Integrar o ArcSight ao Google SecOps

Este documento descreve como integrar o ArcSight ao Google Security Operations.

Antes de começar

Antes de configurar a integração do ArcSight ESM no Google SecOps, verifique se o ambiente atende aos requisitos de conexão e permissão para seus conectores, jobs e ações.

Para preparar seu ambiente para a integração, conclua os seguintes pré-requisitos:

  1. Verifique os requisitos básicos de integração para estabelecer a linha de visada da rede e a autenticação programática.

  2. Para ingerir eventos de segurança ou casos de correlação no Google SecOps, configure os requisitos específicos do conector.

  3. Para conceder privilégios granulares ao gerenciamento de casos e à automação de playbooks, configure requisitos específicos de jobs e ações.

  4. Revise o fluxo de trabalho de configuração para entender a sequência de provisionamento no ArcSight ESM e no Google SecOps.

Requisitos básicos de integração

A integração básica estabelece a conexão HTTPS principal e a sessão de autenticação usadas em todas as ações, conectores e jobs do Google SecOps.

Configure os seguintes requisitos básicos no seu ambiente:

  1. Visibilidade da rede: ative a comunicação HTTPS da sua instância do Google SecOps ou do agente remoto com o servidor ArcSight ESM na porta de gerenciamento (padrão: 8443/TCP).

  2. Acesso à API REST: verifique o acesso direto aos serviços REST do ArcSight ESM localizados em https://<esm-host>:8443/www/manager-service/rest/ e https://<esm-host>:8443/www/core-service/rest/, conforme descrito no Guia da API de serviços da Web REST do ArcSight ESM.

  3. Confiança SSL/TLS: forneça um arquivo de certificado PEM raiz e de CA intermediária codificado em Base64 se a implantação do ArcSight ESM usar uma autoridade de certificação particular ou autoassinada.

  4. Propriedades da conta de serviço: crie uma conta de serviço dedicada do ArcSight com o tipo de usuário Web User (recomendado para evitar o consumo de uma licença de assento interativa do console) ou Normal User e verifique se Login Enabled está definido como ativo.

    Para procedimentos de administração de usuários, consulte a seção "Gerenciar usuários" do Guia do administrador do ArcSight ESM.

  5. Associação ao grupo de base: atribua o usuário do serviço a um grupo de usuários dedicado (por exemplo, SecOps_Integration_Group) para gerenciar todos os privilégios de operações downstream, ACLs de recursos e filtros de eventos de maneira centralizada.

    Para procedimentos de configuração de grupo, consulte a seção "Gerenciar grupos de usuários" do Guia do administrador do ArcSight ESM.

Requisitos específicos do conector

Os conectores de ingestão extraem alertas e eventos de segurança para o Google SecOps e exigem permissões operacionais e de escopo de dados especializadas além da integração básica.

Configure os pré-requisitos correspondentes ao conector de ingestão escolhido:

  1. Atribuição de filtro de evento: atribua um filtro de evento (como All Events ou um filtro organizacional com escopo) ao grupo de usuários da integração para definir o escopo de dados dos eventos de segurança que os conectores podem recuperar.

    Para instruções sobre como configurar filtros de eventos no nível do grupo, consulte o Guia do administrador do ArcSight ESM.

  2. ArcSight - Security Events Connector: conceda privilégios de operações Security Events: Inspect, Reports: Inspect e Reports: Execute e atribua permissões de ACL Read e Execute ao recurso de relatório específico no ArcSight que exporta eventos de correlação.

    Para procedimentos de ACL de recursos, consulte a seção "Gerenciamento do controle de acesso em recursos" do Guia do usuário do console do ArcSight ESM.

  3. Conector do ArcSight ESM: conceda privilégios de operações Security Events: Inspect e Cases: Inspect e atribua permissões de ACL Read nas pastas de casos e recursos de correlação de destino de acordo com o Guia do usuário do console do ArcSight ESM.

Requisitos específicos de trabalho e ação

Os jobs programados e as ações do playbook herdam a conexão de integração básica e exigem privilégios de operações detalhadas e permissões de ACL no nível do objeto, dependendo dos recursos específicos do ArcSight com que interagem.

Conceda privilégios e ACLs com base nos recursos de integração que você está implantando:

  1. Ativação de ações: as ações do playbook não exigem uma configuração de conexão separada no Google SecOps. Conceder os privilégios de operações e ACLs de recursos necessários ao grupo de conta de serviço no ArcSight os habilita imediatamente para uso em playbooks.

  2. Job "Close Cases": conceda privilégios de operações Cases: Inspect e Cases: Edit e atribua permissões de ACL Read e Modify nas pastas do caso de destino, conforme descrito no Guia do usuário do console do ArcSight ESM.

  3. Ações de lista ativa: conceda privilégios de operações Active Lists: Inspect e Active Lists: Edit Content (ou Active Lists: Edit) e atribua permissões de ACL Read e Write nas listas ativas específicas segmentadas pelos parâmetros de ação do playbook.

  4. Ações de gerenciamento de casos: conceda privilégios de operações Cases: Inspect e Cases: Edit e atribua permissões de ACL Read e Modify nas pastas de casos de destino.

  5. Ações de consulta e pesquisa: conceda privilégios de operações Query Viewers: Inspect e Query Viewers: Execute e atribua permissões de ACL Read e Execute aos leitores de consultas de destino.

  6. Ações de relatório: conceda privilégios de operações Reports: Inspect e Reports: Execute e atribua permissões de ACL Read e Execute aos relatórios de destino.

Mapeamento de permissões de componentes

A tabela a seguir descreve os privilégios de operações e ACLs de recursos mínimos necessários para cada tipo de componente de integração.

Consulte a tabela a seguir para entender os requisitos de permissão:

  1. Sessão básica: a integração básica exige apenas credenciais de login válidas e direitos de usuário autenticado padrão.

  2. Conectores de ingestão: exigem direitos de filtragem de eventos, privilégios de inspeção de eventos e acesso de leitura a relatórios ou casos.

  3. Jobs e ações: as ações do playbook e os jobs de sincronização exigem privilégios de tarefa funcional e permissões de ACL nos recursos específicos acessados, configurados usando o Guia do usuário do console do ArcSight ESM.

Tipo de componente Nome do componente Serviço de API Privilégios de operações obrigatórios ACLs de recursos obrigatórias
Integração básica Conexão e autenticação básicas LoginService Privilégios padrão do usuário autenticado Nenhum
Conector ArcSight: conector de eventos de segurança SecurityEventService, ReportService Security Events: Inspect, Reports: Inspect, Reports: Execute Read e Execute no recurso de relatório de destino
Conector Conector do ArcSight ESM SecurityEventService, CaseService Security Events: Inspect, Cases: Inspect Read em pastas de casos de destino e objetos de correlação
Job Job de encerramento de casos CaseService Cases: Inspect, Cases: Edit Read e Modify nas pastas de casos de destino
Ação Ações de lista ativa (adicionar entidades, adicionar entradas, receber entradas, verificar valor) ActiveListService Active Lists: Inspect, Active Lists: Edit Content (ou Active Lists: Edit) Read e Write em listas ativas de destino
Ação Ação de mudança na etapa do caso CaseService Cases: Inspect, Cases: Edit Read e Modify nas pastas de casos de destino
Ação Ações de consulta e pesquisa (receber resultados da consulta, pesquisar) QueryViewerService, SearchService Query Viewers: Inspect, Query Viewers: Execute Read e Execute em espectadores de consultas de segmentação
Ação Acessar ação de relatório ReportService Reports: Inspect, Reports: Execute Read e Execute em relatórios de destino
Ação Ação "Listar recursos" ActiveListService, CaseService, QueryViewerService, ReportService Privilégio Inspect para cada tipo de recurso ativado Read nas pastas de recursos de destino

Fluxo de trabalho de configuração

Siga este fluxo de trabalho multifásico para provisionar permissões no ArcSight ESM e ativar os componentes selecionados no Google SecOps.

Conclua as etapas de configuração na seguinte sequência:

  1. Provisionamento de grupo e conta de serviço do ArcSight: crie o usuário de serviço dedicado no ArcSight ESM, um grupo de usuários dedicado, atribua o usuário de serviço ao grupo e aplique um filtro de eventos para definir a visibilidade dos dados, conforme detalhado no Guia do administrador do ArcSight ESM.

  2. Atribua privilégios e ACLs aos componentes escolhidos: faça uma referência cruzada dos conectores, jobs e ações planejados com a tabela de mapeamento de permissões de componentes, conceda os privilégios de operações correspondentes ao grupo de usuários e atribua ACLs no nível do objeto (como Read/Write em listas ativas ou Read/Execute em relatórios) nas pastas de recursos de destino específicas no Guia do usuário do console do ArcSight ESM.

  3. Configurar no Google SecOps: configure a integração básica, os conectores de ingestão, os jobs programados e as ações de playbook no Google SecOps, conforme descrito nas seções a seguir.

Parâmetros de integração

Use os seguintes parâmetros para configurar a integração:

Nome do parâmetro Tipo Valor padrão É obrigatório Descrição
Nome da instância String N/A Não Nome da instância em que você quer configurar a integração.
Descrição String N/A Não Descrição da instância.
Raiz da API String https://{IP}:{PORT} Sim Endereço do servidor da instância do ArcSight.
Nome de usuário String N/A Sim Nome de usuário da conta do ArcSight.
Senha Senha N/A Sim Senha da conta do ArcSight.
Executar remotamente Caixa de seleção Desmarcado Não Marque a caixa para executar a integração configurada remotamente. Depois de marcada, a opção aparece para selecionar o usuário remoto (agente).

Para instruções sobre como configurar uma integração no Google SecOps, consulte Configurar integrações.

Você pode fazer mudanças mais tarde, se necessário. Depois de configurar uma instância de integração, você pode usá-la em playbooks. Para mais informações sobre como configurar e oferecer suporte a várias instâncias, consulte Suporte a várias instâncias.

Ações

Para mais informações sobre ações, consulte Responder a ações pendentes da sua mesa de trabalho e Realizar uma ação manual.

Adicionar entradas à lista ativa

Fornece um mecanismo para receber informações de tendências fora e além dos relatórios. As listas ativas atualizadas por tendências oferecem visualizações de resumo das informações de várias tendências.

Parâmetros

Nome do parâmetro Tipo Valor padrão É obrigatório Descrição
Colunas String N/A Sim Exemplo: Message;Username
Entradas String N/A Sim Exemplo: test1|Me1;Test|Me2
UUID da lista ativa String N/A Sim Exemplo: HCN75QGABABCZXCOdT9P51w==

Data de execução

Essa ação é executada em todas as entidades.

Resultados da ação

Essa ação pode fornecer os seguintes resultados.

Resultado do script
Nome do resultado do script Opções de valor Exemplo
is_succeed True ou false is_succeed:False

Alterar etapa do caso

Mudar a etapa de um caso. As etapas válidas são INITIAL, QUEUED, CLOSED, FINAL e FOLLOW_UP.

Parâmetros

Nome do parâmetro Tipo Valor padrão É obrigatório Descrição
Nome do caso String N/A Sim O nome do caso a ser atualizado.
Fase String N/A Sim A etapa do caso. Exemplo: CLOSED, INITIAL

Data de execução

Essa ação é executada em todas as entidades.

Resultados da ação

Essa ação pode fornecer os seguintes resultados.

Resultado do script
Nome do resultado do script Opções de valor Exemplo
sucesso True ou false success:False

Receber entradas da lista ativa

Recupere entradas de lista ativa do ArcSight e retorne a saída CSV.

Parâmetros

Nome do parâmetro Tipo Valor padrão É obrigatório Descrição
UUID da lista ativa String N/A Sim Exemplo: HTcILQWABABCr553ieI0Xmw==

Data de execução

Essa ação é executada em todas as entidades.

Resultados da ação

Essa ação pode fornecer os seguintes resultados.

Resultado do script
Nome do resultado do script Opções de valor Exemplo
Success_Indicator N/A N/A
Resultado JSON
[
"12346e4d96f0a72c42015d69aaf0e8ab ,
 file.txt",
 "0e0776034e5e096704cd28cbd40cdbb5 ,
 Test.config"
]

Receber resultados da consulta

Recebe os resultados da consulta pelo ID dela. Uma consulta pode ser usada como a fonte de dados principal de um relatório ou como uma tendência (baseada em uma consulta) que pode ser usada como fonte de dados para outra consulta que refina ainda mais o resultado inicial.

Parâmetros

Nome do parâmetro Tipo Valor padrão É obrigatório Descrição
ID da consulta String N/A Sim O ID da consulta.
Número máximo de itens a serem retornados Inteiro 100 Não Especifique quantos itens serão retornados na resposta.

Casos de uso

Adicione uma limitação de quantos resultados retornar.

Data de execução

Essa ação é executada em todas as entidades.

Resultados da ação

Essa ação pode fornecer os seguintes resultados.

Resultado do script
Nome do resultado do script Opções de valor Exemplo
sucesso True ou false success:False
Resultado JSON
[
    {
        "Target User Name": "user",
        "Attacker Address": "192.0.2.1",
        "External ID": "127",
        "Name": "A Kerberos authentication ticket (TGT) was requested.",
        "Target Address": "192.0.2.1"
    },{
        "Target User Name": "user",
        "Attacker Address": "192.0.2.1",
        "External ID": "127",
        "Name": "A Kerberos authentication ticket (TGT) was requested.",
        "Target Address": "192.0.2.1"
    }
]

Acessar relatório

Receba um relatório com campos dinâmicos. Um relatório é um recurso do ArcSight que vincula dados de uma consulta ou tendência a um modelo de relatório. Depois de executados, os resultados de um relatório podem ser visualizados no painel do visualizador de consoles do ArcSight, salvos (arquivados) ou exportados em vários formatos. Os relatórios podem ser programados para serem executados em intervalos regulares e sob demanda, conforme necessário.

Parâmetros

Nome do parâmetro Tipo Valor padrão É obrigatório Descrição
Caminho completo do relatório (URI) String N/A Sim O URI do relatório relevante.
Campo 2 String N/A Não Os campos dinâmicos da consulta para gerar o relatório.
Campo 3 String N/A Não Os campos dinâmicos da consulta para gerar o relatório.
Campo 4 String N/A Não Os campos dinâmicos da consulta para gerar o relatório.
Campo 6 String N/A Não Os campos dinâmicos da consulta para gerar o relatório.
Campo 6 String N/A Não Os campos dinâmicos da consulta para gerar o relatório.
Campo 7 String N/A Não Os campos dinâmicos da consulta para gerar o relatório.
Campo 8 String N/A Não Os campos dinâmicos da consulta para gerar o relatório.
Campo 9 String N/A Não Os campos dinâmicos da consulta para gerar o relatório.
Campo 10 String N/A Não Os campos dinâmicos da consulta para gerar o relatório.

Data de execução

Essa ação é executada em todas as entidades.

Resultados da ação

Essa ação pode fornecer os seguintes resultados.

Resultado do script
Nome do resultado do script Opções de valor Exemplo
json_report N/A N/A

Is Value in Activelist Column

Verifica se um valor específico está em uma lista ativa .

Parâmetros

Nome do parâmetro Tipo Valor padrão É obrigatório Descrição
UUID da lista ativa String N/A Sim UUID da lista ativa. Exemplo: cuser.
Nome da coluna String N/A Sim O nome da coluna. Exemplo: sourceUserName.

Data de execução

Essa ação é executada em todas as entidades.

Resultados da ação

Essa ação pode fornecer os seguintes resultados.

Resultado do script
Nome do resultado do script Opções de valor Exemplo
Success_Indicator N/A N/A

Ping

Teste a conectividade.

Parâmetros

Nenhuma.

Data de execução

Essa ação é executada em todas as entidades.

Resultados da ação

Essa ação pode fornecer os seguintes resultados.

Resultado do script
Nome do resultado do script Opções de valor Exemplo
is_succeed True ou false is_succeed:False

Você pode iniciar uma pesquisa no ArcSight Command Center no canal de eventos do console. A pesquisa de conclusão de evento procura o atributo associado, que é armazenado em vários campos (por exemplo, abc). A pesquisa de eventos procura um valor (por exemplo, abc) armazenado no campo especificado (por exemplo, no campo de nome apenas).

Parâmetros

Nome do parâmetro Tipo Valor padrão É obrigatório Descrição
Consulta de pesquisa String N/A Sim A consulta de pesquisa.
Número máximo de itens a serem retornados Inteiro 100 Não Especifique quantos itens serão retornados na resposta.

Casos de uso

Adicione uma limitação de quantos resultados retornar.

Data de execução

Essa ação é executada em todas as entidades.

Resultados da ação

Essa ação pode fornecer os seguintes resultados.

Resultado do script
Nome do resultado do script Opções de valor Exemplo
sucesso True ou false success:False
Resultado JSON
[
    {
        "score": 1.2440307,
        "uuid": "UUID",
        "uri": "/All_Fields/ArcSight_Foundation/Variables_Library/IPv6/Attacker_IPv6_Address",
        "name": "Attacker IPv6 Address"
    }, {
        "score": 1.2440307,
        "uuid": "UUID",
        "uri": "/All_Fields/ArcSight_Foundation/Variables_Library/IPv6/Attacker_IPv6_Address",
        "name": "Attacker IPv6 Address"
    }
]

Conectores

Para saber mais sobre como configurar conectores no Google SecOps, consulte Ingerir seus dados (conectores).

Conector do ArcSight ESM

Este guia se refere às versões 6.9.1 e mais recentes do ArcSight ESM.

Encaminhamento de regra ou caso do ESM para o Google SecOps

Como trabalhar com regras/correlações acionadas

Você precisará configurar o ArcSight ESM para encaminhar os objetos de correlação mais recentes ao Google SecOps enquanto configura o Google SecOps para funcionar no ArcSight ESM como um provedor de SIEM e também para fornecer acesso à API ao ArcSight ESM por um usuário autorizado.

Com esse recurso, o Google SecOps pode recuperar regras acionadas no ArcSight ESM quase em tempo real e encaminhá-las para serem traduzidas e contextualizadas como alertas para casos.

Fluxo de dados entre o Google SecOps e o ArcSight ESM

O Google SecOps indexa e contextualiza automaticamente as correlações que foram encaminhadas para o Google SecOps e acionadas no ArcSight ESM pelo módulo ArcSight Forwarding Connector e acesso à API.

Priorização da gravidade do conector

O conector atribui a gravidade com os seguintes valores de priorização:

  • 1 e 2: muito baixa
  • 3 e 4: baixo
  • 5 e 6: médio
  • 7 e 8: alto
  • 9 e 10: crítica

Entradas do conector

Use os seguintes parâmetros para configurar o conector:

Nome do parâmetro Tipo Valor padrão É obrigatório Descrição
Ambiente DDL N/A Sim

Selecione o ambiente necessário, por exemplo, Customer One.

Caso o campo "Ambiente" do alerta esteja vazio, ele será injetado nesse ambiente.
Executar a cada Inteiro 0:0:0:10 Não Selecione o horário para executar a conexão.
Nome do campo do produto String device_product Não

O nome do campo em que o nome do produto é armazenado.

O valor padrão é device_product.

O nome do produto afeta principalmente o mapeamento. Para simplificar e melhorar o processo de mapeamento do conector, o valor padrão device_product é resolvido como um valor de substituição referenciado no código. Qualquer entrada inválida para esse parâmetro será resolvida com um valor substituto por padrão.
Nome do campo de evento String nome Não O nome do campo usado para determinar o nome do evento (subtipo).
Tempo limite do script (segundos) String 500 Não O limite de tempo (em segundos) para o processo Python que executa o script atual.
Endereço do servidor String N/A Sim https://{IP}:{PORT}
Nome de usuário String N/A Sim Nome de usuário da conta do ArcSight.
Senha Senha N/A Sim A senha da conta do ArcSight.
Limite de contagem de eventos Inteiro 15 Sim Insira o número máximo de eventos a serem buscados por correlação. Limite o número de eventos, por exemplo, 10.
Caminho da pasta de casos String I:\SiemShare\CorrelationSource Sim

O local dos arquivos de caso, como I:\SiemShare\CorrelationSource

Observação:o parâmetro de caminho da pasta de casos pode ser alterado de um cliente para outro.

Caminho completo. Exemplo: C:\Desktop\CorrelationSource
Limite de contagem de alertas Inteiro 10 Sim O número máximo de alertas a serem processados por ciclo de conector, por exemplo, 10.
Nome do campo de ambiente String event.customerURI Sim O nome do campo para receber o ambiente do caso, por exemplo, event.customerUri.
Campo de produto do dispositivo secundário String N/A Não Substitua o campo do produto original (do DeviceProductField do conector com o valor do campo do produto secundário). Exemplo: CustomDeviceString2
Nomes dos campos personalizados de alerta String N/A Não Extraia valores de campos personalizados do ArcSight para o alerta, como baseEventCount,agent_address,device_assetId.
Dias de retenção de arquivos concluídos Inteiro 3 Sim Quantos dias manter cada arquivo CSV DONE.
Dias de retenção de arquivos de erro Inteiro 14 Sim Quantos dias manter cada arquivo CSV de erro.
Endereço do servidor proxy String N/A Não O endereço do servidor proxy a ser usado.
Nome de usuário do proxy String N/A Não O nome de usuário do proxy para autenticação.
Senha do proxy Senha N/A Não A senha do proxy para autenticação.

Regras do conector

O conector é compatível com proxies.

ArcSight: conector de eventos de segurança

Extrair correlações do ArcSight. Esse conector é adequado para implantação de SaaS do Google SecOps e é o recomendado para uso em produção.

Esse conector exige a conclusão das etapas de pré-requisito.

Entradas do conector

Use os seguintes parâmetros para configurar o conector:

Nome de exibição do parâmetro Tipo Valor padrão É obrigatório Descrição
Nome do campo do produto String tipo Sim

O nome do campo em que o nome do produto é armazenado.

O valor padrão é type.

O nome do produto afeta principalmente o mapeamento. Para simplificar e melhorar o processo de mapeamento do conector, o valor padrão type é resolvido como um valor de substituição referenciado no código. Qualquer entrada inválida para esse parâmetro será resolvida com um valor de substituição por padrão.
Nome do campo de evento String nome Sim

O nome do campo que determina o nome do evento (subtipo).
Nome do campo de ambiente String "" Não

O nome do campo em que o nome do ambiente é armazenado.

Se o campo "environment" estiver ausente, o conector vai usar o valor padrão.
Environment Regex Pattern String .* FALSO Não

Um padrão de expressão regular a ser executado no valor encontrado no campo Environment Field Name. Com esse parâmetro, é possível manipular o campo "environment" usando a lógica de expressão regular.

Use o valor padrão .* para extrair o valor Environment Field Name bruto necessário.

Se o padrão de expressão regular for nulo ou vazio, ou se o valor do ambiente for nulo, o resultado final será o ambiente padrão.
Tempo limite do script (segundos) Inteiro 360 Sim

O limite de tempo limite, em segundos, para o processo do Python que executa o script atual.
Raiz da API String https://{ip} Sim A raiz da API da instância do ArcSight.
Nome de usuário String N/A Sim Nome de usuário da conta do ArcSight.
Senha Senha N/A Sim Senha da conta do ArcSight.
Nome do relatório String N/A Sim Nome do relatório que será usado para buscar eventos.
Buscar eventos básicos Caixa de seleção Selecionado Sim Se ativado, o conector também vai buscar eventos básicos.
Menor prioridade a ser buscada Inteiro N/A Não A prioridade mais baixa que será usada para buscar eventos. Os valores possíveis estão no intervalo de 1 a 10. Se nada for informado, todos os eventos serão ingeridos.
Número máximo de eventos a serem buscados Inteiro 100 Não O número de alertas a serem processados por iteração do conector. O máximo permitido é 1.000.
Usar uma lista dinâmica como lista de bloqueio Caixa de seleção Selecionado Sim

Se selecionado, o conector usa a lista dinâmica como uma lista de bloqueio.
Verificar SSL Caixa de seleção Desmarcado Sim Se selecionada, a integração valida o certificado SSL ao se conectar ao servidor ArcSight.
Endereço do servidor proxy String N/A Não O endereço do servidor proxy a ser usado.
Nome de usuário do proxy String N/A Não O nome de usuário do proxy para autenticação.
Senha do proxy Senha Não A senha do proxy para autenticação.

Regras do conector

O conector é compatível com proxies.

Jobs

Para mais informações sobre jobs, consulte Configurar um novo job e Programação avançada.

Fechar casos

O trabalho exige os seguintes parâmetros:

Nome do parâmetro Tipo Valor padrão É obrigatório Descrição
Endereço do servidor String 192.0.2.1 Sim N/A
Nome de usuário String N/A Sim N/A
Senha Senha N/A Sim N/A

Precisa de mais ajuda? Receba respostas de membros da comunidade e profissionais do Google SecOps.