整合 ArcSight 與 Google SecOps

本文說明如何將 ArcSight 與 Google Security Operations 整合。

注意： 這項整合功能使用一或多個開放原始碼元件。 您可以從儲存空間值區下載這項整合功能的完整原始碼副本。

事前準備

在 Google SecOps 中設定 ArcSight ESM 整合功能前，請先確認您的環境符合連接器、工作和動作的連線與權限規定。

如要準備整合環境，請完成下列必要條件：

1. 驗證基本整合需求，建立網路視線和程式輔助驗證。

2. 如要將安全性事件或關聯案例擷取至 Google SecOps，請設定連接器專屬需求。

3. 如要授予案件管理和應對手冊自動化功能的細部權限，請設定工作和動作專屬需求。

4. 請參閱設定工作流程，瞭解 ArcSight ESM 和 Google SecOps 的佈建順序。

基本整合規定

基礎整合會建立核心 HTTPS 連線和驗證工作階段，供所有 Google SecOps 動作、連接器和工作使用。

在環境中設定下列基本需求：

1. 網路視線：從 Google SecOps 執行個體或遠端代理程式，透過管理通訊埠 (預設為 8443/TCP) 啟用與 ArcSight ESM 伺服器的 HTTPS 通訊。

2. REST API 存取權：如《ArcSight ESM REST Web Services API Guide》所述，驗證對 https://<esm-host>:8443/www/manager-service/rest/ 和 https://<esm-host>:8443/www/core-service/rest/ 的 ArcSight ESM REST 服務直接存取權。

3. SSL/TLS 信任：如果 ArcSight ESM 部署作業使用私有或自行簽署的憑證授權單位，請提供 Base64 編碼的 PEM 根和中繼 CA 憑證檔案。

4. 服務帳戶屬性：建立專屬的 ArcSight 服務帳戶，使用者類型為 Web User (建議使用，以免耗用互動式控制台席位授權) 或 Normal User，並確保 Login Enabled 設為有效。

   如需使用者管理程序，請參閱《ArcSight ESM 管理員指南》的「管理使用者」一節。

5. 基本群組成員資格：將服務使用者指派給專屬使用者群組 (例如 SecOps_Integration_Group)，集中管理所有下游作業權限、資源 ACL 和事件篩選器。

   如需群組設定程序，請參閱 ArcSight ESM 管理員指南的「管理使用者群組」一節。

連接器專屬規定

擷取連接器會將快訊和安全性事件拉進 Google SecOps，且需要基本整合以外的專門資料範圍和作業權限。

根據所選的擷取連接器設定必要條件：

1. 指派事件篩選器：將事件篩選器 (例如 All Events 或範圍限定的機構篩選器) 指派給整合使用者群組，定義連接器可擷取的安全事件資料範圍。

   如需設定群組層級事件篩選條件的操作說明，請參閱《ArcSight ESM 管理員指南》。

2. ArcSight - Security Events Connector：授予 Security Events: Inspect、Reports: Inspect 和 Reports: Execute 作業權限，並在 ArcSight 中指派 Read 和 Execute ACL 權限給匯出關聯事件的特定報表資源

   如需資源 ACL 程序，請參閱 ArcSight ESM Console User's Guide 的「Managing Access Control on Resources」(管理資源的存取權控管) 一節。

3. ArcSight ESM 連接器：根據 ArcSight ESM 控制台使用者指南，授予 Security Events: Inspect 和 Cases: Inspect 作業權限，並在目標案件資料夾和關聯資源中指派 Read ACL 權限。

工作和動作專屬規定

排定工作和劇本動作會沿用基本整合連線，並視互動的特定 ArcSight 資源而定，需要細微的操作權限和物件層級 ACL 權限。

根據您部署的整合功能授予權限和存取控制清單：

1. 啟用動作：在 Google SecOps 中，劇本動作不需要個別設定連線。在 ArcSight 中將必要作業權限和資源 ACL 授予服務帳戶群組，即可立即啟用這些權限，供劇本使用。

2. 關閉案件工作：授予 Cases: Inspect 和 Cases: Edit 作業權限，並在目標案件資料夾中指派 Read 和 Modify ACL 權限，如《ArcSight ESM Console User's Guide》所述。

3. 有效清單動作：授予 Active Lists: Inspect 和 Active Lists: Edit Content (或 Active Lists: Edit) 作業權限，並在劇本動作參數指定的特定有效清單上，指派 Read 和 Write ACL 權限。

4. 案件管理動作：授予 Cases: Inspect 和 Cases: Edit 作業權限，並在目標案件資料夾中指派 Read 和 Modify ACL 權限。

5. 查詢和搜尋動作：授予 Query Viewers: Inspect 和 Query Viewers: Execute 作業權限，並在目標查詢檢視者上指派 Read 和 Execute ACL 權限。

6. 報表動作：授予 Reports: Inspect 和 Reports: Execute 作業權限，並在目標報表上指派 Read 和 Execute ACL 權限。

元件權限對應

下表列出各整合元件類型所需的最低作業權限和資源 ACL。

請參閱下表，瞭解權限規定：

1. 基本工作階段：基本整合只需要有效的登入憑證和預設的已驗證使用者權限。

2. 擷取連接器：連接器需要事件篩選權限、事件檢查權限，以及報表或案件的讀取權限。

3. 工作和動作：如要執行 Playbook 動作和同步工作，您必須具備特定資源的功能工作權限和 ACL 權限，並使用 ArcSight ESM Console User's Guide 進行設定。

元件類型	元件名稱	API 服務	必要作業權限	必要資源 ACL
基礎整合	基本連線和驗證	LoginService	已驗證使用者的預設權限	無
連接器	ArcSight - Security Events Connector	SecurityEventService、ReportService	Security Events: Inspect、Reports: Inspect、Reports: Execute	目標報表資源的 Read 和 Execute
連接器	ArcSight ESM 連接器	SecurityEventService、CaseService	Security Events: Inspect、Cases: Inspect	Read 目標案件資料夾和關聯物件
工作	關閉案件工作	CaseService	Cases: Inspect、Cases: Edit	Read和Modify目標案件資料夾
動作	有效清單動作 (新增實體、新增項目、取得項目、檢查值)	ActiveListService	Active Lists: Inspect、Active Lists: Edit Content (或 Active Lists: Edit)	Read 和 Write 目標有效清單
動作	變更案件階段動作	CaseService	Cases: Inspect、Cases: Edit	Read和Modify目標案件資料夾
動作	查詢和搜尋動作 (取得查詢結果、搜尋)	QueryViewerService、SearchService	Query Viewers: Inspect、Query Viewers: Execute	Read 和 Execute 目標查詢觀眾
動作	取得報表動作	ReportService	Reports: Inspect、Reports: Execute	Read 和 Execute 目標報表
動作	列出資源動作	ActiveListService、CaseService、 QueryViewerService、ReportService	已啟用各資源類型的 Inspect 權限	目標資源資料夾的 Read

設定工作流程

請按照這個多階段工作流程，在 ArcSight ESM 中佈建權限，並在 Google SecOps 中啟用所選元件。

請依下列順序完成設定步驟：

1. 佈建 ArcSight 服務帳戶和群組：在 ArcSight ESM 中建立專屬服務使用者，建立專屬使用者群組，將服務使用者指派給該群組，並套用事件篩選器來定義資料可視性，詳情請參閱 ArcSight ESM 管理員指南。

2. 為所選元件指派權限和存取控制清單：根據元件權限對應表，交叉參照您規劃的連接器、工作和動作，將相應的作業權限授予使用者群組，並在 ArcSight ESM 控制台使用者指南中，為特定目標資源資料夾指派物件層級的存取控制清單 (例如在有效清單上使用 Read/Write，或在報表上使用 Read/Execute)。

3. 在 Google SecOps 中設定：在 Google SecOps 中設定基本整合、擷取連接器、排定工作和應對手冊動作，詳情請參閱下列章節。

整合參數

請使用下列參數設定整合：

參數名稱	類型	預設值	為必填項目	說明
執行個體名稱	字串	不適用	否	您要設定整合的執行個體名稱。
說明	字串	不適用	否	執行個體的說明。
API 根層級	字串	https://{IP}:{PORT}	是	ArcSight 執行個體的伺服器位址。
使用者名稱	字串	不適用	是	ArcSight 帳戶的使用者名稱。
密碼	密碼	不適用	是	ArcSight 帳戶的密碼。
遠端執行	核取方塊	已取消勾選	否	勾選這個欄位，即可遠端執行設定的整合項目。勾選後，系統會顯示選取遠端使用者 (服務專員) 的選項。

如需在 Google SecOps 中設定整合功能的操作說明，請參閱「設定整合功能」。

如有需要，您可以在稍後階段進行變更。設定整合執行個體後，您可以在應對手冊中使用該執行個體。如要進一步瞭解如何設定及支援多個執行個體，請參閱「支援多個執行個體」。

動作

如要進一步瞭解動作，請參閱「 從工作台回覆待處理動作」和「執行手動動作」。

將項目新增至有效清單

提供機制，可從報表以外的趨勢取得資訊。趨勢更新的有效清單支援多個趨勢的資訊摘要檢視畫面。

參數

參數名稱	類型	預設值	為必填項目	說明
資料欄	字串	不適用	是	範例：Message;Username
實體	字串	不適用	是	範例：test1|Me1;Test|Me2
有效清單 UUID	字串	不適用	是	範例：HCN75QGABABCZXCOdT9P51w==

執行日期

這項操作會對所有實體執行。

動作結果

這項動作可提供下列結果。

指令碼結果

指令碼結果名稱	值選項	範例
is_succeed	True 或 False	is_succeed:False

變更案件階段

變更案件階段。有效階段包括 INITIAL、QUEUED、CLOSED、FINAL 和 FOLLOW_UP。

參數

參數名稱	類型	預設值	為必填項目	說明
案件名稱	字串	不適用	是	要更新的案件名稱。
階段	字串	不適用	是	案件的階段。示例：CLOSED、INITIAL

執行日期

這項操作會對所有實體執行。

動作結果

這項動作可提供下列結果。

指令碼結果

指令碼結果名稱	值選項	範例
成功	True 或 False	success:False

取得 Activelist 項目

擷取 ArcSight 作用中清單項目，並傳回 CSV 輸出內容。

參數

參數名稱	類型	預設值	為必填項目	說明
有效清單 UUID	字串	不適用	是	範例：HTcILQWABABCr553ieI0Xmw==

執行日期

這項操作會對所有實體執行。

動作結果

這項動作可提供下列結果。

指令碼結果

指令碼結果名稱	值選項	範例
Success_Indicator	不適用	不適用

JSON 結果

[
"12346e4d96f0a72c42015d69aaf0e8ab ,
 file.txt",
 "0e0776034e5e096704cd28cbd40cdbb5 ,
 Test.config"
]

取得查詢結果

依據查詢 ID 取得查詢結果。查詢可做為報表的主要資料來源，或做為趨勢 (以一項查詢為準)，用來做為另一項查詢的資料來源，進一步修正初始查詢結果。

參數

參數名稱	類型	預設值	為必填項目	說明
查詢 ID	字串	不適用	是	查詢 ID。
要傳回的項目數量上限	整數	100	否	指定要在回覆中傳回的項目數量。

應用實例

新增要傳回的結果數上限。

執行日期

這項操作會對所有實體執行。

動作結果

這項動作可提供下列結果。

指令碼結果

指令碼結果名稱	值選項	範例
成功	True 或 False	success:False

JSON 結果

[
    {
        "Target User Name": "user",
        "Attacker Address": "192.0.2.1",
        "External ID": "127",
        "Name": "A Kerberos authentication ticket (TGT) was requested.",
        "Target Address": "192.0.2.1"
    },{
        "Target User Name": "user",
        "Attacker Address": "192.0.2.1",
        "External ID": "127",
        "Name": "A Kerberos authentication ticket (TGT) was requested.",
        "Target Address": "192.0.2.1"
    }
]

取得報告

取得含有動態欄位的報表。報表是 ArcSight 資源，可將查詢或趨勢的資料繫結至現有報表範本。執行報表後，您可以在 ArcSight 控制台的檢視器面板中查看結果、儲存 (封存) 結果，或以各種格式匯出結果。您可以排定報表定期執行，也可以視需要隨時執行。

參數

參數名稱	類型	預設值	為必填項目	說明
報表完整路徑 (URI)	字串	不適用	是	相關報表 URI。
欄位 2	字串	不適用	否	查詢的動態欄位，用於產生報表。
欄位 3	字串	不適用	否	查詢的動態欄位，用於產生報表。
欄位 4	字串	不適用	否	查詢的動態欄位，用於產生報表。
欄位 6	字串	不適用	否	查詢的動態欄位，用於產生報表。
欄位 6	字串	不適用	否	查詢的動態欄位，用於產生報表。
欄位 7	字串	不適用	否	查詢的動態欄位，用於產生報表。
欄位 8	字串	不適用	否	查詢的動態欄位，用於產生報表。
欄位 9	字串	不適用	否	查詢的動態欄位，用於產生報表。
欄位 10	字串	不適用	否	查詢的動態欄位，用於產生報表。

執行日期

這項操作會對所有實體執行。

動作結果

這項動作可提供下列結果。

指令碼結果

指令碼結果名稱	值選項	範例
json_report	不適用	不適用

Is Value in Activelist Column

檢查特定值是否在有效清單中。

參數

參數名稱	類型	預設值	為必填項目	說明
有效清單 UUID	字串	不適用	是	有效清單 UUID。例如：cuser。
資料欄名稱	字串	不適用	是	資料欄的名稱。例如：sourceUserName。

執行日期

這項操作會對所有實體執行。

動作結果

這項動作可提供下列結果。

指令碼結果

指令碼結果名稱	值選項	範例
Success_Indicator	不適用	不適用

Ping

測試連線能力。

參數

無

執行日期

這項操作會對所有實體執行。

動作結果

這項動作可提供下列結果。

指令碼結果

指令碼結果名稱	值選項	範例
is_succeed	True 或 False	is_succeed:False

搜尋

您可以從控制台事件頻道啟動 ArcSight Command Center 的搜尋作業。「Event Complete Search」會尋找相關聯的屬性，這些屬性儲存在多個欄位中 (例如 abc)。搜尋事件時，系統會搜尋儲存在指定欄位中的值 (例如 abc)，例如僅在名稱欄位中。

參數

參數名稱	類型	預設值	為必填項目	說明
搜尋查詢	字串	不適用	是	搜尋查詢。
要傳回的項目數量上限	整數	100	否	指定要在回覆中傳回的項目數量。

應用實例

新增要傳回的結果數上限。

執行日期

這項操作會對所有實體執行。

動作結果

這項動作可提供下列結果。

指令碼結果

指令碼結果名稱	值選項	範例
成功	True 或 False	success:False

JSON 結果

[
    {
        "score": 1.2440307,
        "uuid": "UUID",
        "uri": "/All_Fields/ArcSight_Foundation/Variables_Library/IPv6/Attacker_IPv6_Address",
        "name": "Attacker IPv6 Address"
    }, {
        "score": 1.2440307,
        "uuid": "UUID",
        "uri": "/All_Fields/ArcSight_Foundation/Variables_Library/IPv6/Attacker_IPv6_Address",
        "name": "Attacker IPv6 Address"
    }
]

連接器

如要進一步瞭解如何在 Google SecOps 中設定連接器，請參閱「擷取資料 (連接器)」。

注意：為避免資料遺失，連結器會使用事件平坦化。如果原始快訊包含實體清單 (例如多個電子郵件地址、主機名稱或 IP 位址)，連接器會自動將這些實體攤平為個別的專屬事件。

舉例來說，如果原始警告包含三個不同的電子郵件地址，系統會擷取為三個不同的事件，每個事件包含一個不同的電子郵件地址。

這項程序可確保每個實體都正確編列為不重複的資產，因此可在應對手冊中完整搜尋及採取行動。

Arcsight ESM Connector

本指南適用於 ArcSight ESM 6.9.1 以上版本。

將 ESM 規則或案件轉送至 Google SecOps

使用觸發的規則/關聯性

您必須設定 ArcSight ESM，將最新的關聯物件轉送至 Google SecOps，同時將 Google SecOps 設定為在 ArcSight ESM 上做為 SIEM 服務供應商運作，並透過授權使用者提供 ArcSight ESM 的 API 存取權。

這項功能可讓 Google SecOps 近乎即時地擷取 ArcSight ESM 中觸發的任何規則，並轉送這些規則，以便翻譯及提供案件警報的背景資訊。

Google SecOps 與 ArcSight ESM 之間的資料流程

Google SecOps 會透過 ArcSight Forwarding Connector 模組和 API 存取權，自動為轉送至 Google SecOps 且在 ArcSight ESM 中觸發的關聯性建立索引並提供情境資訊。

連接器嚴重程度優先順序

連接器會使用下列優先順序值指派嚴重程度：

• 1 和 2 - 極低
• 3 和 4 - 低
• 5 和 6 - 中
• 7 和 8 - 高
• 9 和 10 分 - 嚴重

連接器輸入內容

請使用下列參數設定連接器：

參數名稱	類型	預設值	為必填項目	說明
環境	DDL	不適用	是	選取所需環境，例如「Customer One」。 如果警告的「環境」欄位空白，系統就會將警告插入此環境。
執行頻率	整數	0:0:0:10	否	選取執行連線的時間。
產品欄位名稱	字串	device_product	否	儲存產品名稱的欄位名稱。 預設值為 device_product。 產品名稱主要會影響對應。為簡化及改善連結器的對應程序，預設值 device_product 會解析為程式碼參照的回退值。這個參數的任何無效輸入預設都會解析為備用值。
事件欄位名稱	字串	名稱	否	用於判斷事件名稱 (子類型) 的欄位名稱。
指令碼逾時 (秒)	字串	500	否	執行目前指令碼的 Python 程序逾時限制 (以秒為單位)。
伺服器位址	字串	不適用	是	https://{IP}:{PORT}
使用者名稱	字串	不適用	是	ArcSight 帳戶的使用者名稱。
密碼	密碼	不適用	是	ArcSight 帳戶的密碼。
事件計數上限	整數	15	是	輸入每個關聯要擷取的事件數量上限。限制事件數量，例如 10 個。
案件資料夾路徑	字串	I:\SiemShare\CorrelationSource	是	案件檔案的位置，例如 I:\SiemShare\CorrelationSource 注意：案件資料夾路徑參數可從一個客戶變更為另一個客戶。 完整路徑。範例：C:\Desktop\CorrelationSource
快訊數量上限	整數	10	是	每個連接器週期要處理的快訊數量上限，例如 10。
環境欄位名稱	字串	event.customerURI	是	要取得案件環境的欄位名稱，例如 event.customerUri。
次要裝置產品欄位	字串	不適用	否	取代原始產品欄位 (來自連接器的 DeviceProductField，值來自次要產品欄位)。範例：CustomDeviceString2
警告自訂欄位名稱	字串	不適用	否	將 ArcSight 中的自訂欄位值 (例如 baseEventCount、agent_address、device_assetId) 匯入快訊。
已完成檔案的保留天數	整數	3	是	保留每個「已完成」CSV 檔案的天數。
錯誤檔案保留天數	整數	14	是	保留每個錯誤 CSV 檔案的天數。
Proxy 伺服器位址	字串	不適用	否	要使用的 Proxy 伺服器位址。
Proxy 使用者名稱	字串	不適用	否	用於驗證的 Proxy 使用者名稱。
Proxy 密碼	密碼	不適用	否	用於驗證的 Proxy 密碼。

連接器規則

連接器支援 Proxy。

ArcSight - Security Events Connector

從 ArcSight 提取關聯性。這個連接器適用於 Google SecOps 的 SaaS 部署作業，建議用於實際工作環境。

注意： 動態清單適用於 name 參數。

您必須先完成必要步驟，才能使用這個連接器。

連接器輸入內容

請使用下列參數設定連接器：

參數顯示名稱	類型	預設值	為必填項目	說明
產品欄位名稱	字串	類型	是	儲存產品名稱的欄位名稱。 預設值為 type。 產品名稱主要會影響對應。為簡化及改善連接器的對應程序，預設值 type 會解析為程式碼參照的回退值。這個參數的任何無效輸入都會預設解析為備用值。
事件欄位名稱	字串	名稱	是	決定事件名稱 (子類型) 的欄位名稱。
環境欄位名稱	字串	""	否	儲存環境名稱的欄位名稱。 如果缺少環境欄位，連接器會使用預設值。
Environment Regex Pattern	字串	.*	FALSE	否	要在「Environment Field Name」欄位中找到的值上執行的規則運算式模式。這個參數可讓您使用規則運算式邏輯，操控環境欄位。 使用預設值 .* 擷取必要的原始 Environment Field Name 值。 如果規則運算式模式為空值或空白，或環境值為空值，最終環境結果就是預設環境。
指令碼逾時 (秒)	整數	360	是	執行目前指令碼的 Python 程序逾時限制 (以秒為單位)。
API 根層級	字串	https://{ip}	是	ArcSight 執行個體的 API 根目錄。
使用者名稱	字串	不適用	是	ArcSight 帳戶的使用者名稱。
密碼	密碼	不適用	是	ArcSight 帳戶的密碼。
報告名稱	字串	不適用	是	用於擷取事件的報表名稱。
擷取基本事件	核取方塊	已勾選	是	啟用後，連接器也會擷取基本事件。
要擷取的最低優先順序	整數	不適用	否	用於擷取事件的最低優先順序。可能的值為 1 到 10。如未提供任何內容，系統會擷取所有事件。
要擷取的事件數量上限	整數	100	否	每個連接器疊代要處理的快訊數量。最多只能有 1,000 個半形字元。
將動態清單設為封鎖清單	核取方塊	已勾選	是	如果選取這個選項，連接器會將動態清單做為封鎖清單。
驗證 SSL	核取方塊	已取消勾選	是	如果選取這個選項，整合服務會在連線至 ArcSight 伺服器時驗證 SSL 憑證。
Proxy 伺服器位址	字串	不適用	否	要使用的 Proxy 伺服器位址。
Proxy 使用者名稱	字串	不適用	否	用於驗證的 Proxy 使用者名稱。
Proxy 密碼	密碼		否	用於驗證的 Proxy 密碼。

連接器規則

連接器支援 Proxy。

工作

如要進一步瞭解工作，請參閱「 設定新工作」和「 進階排程」。

關閉案件

這項作業需要下列參數：

參數名稱	類型	預設值	為必填項目	說明
伺服器位址	字串	192.0.2.1	是	不適用
使用者名稱	字串	不適用	是	不適用
密碼	密碼	不適用	是	不適用

還有其他問題嗎？向社群成員和 Google SecOps 專業人員尋求解答。