당 사항 없음	아니요	원래 제품 필드를 커넥터의 DeviceProductField에서 보조 제품 필드의 값으로 바꿉니다. 예: CustomDeviceString2
알림 커스텀 필드 이름	문자열	해당 사항 없음	아니요	ArcSight에서 baseEventCount,agent_address,device_assetId와 같은 커스텀 필드 값을 알림으로 가져옵니다.
완료 파일 보관 기간(일)	정수	3	예	각 DONE csv 파일을 보관할 일수입니다.
오류 파일 보관 기간(일)	정수	14	예	각 ERROR csv 파일을 보관할 일수입니다.
프록시 서버 주소	문자열	해당 사항 없음	아니요	사용할 프록시 서버의 주소입니다.
프록시 사용자 이름	문자열	해당 사항 없음	아니요	인증할 프록시 사용자 이름입니다.
프록시 비밀번호	비밀번호	해당 사항 없음	아니요	인증할 프록시 비밀번호입니다.

커넥터 규칙

커넥터가 프록시를 지원합니다.

ArcSight - 보안 관련 활동 커넥터

ArcSight에서 상관관계를 가져옵니다. 이 커넥터는 Google SecOps의 SaaS 배포에 적합하며 프로덕션 용도로 권장됩니다.

참고: 동적 목록은 name 매개변수와 함께 작동합니다.

이 커넥터를 사용하려면 기본 요건 단계를 완료해야 합니다.

커넥터 입력

다음 매개변수를 사용하여 커넥터를 구성합니다.

매개변수 표시 이름	유형	기본값	필수 항목	설명
제품 필드 이름	문자열	유형	예	제품 이름이 저장된 필드의 이름입니다. 기본값은 type입니다. 제품 이름은 주로 매핑에 영향을 미칩니다. 커넥터의 매핑 프로세스를 간소화하고 개선하기 위해 기본값 type은 코드에서 참조되는 대체 값으로 확인됩니다. 이 매개변수에 잘못된 입력이 있으면 기본적으로 대체 값으로 확인됩니다.
이벤트 필드 이름	문자열	name	예	이벤트 이름 (하위 유형)을 결정하는 필드의 이름입니다.
환경 필드 이름	문자열	""	아니요	환경 이름이 저장된 필드의 이름입니다. 환경 필드가 누락된 경우 커넥터는 기본값을 사용합니다.
Environment Regex Pattern	문자열	.*	FALSE	아니요	Environment Field Name 필드에 있는 값에서 실행할 정규 표현식 패턴입니다. 이 매개변수를 사용하면 정규 표현식 로직을 사용하여 환경 필드를 조작할 수 있습니다. 기본값 .*를 사용하여 필요한 원시 Environment Field Name 값을 가져옵니다. 정규 표현식 패턴이 null이거나 비어 있거나 환경 값이 null인 경우 최종 환경 결과는 기본 환경입니다.
스크립트 제한 시간(초)	정수	360	예	현재 스크립트를 실행하는 Python 프로세스의 제한 시간 한도(초)입니다.
API 루트	문자열	https://{ip}	예	ArcSight 인스턴스의 API 루트입니다.
사용자 이름	문자열	해당 사항 없음	예	ArcSight 계정의 사용자 이름입니다.
비밀번호	비밀번호	해당 사항 없음	예	ArcSight 계정의 비밀번호입니다.
보고서 이름	문자열	해당 사항 없음	예	이벤트를 가져오는 데 사용할 보고서의 이름입니다.
기본 이벤트 가져오기	체크박스	선택	예	사용 설정하면 커넥터가 기본 이벤트도 가져옵니다.
가져올 가장 낮은 우선순위	정수	해당 사항 없음	아니요	이벤트를 가져오는 데 사용할 가장 낮은 우선순위입니다. 가능한 값은 1~10입니다. 아무것도 제공하지 않으면 모든 이벤트가 수집됩니다.
가져올 최대 이벤트 수	정수	100	아니요	커넥터 반복당 처리할 알림 수입니다. 허용되는 최댓값은 1,000입니다.
동적 목록을 차단 목록으로 사용	체크박스	선택	예	선택하면 커넥터가 동적 목록을 차단 목록으로 사용합니다.
SSL 확인	체크박스	선택 해제	예	선택하면 통합에서 ArcSight 서버에 연결할 때 SSL 인증서를 검증합니다.
프록시 서버 주소	문자열	해당 사항 없음	아니요	사용할 프록시 서버의 주소입니다.
프록시 사용자 이름	문자열	해당 사항 없음	아니요	인증할 프록시 사용자 이름입니다.
프록시 비밀번호	비밀번호		아니요	인증할 프록시 비밀번호입니다.

커넥터 규칙

커넥터가 프록시를 지원합니다.

작업

작업에 대한 자세한 내용은 새 작업 구성 및 고급 예약을 참조하세요.

케이스 종료

작업에는 다음 매개변수가 필요합니다.

매개변수 이름	유형	기본값	필수 항목	설명
서버 주소	문자열	192.0.2.1	예	해당 사항 없음
사용자 이름	문자열	해당 사항 없음	예	해당 사항 없음
비밀번호	비밀번호	해당 사항 없음	예	해당 사항 없음

도움이 더 필요하신가요? 커뮤니티 회원 및 Google SecOps 전문가에게 문의하여 답변을 받으세요.