Integre o ArcSight com o Google SecOps

Este documento descreve como integrar o ArcSight com o Google Security Operations (Google SecOps).

Versão da integração: 42.0

Pré-requisitos do conetor de eventos de segurança

Este conetor funciona com os relatórios que estão a ser gerados automaticamente no ArcSight. O conetor transfere o relatório gerado, extrai os IDs de eventos e, em seguida, usa a API ArcSight para obter mais detalhes sobre os eventos.

Configure o conetor de eventos de segurança

  1. Inicie sessão na consola do ArcSight.

  2. Navegue para o separador Relatórios e aceda à secção Consulta.

  3. Para criar uma nova consulta, introduza o seguinte nome da consulta: Google SecOps SOAR Security Events Connector Query.

    Preste atenção aos parâmetros Hora de início e Hora de fim. Recomendamos que consulte os dados num intervalo de uma hora, mas pode aumentar o intervalo, se necessário.

    Exemplo de configuração:

    • Nome: consulta do conector de eventos de segurança do SOAR do Google SecOps
    • Consulta em: evento
    • Hora de início: $Now - 1h
    • Hora de fim: $Now
    • Usar como indicação de tempo: hora de fim
    • Limite de linhas: 5000

  4. Defina campos para a consulta. Em termos de campos, tem de ter o seguinte:

    • ID do evento
    • Nome
    • Hora de início
    • Hora de fim
    • Prioridade

    Certifique-se de que tem Hora de fim ASC na coluna Ordenar por.

  5. Defina as Condições. É aqui que pode fornecer o seu próprio filtro.

  6. Guardar consulta.

  7. Aceda à secção Relatórios e crie um novo relatório. Para especificar o relatório, introduza o seguinte nome: Google SecOps SOAR Security Events Connector Report. Use o mesmo nome para o parâmetro Nome do relatório da configuração do conetor.

  8. No separador Dados, selecione a consulta que foi criada nos passos anteriores como Origem de dados.

  9. No separador Parâmetros, altere o Formato do relatório para csv de modo a cumprir os requisitos do conetor.

  10. Guardar relatório.

  11. Indique o nome do relatório na configuração do conetor do parâmetro Nome do relatório.

  12. Faça um teste para se certificar de que o conetor funciona conforme esperado.

Configure a pasta partilhada do Google SecOps para o ArcSight

Servidor do Google SecOps

  1. Encontre os elementos UID e GID no ficheiro /etc/passwd:

    cat /etc/passwd | grep scripting

    O exemplo de saída do comando é o seguinte:

    scripting:x:1001:1001:/home/scripting:/bin/bash

    O UID é o terceiro campo e o GID é o quarto na saída do comando.

  2. Crie o script:

    1. Crie um ficheiro e atribua-lhe o nome configure_smp_nfs.sh.

    2. Copie o seguinte conteúdo para esse ficheiro.

      #!/bin/bash

#Declare the variables:
uid=SCRIPTING_USER_UID
gid=SCRIPTING_USER_GID
arcsight_ip=ARCSIGHT_IP

#Install nfs-utils
yum install nfs-utils -y
#Create the directory that will be shared
mkdir /opt/Correlations
#Change the permissions
chmod -R 755 /opt/Correlations/
chown -R scripting:scripting /opt/Correlations/
#Start the services and enable them to be started at boot time
systemctl enable rpcbind
systemctl enable nfs-server
systemctl enable nfs-lock
systemctl enable nfs-idmap
systemctl start rpcbind
systemctl start nfs-server
systemctl start nfs-lock
systemctl start nfs-idmap

#Edit the exports file as follows
echo "/opt/Correlations/ $arcsight_ip(rw,sync,all_squash,anonuid=$uid,anongid=$gid)">>/etc/exports
#Restart the NFS service and export the path
systemctl restart nfs-server
exportfs -a
#If FirewallD is running add the next rules:
firewall-cmd --permanent --zone=public --add-service=nfs
firewall-cmd --permanent --zone=public --add-service=mountd
firewall-cmd --permanent --zone=public --add-service=rpc-bind
firewall-cmd --reload
setsebool -P nfs_export_all_rw 1

    3. Declare as variáveis uid, gid e arcisght_ip de acordo com o seu ambiente.

    4. Conceda as autorizações:

      chmod +x configure_smp_nfs.sh

    5. Execute o script:

      ./configure_smp_nfs.sh

Servidor ArcSight

  1. Crie o script:

    1. Crie um ficheiro e atribua-lhe o nome configure_smp_nfs.sh.

    2. Copie o seguinte conteúdo para esse ficheiro.

      #!/bin/bash
#Declare the variables:
siemplify_ip=SIEMPLIFY_IP

#Install nfs-utils
yum install nfs-utils -y
#Start the services and enable them to be started at boot time
systemctl enable rpcbind
systemctl enable nfs-server
systemctl enable nfs-lock
systemctl enable nfs-idmap
systemctl start rpcbind
systemctl start nfs-server
systemctl start nfs-lock
systemctl start nfs-idmap
#If FirewallD is running add the next rules:
firewall-cmd --permanent --zone=public --add-service=nfs
firewall-cmd --permanent --zone=public --add-service=mountd
firewall-cmd --permanent --zone=public --add-service=rpc-bind
firewall-cmd --reload
#Create the NFS directory mount point
mkdir -p /mnt/nfs/var/SiemShare
#Add the values:
echo "$siemplify_ip:/opt/Correlations /mnt/nfs/var/SiemShare nfs defaults 0 0">>/etc/fstab
mount -a

    3. Declare a variável siemplify_ip de acordo com o seu ambiente.

Nota para os clientes que usam o caminho antigo

O instalador da correção rápida substitui a autorização da pasta /opt/siemplify/Correlations por siemplifyadmin.

Se estiver a usar o caminho antigo e a aplicar a atualização, tem de alterar novamente a autorização para o utilizador de scripts com os seguintes passos:

  1. Antes de iniciar a atualização, pare o serviço do servidor NFS:

    _systemctl stop nfs-server_

  2. Após a conclusão da atualização, altere as autorizações da pasta:

    _chmod -R 755 /opt/siemplify/Correlations/_

    _chown -R scripting:scripting/opt/siemplify/Correlations/_

    _systemctl start nfs-server_

    _exportfs -a_

  3. Para confirmar que o servidor NFS está a funcionar corretamente após as alterações, verifique o respetivo estado:

    _systemctl status nfs-server_

Crie e configure um utilizador para acesso à API

  1. Inicie sessão na consola do ArcSight.

  2. Crie um Google_SecOps_API grupo de utilizadores e adicione um Google_SecOps_API utilizador ao mesmo. Este utilizador vai ser usado pelo Google SecOps através da API ArcSight ESM.

    1. Aceda ao separador Atributos e defina o atributo Tipo de utilizador como Normal User.

    2. No separador Recursos, clique com o botão direito do rato no grupo de utilizadores criado.

    3. No menu, escolha Editar controlo de acesso.

    4. Na janela Inspeção/Edição do editor de LCA:

      1. No separador Eventos, adicione o filtro criado anteriormente, Google_SecOps_Correlations_Filter. Também pode adicionar qualquer filtro de origem para conceder acesso ao Google SecOps.

      2. Usar as predefinições para outros separadores.

      3. Clique em Adicionar, selecione ArcSight System > Core e selecione a caixa de verificação Todos os eventos.

        É importante verificar se a caixa de verificação Todos os eventos está selecionada. O requisito mínimo é incluir todos os eventos de correlação que vão ser carregados para o Google SecOps.

As operações de segurança da Google usam os seguintes métodos principais quando usam a API ArcSight ESM:

  • Serviço principal: Login, GetSession

  • Serviço de gestor: GetSecurityEvents

Acesso à rede com o ArcSight ESM

Para aceder do Google SecOps ao ArcSight ESM, permita o tráfego através das portas 443 (HTTPS) e 8443 (API através de SSL) ou conforme configurado no seu ambiente.

Para aceder do ArcSight ESM ao Google SecOps, permita o tráfego através das portas 445 e 139 (SMB/SAMBA/CIFS) ou conforme configurado no seu ambiente.

Função Portas Direção Protocolo
NFS 111, 1039, 1047, 1048 e 2049 Saída e entrada UDP
NFS 111, 1039, 1047, 1048 e 2049 De saída e de entrada TCP

Parâmetros de integração

Para obter instruções detalhadas sobre como configurar uma integração no Google SecOps, consulte o artigo Configure integrações.

Use os seguintes parâmetros para configurar a integração:

Nome do parâmetro Tipo Valor predefinido É obrigatório Descrição
Nome da instância String N/A Não Nome da instância para a qual pretende configurar a integração.
Descrição String N/A Não Descrição da instância.
Raiz da API String https://{IP}:{PORT} Sim Endereço do servidor da instância do ArcSight.
Nome de utilizador String N/A Sim Nome de utilizador da conta do ArcSight.
Palavra-passe Palavra-passe N/A Sim Palavra-passe da conta do ArcSight.
Executar remotamente Caixa de verificação Desmarcado Não Selecione o campo para executar a integração configurada remotamente. Depois de selecionada, a opção aparece para selecionar o utilizador remoto (agente).

Ações

Adicione entradas à lista ativa

Descrição

Oferece um mecanismo para obter informações de tendências fora dos relatórios e, além disso. As listas ativas atualizadas por tendências suportam vistas de resumo de informações de várias tendências.

Parâmetros

Nome do parâmetro Tipo Valor predefinido É obrigatório Descrição
Colunas String N/A Sim Exemplo: Mensagem;Nome de utilizador
Entradas String N/A Sim Exemplo: test1|Me1;Test|Me2
UUID da lista ativa String N/A Sim Exemplo: HCN75QGABABCZXCOdT9P51w==

É apresentado em

Esta ação é executada em todas as entidades.

Resultados da ação

Resultado do script
Nome do resultado do script Opções de valores Exemplo
is_succeed Verdadeiro ou falso is_succeed:False

Altere a fase do registo

Descrição

Altere a fase de um registo. As fases válidas são INITIAL, QUEUED, CLOSED, FINAL e FOLLOW_UP.

Parâmetros

Nome do parâmetro Tipo Valor predefinido É obrigatório Descrição
Nome do registo String N/A Sim O nome do registo a atualizar.
Fase String N/A Sim A fase do registo. Exemplo: CLOSED, INITIAL

É apresentado em

Esta ação é executada em todas as entidades.

Resultados da ação

Resultado do script
Nome do resultado do script Opções de valores Exemplo
êxito Verdadeiro ou falso success:False

Get Activelist Entries

Descrição

Apresente entradas da lista ativa do ArcSight e devolva a saída CSV.

Parâmetros

Nome do parâmetro Tipo Valor predefinido É obrigatório Descrição
UUID da lista ativa String N/A Sim Exemplo: HTcILQWABABCr553ieI0Xmw==

É apresentado em

Esta ação é executada em todas as entidades.

Resultados da ação

Resultado do script
Nome do resultado do script Opções de valores Exemplo
Success_Indicator N/A N/A
Resultado JSON
[
"12346e4d96f0a72c42015d69aaf0e8ab ,
 file.txt",
 "0e0776034e5e096704cd28cbd40cdbb5 ,
 Test.config"
]

Obtenha resultados da consulta

Descrição

Obtenha resultados de consultas através do ID da consulta. Uma consulta pode ser usada como a origem de dados principal para um relatório ou uma tendência (com base numa consulta) que pode ser usada como a origem de dados para outra consulta que refina ainda mais o resultado da consulta inicial.

Parâmetros

Nome do parâmetro Tipo Valor predefinido É obrigatório Descrição
ID da consulta String N/A Sim O ID da consulta.
Máximo de artigos a devolver Número inteiro 100 Não Especifique quantos itens devem ser devolvidos na resposta.

Exemplos de utilização

Adicione uma limitação para o número de resultados a devolver.

É apresentado em

Esta ação é executada em todas as entidades.

Resultados da ação

Resultado do script
Nome do resultado do script Opções de valores Exemplo
êxito Verdadeiro ou falso success:False
Resultado JSON
[
    {
        "Target User Name": "user",
        "Attacker Address": "192.0.2.1",
        "External ID": "127",
        "Name": "A Kerberos authentication ticket (TGT) was requested.",
        "Target Address": "192.0.2.1"
    },{
        "Target User Name": "user",
        "Attacker Address": "192.0.2.1",
        "External ID": "127",
        "Name": "A Kerberos authentication ticket (TGT) was requested.",
        "Target Address": "192.0.2.1"
    }
]

Obter relatório

Descrição

Receba um relatório com campos dinâmicos. Um relatório é um recurso do ArcSight que associa dados de uma consulta ou tendência a um modelo de relatório existente. Depois de executados, os resultados de um relatório podem ser vistos no painel do visualizador das consolas do ArcSight, guardados (arquivados) ou exportados em vários formatos. Os relatórios podem ser programados para serem executados a intervalos regulares e podem ser executados a pedido, conforme necessário.

Parâmetros

Nome do parâmetro Tipo Valor predefinido É obrigatório Descrição
Caminho completo do relatório (URI) String N/A Sim O URI do relatório relevante.
Campo 2 String N/A Não Os campos dinâmicos para a consulta gerar o relatório.
Campo 3 String N/A Não Os campos dinâmicos para a consulta gerar o relatório.
Campo 4 String N/A Não Os campos dinâmicos para a consulta gerar o relatório.
Campo 6 String N/A Não Os campos dinâmicos para a consulta gerar o relatório.
Campo 6 String N/A Não Os campos dinâmicos para a consulta gerar o relatório.
Campo 7 String N/A Não Os campos dinâmicos para a consulta gerar o relatório.
Campo 8 String N/A Não Os campos dinâmicos para a consulta gerar o relatório.
Campo 9 String N/A Não Os campos dinâmicos para a consulta gerar o relatório.
Campo 10 String N/A Não Os campos dinâmicos para a consulta gerar o relatório.

É apresentado em

Esta ação é executada em todas as entidades.

Resultados da ação

Resultado do script
Nome do resultado do script Opções de valores Exemplo
json_report N/A N/A

Is Value in Activelist Column

Descrição

Verifique se um valor específico está na lista ativa .

Parâmetros

Nome do parâmetro Tipo Valor predefinido É obrigatório Descrição
UUID da lista ativa String N/A Sim UUID da lista ativa. Exemplo: cuser.
Nome da coluna String N/A Sim O nome da coluna. Exemplo: sourceUserName.

É apresentado em

Esta ação é executada em todas as entidades.

Resultados da ação

Resultado do script
Nome do resultado do script Opções de valores Exemplo
Success_Indicator N/A N/A

Tchim-tchim

Descrição

Testar conetividade.

Parâmetros

É apresentado em

Esta ação é executada em todas as entidades.

Resultados da ação

Resultado do script
Nome do resultado do script Opções de valores Exemplo
is_succeed Verdadeiro ou falso is_succeed:False

Descrição

Pode iniciar uma pesquisa no centro de comandos do ArcSight a partir do canal de eventos da consola. A pesquisa Event Complete procura o atributo associado, que é armazenado em vários campos (por exemplo, abc). A pesquisa de eventos procura um valor (por exemplo, abc) armazenado no campo especificado (por exemplo, no campo de nome apenas).

Parâmetros

Nome do parâmetro Tipo Valor predefinido É obrigatório Descrição
Consulta de pesquisa String N/A Sim A consulta de pesquisa.
Máximo de artigos a devolver Número inteiro 100 Não Especifique quantos itens devem ser devolvidos na resposta.

Exemplos de utilização

Adicione uma limitação para o número de resultados a devolver.

É apresentado em

Esta ação é executada em todas as entidades.

Resultados da ação

Resultado do script
Nome do resultado do script Opções de valores Exemplo
êxito Verdadeiro ou falso success:False
Resultado JSON
[
    {
        "score": 1.2440307,
        "uuid": "UUID",
        "uri": "/All_Fields/ArcSight_Foundation/Variables_Library/IPv6/Attacker_IPv6_Address",
        "name": "Attacker IPv6 Address"
    }, {
        "score": 1.2440307,
        "uuid": "UUID",
        "uri": "/All_Fields/ArcSight_Foundation/Variables_Library/IPv6/Attacker_IPv6_Address",
        "name": "Attacker IPv6 Address"
    }
]

Conetores

Para ver instruções detalhadas sobre como configurar um conetor no Google SecOps, consulte o artigo Configurar o conetor.

Conetor do Arcsight ESM

Este guia refere-se às versões 6.9.1 e superiores do ArcSight ESM.

Regra de ESM ou encaminhamento de registos para o Google SecOps

Trabalhar com regras/correlações acionadas

Tem de configurar o ArcSight ESM para encaminhar os objetos de correlação mais recentes para o Google SecOps enquanto configura o Google SecOps para funcionar no ArcSight ESM como um fornecedor de SIEM e também para fornecer acesso à API ao ArcSight ESM através de um utilizador autorizado.

Esta funcionalidade permite ao Google SecOps obter todas as regras acionadas no ArcSight ESM quase em tempo real e encaminhá-las para serem traduzidas e contextualizadas como alertas para registos.

Fluxo de dados entre o Google SecOps e o ArcSight ESM

O Google SecOps indexa e contextualiza automaticamente as correlações que foram encaminhadas para o Google SecOps e acionadas no ArcSight ESM através do módulo ArcSight Forwarding Connector e do acesso à API.

Priorização da gravidade do conetor

O conector atribui a gravidade com os seguintes valores de priorização:

  • 1 e 2 – muito baixa
  • 3 e 4 – baixo
  • 5 e 6 – médio
  • 7 e 8 – elevado
  • 9 e 10: importantes

Entradas do conetor

Use os seguintes parâmetros para configurar o conector:

Nome do parâmetro Tipo Valor predefinido É obrigatório Descrição
Ambiente LDD N/A Sim

Selecione o ambiente necessário, por exemplo, Cliente um.

Caso o campo Ambiente do alerta esteja vazio, este alerta é injetado neste ambiente.
Executar a cada Número inteiro 0:0:0:10 Não Selecione a hora para executar a associação.
Nome do campo do produto String device_product Não

O nome do campo onde o nome do produto está armazenado.

O valor predefinido é device_product.

O nome do produto afeta principalmente o mapeamento. Para simplificar e melhorar o processo de mapeamento do conetor, o valor predefinido device_product é resolvido para um valor alternativo referenciado a partir do código. Qualquer entrada inválida para este parâmetro é resolvida para um valor alternativo por predefinição.
Nome do campo de evento String nome Não O nome do campo usado para determinar o nome do evento (subtipo).
Limite de tempo do script (segundos) String 500 Não O limite de tempo limite (em segundos) para o processo Python que executa o script atual.
Endereço do servidor String N/A Sim https://{IP}:{PORT}
Nome de utilizador String N/A Sim Nome de utilizador da conta do ArcSight.
Palavra-passe Palavra-passe N/A Sim A palavra-passe da conta do ArcSight.
Limite de contagem de eventos Número inteiro 15 Sim Introduza o número máximo de eventos a obter por correlação. Limite o número de eventos, por exemplo, a 10.
Caminho da pasta de registos String I:\SiemShare\CorrelationSource Sim

A localização dos ficheiros do registo, como I:\SiemShare\CorrelationSource

Nota: o parâmetro Cases Folder Path pode ser alterado de um cliente para outro.

Caminho completo. Exemplo: C:\Desktop\CorrelationSource
Limite da quantidade de alertas Número inteiro 10 Sim O número máximo de alertas a processar por ciclo do conector, por exemplo, 10.
Nome do campo do ambiente String event.customerURI Sim O nome do campo para obter o ambiente do registo, por exemplo, event.customerUri.
Campo do produto do dispositivo secundário String N/A Não Substitua o campo do produto original (do DeviceProductField do conector pelo valor do campo do produto secundário). Exemplo: CustomDeviceString2
Nomes dos campos personalizados de alertas String N/A Não Extraia valores de campos personalizados do ArcSight para o alerta, como baseEventCount, agent_address e device_assetId.
Dias de retenção de ficheiros concluídos Número inteiro 3 Sim Quantos dias quer manter cada ficheiro CSV DONE.
Error files retention days Número inteiro 14 Sim Quantos dias quer manter cada ficheiro CSV de ERRO.
Endereço do servidor proxy String N/A Não O endereço do servidor proxy a usar.
Nome de utilizador do proxy String N/A Não O nome de utilizador do proxy para autenticação.
Palavra-passe do proxy Palavra-passe N/A Não A palavra-passe do proxy para autenticação.

Regras de conector

O conetor suporta proxies.

ArcSight - Security Events Connector

Extraia correlações do ArcSight. Este conetor é adequado para a implementação de SaaS do Google SecOps e é o recomendado para utilização em produção.

Este conetor requer a conclusão dos passos prévios.

Entradas do conetor

Use os seguintes parâmetros para configurar o conector:

Nome a apresentar do parâmetro Tipo Valor predefinido É obrigatório Descrição
Nome do campo do produto String escrever Sim

O nome do campo onde o nome do produto está armazenado.

O valor predefinido é type.

O nome do produto afeta principalmente o mapeamento. Para simplificar e melhorar o processo de mapeamento do conector, o valor predefinido type resolve-se num valor alternativo referenciado a partir do código. Qualquer entrada inválida para este parâmetro é resolvida para um valor alternativo por predefinição.
Nome do campo de evento String nome Sim

O nome do campo que determina o nome do evento (subtipo).
Nome do campo do ambiente String "" Não

O nome do campo onde o nome do ambiente está armazenado.

Se o campo de ambiente estiver em falta, o conector usa o valor predefinido.
Environment Regex Pattern String .* FALSE Não

Um padrão de expressão regular a executar no valor encontrado no campo Environment Field Name. Este parâmetro permite-lhe manipular o campo de ambiente através da lógica de expressão regular.

Use o valor predefinido .* para obter o valor bruto Environment Field Name necessário.

Se o padrão de expressão regular for nulo ou estiver vazio, ou o valor do ambiente for nulo, o resultado do ambiente final é o ambiente predefinido.
Limite de tempo do script (segundos) Número inteiro 360 Sim

O limite de tempo limite, em segundos, para o processo Python que executa o script atual.
Raiz da API String https://{ip} Sim A raiz da API da instância do ArcSight.
Nome de utilizador String N/A Sim Nome de utilizador da conta do ArcSight.
Palavra-passe Palavra-passe N/A Sim Palavra-passe da conta do ArcSight.
Nome do relatório String N/A Sim Nome do relatório que vai ser usado para obter eventos.
Obtenha eventos base Caixa de verificação Marcado Sim Se estiver ativado, o conetor também obtém eventos base.
Prioridade mais baixa para obter Número inteiro N/A Não A prioridade mais baixa que vai ser usada para obter eventos. Os valores possíveis estão no intervalo de 1 a 10. Se não for fornecido nada, todos os eventos são carregados.
Máximo de eventos a obter Número inteiro 100 Não O número de alertas a processar por iteração do conetor. O máximo permitido é 1000.
Use uma lista dinâmica como lista de bloqueio Caixa de verificação Marcado Sim

Se estiver selecionada, o conetor usa a lista dinâmica como uma lista de bloqueios.
Validar SSL Caixa de verificação Desmarcado Sim Se estiver selecionada, a integração valida o certificado SSL quando se liga ao servidor ArcSight.
Endereço do servidor proxy String N/A Não O endereço do servidor proxy a usar.
Nome de utilizador do proxy String N/A Não O nome de utilizador do proxy para autenticação.
Palavra-passe do proxy Palavra-passe Não A palavra-passe do proxy para autenticação.

Regras de conector

O conetor suporta proxies.

Empregos

Feche registos

A tarefa requer os seguintes parâmetros:

Nome do parâmetro Tipo Valor predefinido É obrigatório Descrição
Endereço do servidor String 192.0.2.1 Sim N/A
Nome de utilizador String N/A Sim N/A
Palavra-passe Palavra-passe N/A Sim N/A

Precisa de mais ajuda? Receba respostas de membros da comunidade e profissionais da Google SecOps.