Integrar o ArcSight ao Google SecOps

Neste documento, descrevemos como integrar o ArcSight ao Google Security Operations.

Observação: essa integração usa um ou mais componentes de código aberto. É possível fazer o download de uma cópia do código-fonte completo dessa integração no bucket de armazenamento.

Antes de começar

Antes de configurar a integração do ArcSight ESM no Google SecOps, verifique se o ambiente atende aos requisitos de conexão e permissão para conectores, jobs e ações.

Para preparar o ambiente para integração, conclua os seguintes pré-requisitos:

1. Verifique os requisitos básicos de integração para estabelecer a linha de visão da rede e a autenticação programática.

2. Para ingerir ocorrências de segurança ou casos de correlação no Google SecOps, configure os requisitos específicos do conector.

3. Para conceder privilégios granulares para gerenciamento de casos e automação de playbooks, configure requisitos específicos de jobs e ações.

4. Revise o fluxo de trabalho de configuração para entender a sequência de provisionamento no ArcSight ESM e no Google SecOps.

Requisitos de integração básica

A integração básica estabelece a conexão HTTPS principal e a sessão de autenticação usadas em todas as ações, conectores e jobs do Google SecOps.

Configure os seguintes requisitos básicos no seu ambiente:

1. Linha de visão da rede: ative a comunicação HTTPS da sua instância do Google SecOps ou do agente remoto para o servidor do ArcSight ESM na porta de gerenciamento (padrão: 8443/TCP).

2. Acesso à API REST: verifique o acesso direto aos serviços REST do ArcSight ESM localizados em https://<esm-host>:8443/www/manager-service/rest/ e https://<esm-host>:8443/www/core-service/rest/, conforme descrito no Guia da API REST de serviços da Web do ArcSight ESM.

3. Confiança de SSL/TLS: forneça um arquivo de certificado de CA raiz e intermediário PEM codificado em Base64 se a implantação do ArcSight ESM usar uma autoridade de certificação particular ou autoassinada.

4. Propriedades da conta de serviço: crie uma conta de serviço dedicada do ArcSight com o tipo de usuário Web User (recomendado para evitar o consumo de uma licença de estação do console interativo) ou Normal User e verifique se Login Enabled está definido como ativo.

   Para procedimentos de administração de usuários, consulte a seção "Como gerenciar usuários" do Guia do administrador do ArcSight ESM.

5. Associação ao grupo base: atribua o usuário de serviço a um grupo de usuários dedicado (por exemplo, SecOps_Integration_Group) para gerenciar todos os privilégios de operações downstream, ACLs de recursos e filtros de eventos de forma centralizada.

   Para procedimentos de configuração de grupo, consulte a seção "Como gerenciar grupos de usuários" do Guia do administrador do ArcSight ESM.

Requisitos específicos do conector

Os conectores de ingestão extraem alertas e ocorrências de segurança para o Google SecOps e exigem escopo de dados especializado e permissões operacionais além da integração básica.

Configure os pré-requisitos correspondentes ao conector de ingestão escolhido:

1. Atribuição de filtro de eventos: atribua um filtro de eventos (como All Events ou um filtro organizacional com escopo) ao grupo de usuários de integração para definir o escopo de dados das ocorrências de segurança que os conectores podem recuperar.

   Para instruções sobre como configurar filtros de eventos no nível do grupo, consulte o Guia do administrador do ArcSight ESM.

2. ArcSight - Security Events Connector: conceda privilégios de operações Security Events: Inspect, Reports: Inspect e Reports: Execute e atribua permissões de ACL Read e Execute no recurso de relatório específico no ArcSight que exporta eventos de correlação.

   Para procedimentos de ACL de recursos, consulte a seção "Como gerenciar o controle de acesso em recursos" do Guia do usuário do console do ArcSight ESM.

3. Conector do ArcSight ESM: conceda privilégios de operações Security Events: Inspect e Cases: Inspect e atribua permissões de ACL Read nas pastas de casos de destino e nos recursos de correlação de acordo com o Guia do usuário do console do ArcSight ESM.

Requisitos específicos de jobs e ações

Os jobs programados e as ações do playbook herdam a conexão de integração base e exigem privilégios de operações granulares e permissões de ACL no nível do objeto, dependendo dos recursos específicos do ArcSight com que interagem.

Conceda privilégios e ACLs com base nos recursos de integração que você está implantando:

1. Ativação de ações: as ações do playbook não exigem uma configuração de conexão separada no Google SecOps. Conceder os privilégios de operações necessários e as ACLs de recursos ao grupo de conta de serviço no ArcSight permite que eles sejam usados imediatamente no playbook.

2. Fechar o job de casos: conceda privilégios de operações Cases: Inspect e Cases: Edit e atribua permissões de ACL Read e Modify nas pastas de casos de destino, conforme descrito no Guia do usuário do console do ArcSight ESM.

3. Ações de lista ativa: conceda privilégios de operações Active Lists: Inspect e Active Lists: Edit Content (ou Active Lists: Edit) e atribua permissões de ACL Read e Write nas listas ativas específicas segmentadas pelos parâmetros de ação do playbook.

4. Ações de gerenciamento de casos: conceda privilégios de operações Cases: Inspect e Cases: Edit e atribua permissões de ACL Read e Modify em pastas de casos de destino.

5. Ações de consulta e pesquisa: conceda privilégios de operações Query Viewers: Inspect e Query Viewers: Execute e atribua permissões de ACL Read e Execute aos leitores de consulta de destino.

6. Ações de relatório: conceda privilégios de operações Reports: Inspect e Reports: Execute e atribua permissões de ACL Read e Execute nos relatórios de destino.

Mapeamento de permissões de componentes

A tabela a seguir descreve os privilégios mínimos de operações e as ACLs de recursos necessárias para cada tipo de componente de integração.

Consulte a tabela a seguir para entender os requisitos de permissão:

1. Sessão básica: a integração básica requer apenas credenciais de login válidas e direitos de usuário autenticados padrão.

2. Conectores de ingestão: os conectores exigem direitos de filtragem de eventos, privilégios de inspeção de eventos e acesso de leitura a relatórios ou casos.

3. Jobs e ações: as ações do playbook e os jobs de sincronização exigem privilégios de tarefa funcional e permissões de ACL nos recursos específicos acessados, configurados usando o Guia do usuário do console do ArcSight ESM.

Tipo de componente	Nome do componente	Serviço de API	Privilégios de operações necessários	ACLs de recursos necessárias
Integração básica	Conexão e autenticação de base	LoginService	Privilégios padrão do usuário autenticado	Nenhum
Conector	ArcSight: conector de ocorrências de segurança	SecurityEventService, ReportService	Security Events: Inspect, Reports: Inspect, Reports: Execute	Read e Execute no recurso de relatório de destino
Conector	Conector do ArcSight ESM	SecurityEventService, CaseService	Security Events: Inspect, Cases: Inspect	Read em pastas de casos de destino e objetos de correlação
Job	Job de encerramento de casos	CaseService	Cases: Inspect, Cases: Edit	Read e Modify nas pastas de casos de destino
Ação	Ações de lista ativa (adicionar entidades, adicionar entradas, receber entradas, verificar valor)	ActiveListService	Active Lists: Inspect, Active Lists: Edit Content (ou Active Lists: Edit)	Read e Write em listas ativas de destino
Ação	Ação de alteração da etapa do caso	CaseService	Cases: Inspect, Cases: Edit	Read e Modify nas pastas de casos de destino
Ação	Ações de consulta e pesquisa (receber resultados da consulta, pesquisar)	QueryViewerService, SearchService	Query Viewers: Inspect, Query Viewers: Execute	Read e Execute em visualizadores de consultas segmentadas
Ação	Ação "Gerar relatório"	ReportService	Reports: Inspect, Reports: Execute	Read e Execute em relatórios de segmentação
Ação	Ação de listar recursos	ActiveListService, CaseService, QueryViewerService, ReportService	Privilégio Inspect para cada tipo de recurso ativado	Read nas pastas de recursos de destino

Fluxo de trabalho de configuração

Siga este fluxo de trabalho de várias fases para provisionar permissões no ArcSight ESM e ativar os componentes selecionados no Google SecOps.

Conclua as etapas de configuração na seguinte sequência:

1. Provisionamento de conta de serviço e grupo do ArcSight: crie o usuário de serviço dedicado no ArcSight ESM, crie um grupo de usuários dedicado, atribua o usuário de serviço ao grupo e aplique um filtro de eventos para definir a visibilidade dos dados, conforme detalhado no Guia do administrador do ArcSight ESM.

2. Atribuir privilégios e ACLs para os componentes escolhidos: compare os conectores, jobs e ações planejados com a tabela de mapeamento de permissões de componentes, conceda os privilégios de operações correspondentes ao grupo de usuários e atribua ACLs no nível do objeto (como Read/Write em listas ativas ou Read/Execute em relatórios) nas pastas de recursos de destino específicas no Guia do usuário do console do ArcSight ESM.

3. Configurar no Google SecOps: configure a integração de base, os conectores de ingestão, os jobs programados e as ações do playbook no Google SecOps, conforme descrito nas seções a seguir.

Parâmetros de integração

Use os seguintes parâmetros para configurar a integração:

Nome do parâmetro	Tipo	Valor padrão	É obrigatório	Descrição
Nome da instância	String	N/A	Não	Nome da instância para a qual você quer configurar a integração.
Descrição	String	N/A	Não	Descrição da instância.
Raiz da API	String	https://{IP}:{PORT}	Sim	Endereço do servidor da instância do ArcSight.
Nome de usuário	String	N/A	Sim	Nome de usuário da conta do ArcSight.
Senha	Senha	N/A	Sim	Senha da conta do ArcSight.
Executar remotamente	Caixa de seleção	Desmarcado	Não	Marque o campo para executar a integração configurada remotamente. Depois de marcada, a opção de selecionar o usuário remoto (agente) aparece.

Para instruções sobre como configurar uma integração no Google SecOps, consulte Configurar integrações.

Se necessário, você pode fazer mudanças depois. Depois de configurar uma instância de integração, é possível usá-la em playbooks. Para mais informações sobre como configurar e oferecer suporte a várias instâncias, consulte Como oferecer suporte a várias instâncias.

Ações

Para mais informações sobre ações, consulte Responder a ações pendentes na sua mesa de trabalho e Executar uma ação manual no seu caso.

Adicionar entradas à lista ativa

Oferece um mecanismo para receber informações de tendências fora e além dos relatórios. As listas ativas atualizadas por tendências oferecem suporte a visualizações resumidas de informações de várias tendências.

Parâmetros

Nome do parâmetro	Tipo	Valor padrão	É obrigatório	Descrição
Colunas	String	N/A	Sim	Exemplo: Mensagem;Nome de usuário
Entradas	String	N/A	Sim	Exemplo: test1|Me1;Test|Me2
UUID da lista ativa	String	N/A	Sim	Exemplo: HCN75QGABABCZXCOdT9P51w==

Data de execução

Essa ação é executada em todas as entidades.

Resultados da ação

Essa ação pode fornecer os seguintes resultados.

Resultado do script

Nome do resultado do script	Opções de valor	Exemplo
is_succeed	True ou false	is_succeed:False

Alterar etapa do caso

Mudar a etapa de um caso. Os estágios válidos são INITIAL, QUEUED, CLOSED, FINAL e FOLLOW_UP.

Parâmetros

Nome do parâmetro	Tipo	Valor padrão	É obrigatório	Descrição
Nome do caso	String	N/A	Sim	O nome do caso a ser atualizado.
Fase	String	N/A	Sim	A etapa do caso. Exemplo: CLOSED, INITIAL

Data de execução

Essa ação é executada em todas as entidades.

Resultados da ação

Essa ação pode fornecer os seguintes resultados.

Resultado do script

Nome do resultado do script	Opções de valor	Exemplo
sucesso	True ou false	success:False

Receber entradas da lista ativa

Recupera entradas da lista ativa do ArcSight e retorna a saída CSV.

Parâmetros

Nome do parâmetro	Tipo	Valor padrão	É obrigatório	Descrição
UUID da lista ativa	String	N/A	Sim	Exemplo: HTcILQWABABCr553ieI0Xmw==

Data de execução

Essa ação é executada em todas as entidades.

Resultados da ação

Essa ação pode fornecer os seguintes resultados.

Resultado do script

Nome do resultado do script	Opções de valor	Exemplo
Success_Indicator	N/A	N/A

Resultado JSON

[
"12346e4d96f0a72c42015d69aaf0e8ab ,
 file.txt",
 "0e0776034e5e096704cd28cbd40cdbb5 ,
 Test.config"
]

Receber resultados da consulta

Receber resultados da consulta por ID. Uma consulta pode ser usada como a fonte de dados principal de um relatório ou uma tendência (com base em uma consulta) que pode ser usada como fonte de dados para outra consulta que refine ainda mais o resultado inicial.

Parâmetros

Nome do parâmetro	Tipo	Valor padrão	É obrigatório	Descrição
ID da consulta	String	N/A	Sim	O ID da consulta.
Número máximo de itens a serem retornados	Inteiro	100	Não	Especifique quantos itens serão retornados na resposta.

Casos de uso

Adicione uma limitação para o número de resultados a serem retornados.

Data de execução

Essa ação é executada em todas as entidades.

Resultados da ação

Essa ação pode fornecer os seguintes resultados.

Resultado do script

Nome do resultado do script	Opções de valor	Exemplo
sucesso	True ou false	success:False

Resultado JSON

[
    {
        "Target User Name": "user",
        "Attacker Address": "192.0.2.1",
        "External ID": "127",
        "Name": "A Kerberos authentication ticket (TGT) was requested.",
        "Target Address": "192.0.2.1"
    },{
        "Target User Name": "user",
        "Attacker Address": "192.0.2.1",
        "External ID": "127",
        "Name": "A Kerberos authentication ticket (TGT) was requested.",
        "Target Address": "192.0.2.1"
    }
]

Acessar relatório

Receba um relatório com campos dinâmicos. Um relatório é um recurso do ArcSight que vincula dados de uma consulta ou tendência a um modelo de relatório atual. Depois de executados, os resultados de um relatório podem ser visualizados no painel do visualizador dos consoles do ArcSight, salvos (arquivados) ou exportados em vários formatos. Os relatórios podem ser programados para serem executados em intervalos regulares e sob demanda, conforme necessário.

Parâmetros

Nome do parâmetro	Tipo	Valor padrão	É obrigatório	Descrição
Caminho completo do relatório (URI)	String	N/A	Sim	O URI do relatório relevante.
Campo 2	String	N/A	Não	Os campos dinâmicos da consulta para gerar o relatório.
Campo 3	String	N/A	Não	Os campos dinâmicos da consulta para gerar o relatório.
Campo 4	String	N/A	Não	Os campos dinâmicos da consulta para gerar o relatório.
Campo 6	String	N/A	Não	Os campos dinâmicos da consulta para gerar o relatório.
Campo 6	String	N/A	Não	Os campos dinâmicos da consulta para gerar o relatório.
Campo 7	String	N/A	Não	Os campos dinâmicos da consulta para gerar o relatório.
Campo 8	String	N/A	Não	Os campos dinâmicos da consulta para gerar o relatório.
Campo 9	String	N/A	Não	Os campos dinâmicos da consulta para gerar o relatório.
Campo 10	String	N/A	Não	Os campos dinâmicos da consulta para gerar o relatório.

Data de execução

Essa ação é executada em todas as entidades.

Resultados da ação

Essa ação pode fornecer os seguintes resultados.

Resultado do script

Nome do resultado do script	Opções de valor	Exemplo
json_report	N/A	N/A

O valor está na coluna Activelist

Verifica se um valor específico está na lista ativa .

Parâmetros

Nome do parâmetro	Tipo	Valor padrão	É obrigatório	Descrição
UUID da lista ativa	String	N/A	Sim	UUID da lista ativa. Exemplo: cuser.
Nome da coluna	String	N/A	Sim	O nome da coluna. Exemplo: sourceUserName.

Data de execução

Essa ação é executada em todas as entidades.

Resultados da ação

Essa ação pode fornecer os seguintes resultados.

Resultado do script

Nome do resultado do script	Opções de valor	Exemplo
Success_Indicator	N/A	N/A

Ping

Teste a conectividade.

Parâmetros

Nenhuma.

Data de execução

Essa ação é executada em todas as entidades.

Resultados da ação

Essa ação pode fornecer os seguintes resultados.

Resultado do script

Nome do resultado do script	Opções de valor	Exemplo
is_succeed	True ou false	is_succeed:False

Pesquisar

É possível iniciar uma pesquisa no ArcSight Command Center pelo canal de eventos do console. A pesquisa completa de eventos procura o atributo associado, que é armazenado em vários campos (por exemplo, abc). A pesquisa de eventos busca um valor (por exemplo, abc) armazenado no campo especificado (por exemplo, apenas no campo de nome).

Parâmetros

Nome do parâmetro	Tipo	Valor padrão	É obrigatório	Descrição
Consulta de pesquisa	String	N/A	Sim	A consulta de pesquisa.
Número máximo de itens a serem retornados	Inteiro	100	Não	Especifique quantos itens serão retornados na resposta.

Casos de uso

Adicione uma limitação para o número de resultados a serem retornados.

Data de execução

Essa ação é executada em todas as entidades.

Resultados da ação

Essa ação pode fornecer os seguintes resultados.

Resultado do script

Nome do resultado do script	Opções de valor	Exemplo
sucesso	True ou false	success:False

Resultado JSON

[
    {
        "score": 1.2440307,
        "uuid": "UUID",
        "uri": "/All_Fields/ArcSight_Foundation/Variables_Library/IPv6/Attacker_IPv6_Address",
        "name": "Attacker IPv6 Address"
    }, {
        "score": 1.2440307,
        "uuid": "UUID",
        "uri": "/All_Fields/ArcSight_Foundation/Variables_Library/IPv6/Attacker_IPv6_Address",
        "name": "Attacker IPv6 Address"
    }
]

Conectores

Para saber como configurar conectores no Google SecOps, consulte Ingerir seus dados (conectores).

Observação: para evitar a perda de dados, os conectores usam a nivelamento de eventos. Se um alerta bruto contiver uma lista de entidades (como vários endereços de e-mail, nomes de host ou endereços IP), os conectores vão nivelá-las automaticamente em eventos separados e exclusivos.

Por exemplo, um único alerta bruto com três endereços de e-mail diferentes é ingerido como três eventos separados, cada um com um endereço de e-mail distinto.

Esse processo garante que cada entidade seja indexada corretamente como um recurso exclusivo, tornando-a totalmente pesquisável e acionável em playbooks.

Conector do Arcsight ESM

Este guia se refere às versões 6.9.1 e mais recentes do ArcSight ESM.

Regra de ESM ou encaminhamento de caso para o Google SecOps

Como trabalhar com regras/correlações acionadas

Será necessário configurar o ArcSight ESM para encaminhar os objetos de correlação mais recentes ao Google SecOps enquanto você configura o Google SecOps para funcionar no ArcSight ESM como um provedor de SIEM e também para fornecer acesso à API ao ArcSight ESM por um usuário autorizado.

Esse recurso permite que o Google SecOps recupere todas as regras acionadas no ArcSight ESM quase em tempo real e as encaminhe para serem traduzidas e contextualizadas como alertas para casos.

Fluxo de dados entre o Google SecOps e o ArcSight ESM

O Google SecOps indexa e contextualiza automaticamente as correlações que foram encaminhadas para o Google SecOps e acionadas no ArcSight ESM pelo módulo do conector de encaminhamento do ArcSight e pelo acesso à API.

Priorização de gravidade do conector

O conector atribui gravidade com os seguintes valores de priorização:

• 1 e 2: muito baixa
• 3 e 4: baixo
• 5 e 6: médio
• 7 e 8: alto
• 9 e 10: crítico

Entradas do conector

Use os seguintes parâmetros para configurar o conector:

Nome do parâmetro	Tipo	Valor padrão	É obrigatório	Descrição
Ambiente	DDL	N/A	Sim	Selecione o ambiente necessário, por exemplo, Customer One. Caso o campo "Ambiente" do alerta esteja vazio, o alerta será injetado neste ambiente.
Executar a cada	Inteiro	0:0:0:10	Não	Selecione o horário para executar a conexão.
Nome do campo do produto	String	device_product	Não	O nome do campo em que o nome do produto é armazenado. O valor padrão é device_product. O nome do produto afeta principalmente o mapeamento. Para simplificar e melhorar o processo de mapeamento do conector, o valor padrão device_product é resolvido como um valor substituto referenciado no código. Qualquer entrada inválida para esse parâmetro é resolvida para um valor substituto por padrão.
Nome do campo do evento	String	nome	Não	O nome do campo usado para determinar o nome do evento (subtipo).
Tempo limite do script (segundos)	String	500	Não	O limite de tempo limite (em segundos) para o processo do Python que executa o script atual.
Endereço do servidor	String	N/A	Sim	https://{IP}:{PORT}
Nome de usuário	String	N/A	Sim	Nome de usuário da conta do ArcSight.
Senha	Senha	N/A	Sim	A senha da conta do ArcSight.
Limite de contagem de eventos	Inteiro	15	Sim	Insira o número máximo de eventos a serem buscados por correlação. Limite o número de eventos, por exemplo, 10.
Caminho da pasta de casos	String	I:\SiemShare\CorrelationSource	Sim	O local dos arquivos do caso, como I:\SiemShare\CorrelationSource. Observação: o parâmetro de caminho da pasta de casos pode ser alterado de um cliente para outro. Caminho completo. Exemplo: C:\Desktop\CorrelationSource
Limite de contagem de alertas	Inteiro	10	Sim	O número máximo de alertas a serem processados por ciclo do conector, por exemplo, 10.
Nome do campo do ambiente	String	event.customerURI	Sim	O nome do campo para receber o ambiente do caso, por exemplo, event.customerUri.
Campo de produto do dispositivo secundário	String	N/A	Não	Substitua o campo de produto original (do DeviceProductField do conector pelo valor do campo de produto secundário). Exemplo: CustomDeviceString2
Nomes dos campos personalizados de alerta	String	N/A	Não	Extraia valores de campos personalizados do ArcSight para o alerta, como baseEventCount,agent_address,device_assetId.
Dias de retenção de arquivos concluídos	Inteiro	3	Sim	Quantos dias cada arquivo CSV DONE deve ser mantido.
Dias de retenção de arquivos de erro	Inteiro	14	Sim	Por quantos dias cada arquivo CSV de ERRO será mantido.
Endereço do servidor proxy	String	N/A	Não	O endereço do servidor proxy a ser usado.
Nome de usuário do proxy	String	N/A	Não	O nome de usuário do proxy para autenticação.
Senha do proxy	Senha	N/A	Não	A senha do proxy para autenticação.

Regras do conector

O conector é compatível com proxies.

ArcSight: conector de ocorrências de segurança

Extraia correlações do ArcSight. Esse conector é adequado para a implantação de SaaS do Google SecOps e é o recomendado para uso em produção.

Observação: a lista dinâmica funciona com o parâmetro name.

Este conector exige que você conclua as etapas de pré-requisito.

Entradas do conector

Use os seguintes parâmetros para configurar o conector:

Nome de exibição do parâmetro	Tipo	Valor padrão	É obrigatório	Descrição
Nome do campo do produto	String	tipo	Sim	O nome do campo em que o nome do produto é armazenado. O valor padrão é type. O nome do produto afeta principalmente o mapeamento. Para simplificar e melhorar o processo de mapeamento do conector, o valor padrão type é resolvido como um valor substituto referenciado no código. Qualquer entrada inválida para esse parâmetro é resolvida para um valor substituto por padrão.
Nome do campo do evento	String	nome	Sim	O nome do campo que determina o nome do evento (subtipo).
Nome do campo do ambiente	String	""	Não	O nome do campo em que o nome do ambiente é armazenado. Se o campo de ambiente estiver ausente, o conector usará o valor padrão.
Environment Regex Pattern	String	.*	FALSO	Não	Um padrão de expressão regular para executar no valor encontrado no campo Environment Field Name. Esse parâmetro permite manipular o campo de ambiente usando a lógica de expressão regular. Use o valor padrão .* para recuperar o valor bruto Environment Field Name necessário. Se o padrão de expressão regular for nulo ou vazio, ou se o valor do ambiente for nulo, o resultado final será o ambiente padrão.
Tempo limite de script (segundos)	Inteiro	360	Sim	O limite de tempo limite, em segundos, para o processo do Python que executa o script atual.
Raiz da API	String	https://{ip}	Sim	A raiz da API da instância do ArcSight.
Nome de usuário	String	N/A	Sim	Nome de usuário da conta do ArcSight.
Senha	Senha	N/A	Sim	Senha da conta do ArcSight.
Nome do relatório	String	N/A	Sim	Nome do relatório que será usado para buscar eventos.
Buscar eventos base	Caixa de seleção	Selecionado	Sim	Se ativado, o conector também vai buscar eventos de base.
Prioridade mais baixa para buscar	Inteiro	N/A	Não	A prioridade mais baixa que será usada para buscar eventos. Os valores possíveis estão no intervalo de 1 a 10. Se nada for fornecido, todos os eventos serão ingeridos.
Máximo de eventos a serem buscados	Inteiro	100	Não	O número de alertas a serem processados por iteração do conector. O máximo permitido é 1.000.
Usar uma lista dinâmica como lista de bloqueio	Caixa de seleção	Selecionado	Sim	Se selecionado, o conector usa a lista dinâmica como uma lista de bloqueio.
Verificar SSL	Caixa de seleção	Desmarcado	Sim	Se selecionada, a integração valida o certificado SSL ao se conectar ao servidor do ArcSight.
Endereço do servidor proxy	String	N/A	Não	O endereço do servidor proxy a ser usado.
Nome de usuário do proxy	String	N/A	Não	O nome de usuário do proxy para autenticação.
Senha do proxy	Senha		Não	A senha do proxy para autenticação.

Regras do conector

O conector é compatível com proxies.

Jobs

Para mais informações sobre jobs, consulte Configurar um novo job e Programação avançada.

Fechar casos

O job requer os seguintes parâmetros:

Nome do parâmetro	Tipo	Valor padrão	É obrigatório	Descrição
Endereço do servidor	String	192.0.2.1	Sim	N/A
Nome de usuário	String	N/A	Sim	N/A
Senha	Senha	N/A	Sim	N/A

Precisa de mais ajuda? Receba respostas de membros da comunidade e profissionais do Google SecOps.