Seguir Cómo exportar desde ArcSight depende de qué parte de él contiene los datos. Para el historial, busca en ArcSight Logger y exporta los resultados. Para una ruta repetible, reenvía eventos desde Logger o un SmartConnector a un colector syslog como CEF y exporta el archivo del colector. Una cosa decide qué tan útil es cualquier exportación: el evento bruto original solo se conserva si tus SmartConnectors fueron configurados para preservarlo.
OpenText ArcSight ha estado funcionando en grandes SOC durante mucho tiempo, lo que significa que a menudo contiene años de historia que nadie más tiene. Prime Core tiene 21,311 reglas de detección para ArcSight, mapeadas a 664 técnicas MITRE ATT&CK. A continuación se muestra cómo extraer eventos, sanitizarlos e investigarlos gratuitamente en LogTotal.
Antes de empezar
¿Cuál ArcSight? Logger almacena y busca eventos. ESM los correlaciona. Recon es la capa más nueva de búsqueda y análisis. Para exportaciones masivas, Logger suele ser el lugar indicado.
¿Está el evento bruto allí? Los SmartConnectors normalizan eventos en campos CEF. Solo mantienen el texto original con la preservación del evento bruto activada. Si estaba desactivada, puedes exportar los eventos CEF normalizados, pero no las líneas originales.
Derechos y retención. Necesitas un usuario de Logger que pueda buscar en los grupos de almacenamiento involucrados, y los datos aún deben estar dentro de la retención de Logger.
Opción 1: Búsqueda y exportación de Logger
- En Logger, abre Buscar, establece el rango de tiempo y escribe la consulta utilizando nombres de campos CEF, por ejemplo destinationHostName = «web-03» AND deviceVendor = «Unix».
- Ejecuta y verifica el recuento.
- Exporta los resultados.
Opción 2: Reenviar CEF a un colector syslog
Configura un pequeño colector Linux con rsyslog escuchando en UDP o TCP 514. Luego apunta un reenvío de Logger o un destino de SmartConnector a él, en CEF sobre syslog. Los reenvíos de Logger también pueden enviar un rango de tiempo pasado como una sola vez. Luego recorta la ventana que necesitas del archivo del colector:
grep 'web-03' /var/log/arcsight/cef.log > arcsight_web03.log
Cada línea es un registro CEF: un encabezado con proveedor, producto y nombre del evento, luego extensiones key=value. Si la preservación del evento bruto estaba activada, el texto original se encuentra en el campo rawEvent.
Opción 3: API REST de Logger
Logger también tiene una API REST para iniciar sesión y ejecutar búsquedas, lo que es adecuado para exportaciones automatizadas.
Sube, sanitiza y revisa en LogTotal
- Subir. Abre logtotal.com y carga el archivo.
- Sanear. Revísalo antes de continuar.
- Revisar.
Cómo se ve esto con datos reales.
Cuando sale mal
| Síntoma | Causa probable | Fix |
|---|---|---|
| No hay texto original del log en la exportación | La preservación del evento bruto estaba desactivada en el SmartConnector | Exporta CEF normalizado; activa la preservación para el futuro |
| La búsqueda no encuentra nada | Grupo de almacenamiento incorrecto, o fuera de retención | Verifica grupos de almacenamiento y retención |
| El colector no recibe nada | Cortafuegos, puerto o protocolo incorrecto | Verifica cada salto; tcpdump -n port 514 en el colector |
| Líneas CEF largas cortadas | Límites de tamaño de mensaje UDP | Usa syslog TCP |
FAQ
¿Puedo exportar desde ESM en su lugar?
Los canales activos de ESM pueden exportar, pero ESM contiene datos correlacionados y filtrados. Para el historial completo, Logger es la mejor fuente.
¿Es CEF suficiente sin el evento bruto?
Para muchas detecciones, sí: CEF conserva los campos clave. Pierdes campos que el conector no mapeó y el texto original exacto.
