將 ArcSight 與 Google SecOps 整合

本文說明如何將 ArcSight 與 Google Security Operations 整合。

注意： 這項整合功能使用一或多個開放原始碼元件。您可以從儲存空間 bucket 下載這項整合功能的完整原始碼副本。

事前準備

在 Google SecOps 中設定 ArcSight ESM 整合功能之前，請確認環境符合連接器、工作和動作的連線和權限規定。

如要準備整合環境，請完成下列必要條件：

1. 確認基本整合規定，建立網路連線和程式輔助驗證。

2. 如要將安全性事件或關聯案件擷取至 Google SecOps，請設定連接器專屬需求。

3. 如要授予案件管理和應對手冊自動化的精細權限，請設定工作和動作專屬需求。

4. 查看設定工作流程，瞭解 ArcSight ESM 和 Google SecOps 的佈建順序。

基本整合規定

基本整合會建立核心 HTTPS 連線和驗證工作階段，用於所有 Google SecOps 動作、連接器和工作。

在環境中設定下列基本需求：

1. 網路視線：啟用從 Google SecOps 執行個體或遠端代理程式，到管理通訊埠 (預設：8443/TCP) 上的 ArcSight ESM 伺服器的 HTTPS 通訊。

2. REST API 存取權：確認可直接存取位於 https://<esm-host>:8443/www/manager-service/rest/ 和 https://<esm-host>:8443/www/core-service/rest/ 的 ArcSight ESM REST 服務，如「ArcSight ESM REST Web Services API Guide」(ArcSight ESM REST Web Services API 指南) 所述。

3. SSL/TLS 信任：如果 ArcSight ESM 部署作業使用私人或自行簽署的憑證授權單位，請提供 Base64 編碼的 PEM 根憑證和中繼 CA 憑證檔案。

4. 服務帳戶屬性：建立專用的 ArcSight 服務帳戶，使用者類型為 Web User (建議使用，以免耗用互動式控制台席位授權) 或 Normal User，並確認 Login Enabled 已設為有效。

   如需使用者管理程序，請參閱「ArcSight ESM Administrator's Guide」(ArcSight ESM 管理員指南) 的「Managing Users」(管理使用者) 一節。

5. 基本群組成員資格：將服務使用者指派給專屬使用者群組 (例如 SecOps_Integration_Group)，集中管理所有下游作業權限、資源 ACL 和事件篩選器。

   如需群組設定程序，請參閱「ArcSight ESM Administrator's Guide」(ArcSight ESM 管理員指南) 的「Managing User Groups」(管理使用者群組) 一節。

連接器專屬需求

擷取連接器會將警示和安全性事件提取至 Google SecOps，且需要專門的資料範圍和作業權限，不只是基本整合。

根據所選的擷取連接器，設定必要條件：

1. 事件篩選器指派：將事件篩選器 (例如 All Events 或限定範圍的組織篩選器) 指派給整合使用者群組，定義連接器可擷取的安全性事件資料範圍。

   如需設定群組層級事件篩選器的操作說明，請參閱「ArcSight ESM Administrator's Guide」(ArcSight ESM 管理員指南)。

2. ArcSight - 安全性事件連接器：授予 Security Events: Inspect、Reports: Inspect 和 Reports: Execute 作業權限，並在 ArcSight 中匯出關聯事件的特定報表資源上指派 Read 和 Execute ACL 權限

   如需資源 ACL 程序，請參閱「ArcSight ESM Console User's Guide」(ArcSight ESM 控制台使用者指南) 的「Managing Access Control on Resources」(管理資源的存取控管) 一節。

3. ArcSight ESM 連接器：根據 ArcSight ESM 控制台使用者指南，授予 Security Events: Inspect 和 Cases: Inspect 作業權限，並指派目標案件資料夾和關聯資源的 Read ACL 權限。

工作和動作專屬規定

排定的工作和工作手冊動作會沿用基本整合連線，並根據互動的特定 ArcSight 資源，需要精細的操作權限和物件層級 ACL 權限。

根據您要部署的整合功能，授予權限和 ACL：

1. 啟用動作：Playbook 動作不需要在 Google SecOps 中另外設定連線。只要將必要的操作權限和資源 ACL 授予 ArcSight 中的服務帳戶群組，就能立即啟用這些權限，供自動化動作使用。

2. 關閉案件工作：授予 Cases: Inspect 和 Cases: Edit 作業權限，並按照「ArcSight ESM Console User's Guide」所述，在目標案件資料夾上指派 Read 和 Modify ACL 權限。

3. Active list 動作：授予 Active Lists: Inspect 和 Active Lists: Edit Content (或 Active Lists: Edit) 作業權限，並針對教戰手冊動作參數指定的特定 Active list，指派 Read 和 Write ACL 權限。

4. 案件管理動作：授予 Cases: Inspect 和 Cases: Edit 作業權限，並指派目標案件資料夾的 Read 和 Modify ACL 權限。

5. 查詢和搜尋動作：授予 Query Viewers: Inspect 和 Query Viewers: Execute 作業權限，並為目標查詢檢視者指派 Read 和 Execute ACL 權限。

6. 報表動作：授予 Reports: Inspect 和 Reports: Execute 作業權限，並指派目標報表的 Read 和 Execute ACL 權限。

元件權限對應

下表列出每種整合元件類型所需的最低作業權限和資源 ACL。

請參閱下表，瞭解權限需求：

1. 基本工作階段：基本整合只需要有效的登入憑證和預設的已驗證使用者權限。

2. 擷取連接器：連接器需要事件篩選權限、事件檢查權限，以及報表或案件的讀取權限。

3. 工作和動作：Playbook 動作和同步工作需要功能性工作權限，以及所存取特定資源的 ACL 權限，這些權限是使用 ArcSight ESM 控制台使用者指南設定。

元件類型	元件名稱	API 服務	必要作業權限	必要的資源 ACL
基本整合	基本連線和驗證	LoginService	預設已驗證使用者權限	無
連接器	ArcSight - 安全性事件連接器	SecurityEventService、ReportService	Security Events: Inspect、Reports: Inspect、Reports: Execute	目標報表資源的Read和Execute
連接器	ArcSight ESM 連接器	SecurityEventService、CaseService	Security Events: Inspect、Cases: Inspect	目標案件資料夾和關聯物件的Read
工作	關閉案件工作	CaseService	Cases: Inspect、Cases: Edit	目標案件資料夾中的 Read 和 Modify
動作	有效清單動作 (新增實體、新增項目、取得項目、檢查值)	ActiveListService	Active Lists: Inspect、Active Lists: Edit Content (或 Active Lists: Edit)	Read和Write在目標有效清單上
動作	變更案件階段動作	CaseService	Cases: Inspect、Cases: Edit	目標案件資料夾中的 Read 和 Modify
動作	查詢和搜尋動作 (取得查詢結果、搜尋)	QueryViewerService、SearchService	Query Viewers: Inspect、Query Viewers: Execute	Read和Execute：指定查詢檢視者
動作	取得報表動作	ReportService	Reports: Inspect、Reports: Execute	Read和Execute指定目標報表
動作	列出資源動作	ActiveListService、CaseService、QueryViewerService、ReportService	每種已啟用資源類型的Inspect權限	目標資源資料夾的 Read

設定工作流程

請按照這個多階段工作流程，在 ArcSight ESM 中佈建權限，並在 Google SecOps 中啟用所選元件。

請按照下列順序完成設定步驟：

1. ArcSight 服務帳戶和群組佈建：在 ArcSight ESM 中建立專屬服務使用者、建立專屬使用者群組、將服務使用者指派給群組，並套用事件篩選器來定義資料瀏覽權限，詳情請參閱 ArcSight ESM 管理員指南。

2. 指派所選元件的權限和 ACL：交叉比對您規劃的連接器、工作和動作與元件權限對應表，將對應的作業權限授予使用者群組，並在 ArcSight ESM 控制台使用者指南中，指派特定目標資源資料夾的物件層級 ACL (例如有效清單上的 Read/Write 或報表上的 Read/Execute)。

3. 在 Google SecOps 中設定：按照下列各節所述，在 Google SecOps 中設定基本整合、擷取連接器、排定的工作和應對手冊動作。

整合參數

請使用下列參數設定整合：

參數名稱	類型	預設值	為必填	說明
執行個體名稱	字串	不適用	否	要設定整合項目的執行個體名稱。
說明	字串	不適用	否	執行個體的說明。
API 根層級	字串	https://{IP}:{PORT}	是	ArcSight 執行個體的伺服器位址。
使用者名稱	字串	不適用	是	ArcSight 帳戶的使用者名稱。
密碼	密碼	不適用	是	ArcSight 帳戶的密碼。
遠端執行	核取方塊	已取消勾選	否	勾選這個欄位，即可從遠端執行設定的整合項目。勾選後，系統會顯示選取遠端使用者 (代理) 的選項。

如要瞭解如何在 Google SecOps 中設定整合功能，請參閱「設定整合功能」。

如有需要，您可以在後續階段進行變更。設定整合執行個體後，即可在應對手冊中使用。如要進一步瞭解如何設定及支援多個執行個體，請參閱「支援多個執行個體」。

動作

如要進一步瞭解動作，請參閱「 在工作區回應待處理動作」和「在案件中執行手動動作」。

將項目新增至有效清單

提供機制，除了報表外，還能從趨勢中取得資訊。由趨勢更新的有效清單支援多個趨勢資訊的摘要檢視。

參數

參數名稱	類型	預設值	為必填	說明
資料欄	字串	不適用	是	範例：Message;Username
實體	字串	不適用	是	範例：test1|Me1;Test|Me2
Active List UUID	字串	不適用	是	範例：HCN75QGABABCZXCOdT9P51w==

執行日期

這項操作會對所有實體執行。

動作結果

這項操作可能會有下列結果。

指令碼執行結果

指令碼結果名稱	值選項	範例
is_succeed	True 或 False	is_succeed:False

變更案件階段

變更案件階段。有效階段為 INITIAL、QUEUED、CLOSED、FINAL 和 FOLLOW_UP。

參數

參數名稱	類型	預設值	為必填	說明
案件名稱	字串	不適用	是	要更新的案件名稱。
階段	字串	不適用	是	案件階段。範例：CLOSED、INITIAL

執行日期

這項操作會對所有實體執行。

動作結果

這項操作可能會有下列結果。

指令碼執行結果

指令碼結果名稱	值選項	範例
成功	True 或 False	success:False

取得活動清單項目

擷取 ArcSight 作用中清單項目，並傳回 CSV 輸出內容。

參數

參數名稱	類型	預設值	為必填	說明
有效清單 UUID	字串	不適用	是	範例：HTcILQWABABCr553ieI0Xmw==

執行日期

這項操作會對所有實體執行。

動作結果

這項操作可能會有下列結果。

指令碼執行結果

指令碼結果名稱	值選項	範例
Success_Indicator	不適用	不適用

JSON 結果

[
"12346e4d96f0a72c42015d69aaf0e8ab ,
 file.txt",
 "0e0776034e5e096704cd28cbd40cdbb5 ,
 Test.config"
]

取得查詢結果

依據查詢 ID 取得查詢結果。查詢可做為報表的主要資料來源，或做為另一個查詢的資料來源，進一步精細調整初始查詢結果。

參數

參數名稱	類型	預設值	為必填	說明
查詢 ID	字串	不適用	是	查詢 ID。
要傳回的項目數量上限	整數	100	否	指定要在回應中傳回的項目數量。

應用實例

新增要傳回的結果數量限制。

執行日期

這項操作會對所有實體執行。

動作結果

這項操作可能會有下列結果。

指令碼執行結果

指令碼結果名稱	值選項	範例
成功	True 或 False	success:False

JSON 結果

[
    {
        "Target User Name": "user",
        "Attacker Address": "192.0.2.1",
        "External ID": "127",
        "Name": "A Kerberos authentication ticket (TGT) was requested.",
        "Target Address": "192.0.2.1"
    },{
        "Target User Name": "user",
        "Attacker Address": "192.0.2.1",
        "External ID": "127",
        "Name": "A Kerberos authentication ticket (TGT) was requested.",
        "Target Address": "192.0.2.1"
    }
]

取得報告

取得含有動態欄位的報表。報表是 ArcSight 資源，可將查詢或趨勢中的資料繫結至現有報表範本。報表執行後，您可以在 ArcSight 控制台的檢視器面板中查看結果、儲存 (封存) 或匯出為多種格式。您可以排定定期執行報表，也可以視需要隨選執行報表。

參數

參數名稱	類型	預設值	為必填	說明
檢舉完整路徑 (URI)	字串	不適用	是	相關報表 URI。
欄位 2	字串	不適用	否	查詢的動態欄位，用於產生報表。
欄位 3	字串	不適用	否	查詢的動態欄位，用於產生報表。
欄位 4	字串	不適用	否	查詢的動態欄位，用於產生報表。
欄位 6	字串	不適用	否	查詢的動態欄位，用於產生報表。
欄位 6	字串	不適用	否	查詢的動態欄位，用於產生報表。
欄位 7	字串	不適用	否	查詢的動態欄位，用於產生報表。
欄位 8	字串	不適用	否	查詢的動態欄位，用於產生報表。
欄位 9	字串	不適用	否	查詢的動態欄位，用於產生報表。
欄位 10	字串	不適用	否	查詢的動態欄位，用於產生報表。

執行日期

這項操作會對所有實體執行。

動作結果

這項操作可能會有下列結果。

指令碼執行結果

指令碼結果名稱	值選項	範例
json_report	不適用	不適用

值是否在 Activelist 欄中

檢查特定值是否在有效清單中。

參數

參數名稱	類型	預設值	為必填	說明
有效清單 UUID	字串	不適用	是	Active list uuid. 範例：cuser。
資料欄名稱	字串	不適用	是	資料欄的名稱。例如：sourceUserName。

執行日期

這項操作會對所有實體執行。

動作結果

這項操作可能會有下列結果。

指令碼執行結果

指令碼結果名稱	值選項	範例
Success_Indicator	不適用	不適用

乒乓

測試連線。

參數

無

執行日期

這項操作會對所有實體執行。

動作結果

這項操作可能會有下列結果。

指令碼執行結果

指令碼結果名稱	值選項	範例
is_succeed	True 或 False	is_succeed:False

搜尋

您可以從控制台事件管道，在 ArcSight Command Center 啟動搜尋。「事件完成搜尋」會尋找儲存在多個欄位 (例如 abc) 的相關聯屬性。搜尋事件時，系統會搜尋儲存在指定欄位 (例如僅限名稱欄位) 中的值 (例如 abc)。

參數

參數名稱	類型	預設值	為必填	說明
搜尋查詢	字串	不適用	是	搜尋查詢。
要傳回的項目數量上限	整數	100	否	指定要在回應中傳回的項目數量。

應用實例

新增要傳回的結果數量限制。

執行日期

這項操作會對所有實體執行。

動作結果

這項操作可能會有下列結果。

指令碼執行結果

指令碼結果名稱	值選項	範例
成功	True 或 False	success:False

JSON 結果

[
    {
        "score": 1.2440307,
        "uuid": "UUID",
        "uri": "/All_Fields/ArcSight_Foundation/Variables_Library/IPv6/Attacker_IPv6_Address",
        "name": "Attacker IPv6 Address"
    }, {
        "score": 1.2440307,
        "uuid": "UUID",
        "uri": "/All_Fields/ArcSight_Foundation/Variables_Library/IPv6/Attacker_IPv6_Address",
        "name": "Attacker IPv6 Address"
    }
]

連接器

如要進一步瞭解如何在 Google SecOps 中設定連接器，請參閱「擷取資料 (連接器)」。

注意：為避免資料遺失，連接器會使用事件扁平化。如果原始快訊包含實體清單 (例如多個電子郵件地址、主機名稱或 IP 位址)，連接器會自動將這些實體扁平化為獨立的專屬事件。

舉例來說，如果單一原始警告包含三個不同的電子郵件地址，系統會擷取為三個獨立事件，每個事件包含一個不重複的電子郵件地址。

這項程序可確保每個實體都正確建立索引，成為不重複的資產，以便在應對手冊中完整搜尋及執行動作。

Arcsight ESM 連接器

本指南適用於 ArcSight ESM 6.9.1 以上版本。

ESM 規則或案件轉送至 Google SecOps

使用觸發規則/關聯

您必須設定 ArcSight ESM，將最新的關聯物件轉送至 Google SecOps，同時設定 Google SecOps，在 ArcSight ESM 上做為 SIEM 供應商，並透過授權使用者提供 ArcSight ESM 的 API 存取權。

這項功能可讓 Google SecOps 近乎即時地擷取 ArcSight ESM 中任何觸發的規則，並轉送這些規則，以便翻譯及情境化為案件快訊。

Google SecOps 與 ArcSight ESM 之間的資料流程

Google SecOps 會自動建立索引，並為轉送至 Google SecOps 的關聯提供背景資訊，這些關聯是透過 ArcSight Forwarding Connector 模組和 API 存取權在 ArcSight ESM 中觸發。

連接器嚴重性優先順序

連接器會根據下列優先順序值指派嚴重性：

• 1 和 2：極低
• 3 和 4 - 低
• 5 和 6 - 中
• 7 和 8 - 高
• 9 和 10 - 重要

連接器輸入

使用下列參數設定連接器：

參數名稱	類型	預設值	為必填	說明
環境	DDL	不適用	是	選取所需環境，例如「Customer One」。 如果警告的「環境」欄位空白，警告就會插入此環境。
執行頻率	整數	0:0:0:10	否	選取執行連結的時間。
產品欄位名稱	字串	device_product	否	儲存產品名稱的欄位名稱。 預設值為 device_product。 產品名稱主要會影響對應。為簡化及改善連接器的對應程序，預設值 device_product 會解析為程式碼參照的備用值。如果這個參數的輸入值無效，預設會解析為備用值。
事件欄位名稱	字串	名稱	否	用於判斷事件名稱 (子類型) 的欄位名稱。
指令碼逾時 (秒)	字串	500	否	執行目前指令碼的 Python 程序逾時限制 (以秒為單位)。
伺服器位址	字串	不適用	是	https://{IP}:{PORT}
使用者名稱	字串	不適用	是	ArcSight 帳戶的使用者名稱。
密碼	密碼	不適用	是	ArcSight 帳戶的密碼。
事件數量限制	整數	15	是	輸入每個關聯要擷取的事件數量上限。限制事件數量，例如 10。
案件資料夾路徑	字串	I:\SiemShare\CorrelationSource	是	案件檔案的位置，例如 I:\SiemShare\CorrelationSource 注意：案件資料夾路徑參數可能會因客戶而異。 完整路徑。範例：C:\Desktop\CorrelationSource
快訊數量限制	整數	10	是	每個連接器週期要處理的快訊數量上限，例如 10。
環境欄位名稱	字串	event.customerURI	是	要取得案件環境的欄位名稱，例如 event.customerUri。
次要裝置產品欄位	字串	不適用	否	將原始產品欄位 (來自連接器的 DeviceProductField) 替換為次要產品欄位的值。範例：CustomDeviceString2
警告自訂欄位名稱	字串	不適用	否	將 ArcSight 的自訂欄位值提取至快訊，例如 baseEventCount、agent_address、device_assetId。
已完成檔案保留天數	整數	3	是	每個 DONE CSV 檔案的保留天數。
錯誤檔案保留天數	整數	14	是	每個錯誤 CSV 檔案的保留天數。
Proxy 伺服器位址	字串	不適用	否	要使用的 Proxy 伺服器位址。
Proxy 使用者名稱	字串	不適用	否	用於驗證的 Proxy 使用者名稱。
Proxy 密碼	密碼	不適用	否	用於驗證的 Proxy 密碼。

連接器規則

連接器支援 Proxy。

ArcSight - 安全性事件連接器

從 ArcSight 提取關聯。這個連接器適用於 Google SecOps 的 SaaS 部署，建議用於正式環境。

注意： 動態清單會與 name 參數搭配運作。

必須完成必要步驟，才能使用這個連接器。

連接器輸入

使用下列參數設定連接器：

參數顯示名稱	類型	預設值	為必填	說明
產品欄位名稱	字串	類型	是	儲存產品名稱的欄位名稱。 預設值為 type。 產品名稱主要會影響對應。為簡化及改善連接器的對應程序，預設值 type 會解析為程式碼參照的備用值。根據預設，這個參數的任何無效輸入值都會解析為備用值。
事件欄位名稱	字串	名稱	是	決定事件名稱 (子類型) 的欄位名稱。
環境欄位名稱	字串	""	否	儲存環境名稱的欄位名稱。 如果缺少環境欄位，連接器會使用預設值。
Environment Regex Pattern	字串	.*	FALSE	否	規則運算式模式，用於對 Environment Field Name 欄位中的值執行。這個參數可讓您使用規則運算式邏輯，操控環境欄位。 使用預設值 .* 擷取必要的原始 Environment Field Name 值。 如果規則運算式模式為空值或空白，或環境值為空值，則最終環境結果為預設環境。
指令碼逾時 (秒)	整數	360	是	執行目前指令碼的 Python 程序逾時限制 (以秒為單位)。
API 根層級	字串	https://{ip}	是	ArcSight 執行個體的 API 根目錄。
使用者名稱	字串	不適用	是	ArcSight 帳戶的使用者名稱。
密碼	密碼	不適用	是	ArcSight 帳戶的密碼。
報告名稱	字串	不適用	是	用來擷取事件的報表名稱。
擷取基礎事件	核取方塊	已勾選	是	啟用後，連接器也會擷取基本事件。
擷取優先順序最低	整數	不適用	否	用於擷取事件的最低優先順序。可能的值介於 1 到 10 之間。如未提供，系統會擷取所有事件。
要擷取的事件數量上限	整數	100	否	每次連接器疊代要處理的警告數量。上限為 1000。
將動態清單當做封鎖清單使用	核取方塊	已勾選	是	如果選取，連接器會將動態清單做為封鎖清單。
驗證 SSL	核取方塊	已取消勾選	是	如果選取這個選項，整合功能會在連線至 ArcSight 伺服器時驗證 SSL 憑證。
Proxy 伺服器位址	字串	不適用	否	要使用的 Proxy 伺服器位址。
Proxy 使用者名稱	字串	不適用	否	用於驗證的 Proxy 使用者名稱。
Proxy 密碼	密碼		否	用於驗證的 Proxy 密碼。

連接器規則

連接器支援 Proxy。

工作

如要進一步瞭解工作，請參閱「 設定新工作」和「 進階排程」。

關閉案件

工作需要下列參數：

參數名稱	類型	預設值	為必填	說明
伺服器位址	字串	192.0.2.1	是	不適用
使用者名稱	字串	不適用	是	不適用
密碼	密碼	不適用	是	不適用

還有其他問題嗎？向社群成員和 Google SecOps 專業人員尋求解答。