フォローする ArcSightからのエクスポート方法は、データがどの部分に保存されているかによります。履歴の場合、ArcSight Loggerで検索し、その結果をエクスポートします。繰り返し可能なルートの場合、LoggerやSmartConnectorからイベントをCEFとしてsyslogコレクタに転送し、コレクタのファイルをエクスポートします。エクスポートがどれほど有用であるかを決定する要因は一つ：元の未処理イベントは、SmartConnectorsがそれを保持するように設定されていた場合にのみ保存されています。
OpenText ArcSightは長年にわたり大規模なSOCで稼働しており、そのため他の誰も持っていない年の歴史をしばしば保持しています。Prime Coreには、MITRE ATT&CK技術の664にマップされたArcSight用の21,311の検出規則があります。以下に、イベントを取得し、無料でLogTotalでそれらを消毒し調査する方法を示します。
始める前に
どのArcSight？ Loggerはイベントを保存し検索します。ESMはそれらを相関させます。Reconは新しい検索と分析レイヤーです。大量エクスポートには通常Loggerが適しています。
元のイベントはそこにありますか？ SmartConnectorsはイベントをCEFフィールドに正規化します。元のテキストは未処理イベントの保持がオンになっている場合にのみ保持されます。それがオフになっていた場合、正規化されたCEFイベントをエクスポートすることはできますが、元の行をエクスポートすることはできません。
権利と保持。 検索に関与するストレージグループを検索できるLoggerユーザーが必要であり、データはLoggerの保持内にある必要があります。
オプション1: Loggerで検索とエクスポート
- Loggerを開き、 検索を実行し、時間範囲を設定し、例えばdestinationHostName = “web-03” AND deviceVendor = “Unix”のようにCEFフィールド名を使用してクエリを記述します。
- それを実行して、カウントを確認します。
- 結果をエクスポートします。
オプション2: CEFをsyslogコレクタに転送
rsyslogを使ってUDPまたはTCP 514でリッスンする小さなLinuxコレクタをセットアップします。それからLoggerフォワーダーまたはSmartConnectorの宛先を、syslog経由でCEFでそれに向けます。Loggerフォワーダーは過去の時間範囲を一度だけ送信することもできます。次に必要なウィンドウをコレクタのファイルから切り取ります：
grep 'web-03' /var/log/arcsight/cef.log > arcsight_web03.log
各行はCEFレコードです：ベンダー、製品、イベント名のヘッダー、次にkey=valueの拡張子です。未処理イベントの保持がオンになっている場合、元のテキストはrawEventフィールドにあります。
オプション3: Logger REST API
Loggerにはログインして検索を実行するためのREST APIもあり、スクリプトによるエクスポートに適しています。
LogTotalでアップロード、消毒、レビュー
- アップロード。 開く logtotal.com ファイルをドロップします。
- 消毒。 続行する前に確認してください。
- レビュー。
実際のデータでこれがどのように見えるか。
問題が発生したとき
| 症状 | 考えられる原因 | Fix |
|---|---|---|
| エクスポートに元のログテキストがない | SmartConnectorで生のイベント保存がオフになっていた | 正規化されたCEFをエクスポートし、将来のために保存をオンにします |
| 検索に何も見つからない | 誤ったストレージグループ、または保持を超えている | ストレージグループと保持を確認 |
| コレクタが何も受信しない | ファイアウォール、誤ったポートまたはプロトコル | 各ホップをチェック；コレクタ上でtcpdump -n port 514 |
| 長いCEF行が切断される | UDPメッセージサイズの制限 | TCP syslogを使用 |
FAQ
ESMからもエクスポートできますか？
ESMアクティブチャンネルはエクスポートできますが、ESMは相関されたフィルタデータを保持しています。完全な履歴については、Loggerがより適したソースです。
未処理イベントなしでCEFは十分か？
多くの検出には、はい：CEFはキーとなるフィールドを保持します。コネクタがマッピングしていないフィールドや、正確な元の言葉が失われます。
