ArcSight 로그 내보내기 방법

ArcSight에서 데이터를 내보내는 방법은 데이터를 보유하고 있는 부분에 따라 다릅니다. 기록의 경우 ArcSight Logger에서 검색하고 결과를 내보내십시오. 반복 가능한 경로의 경우, Logger 또는 SmartConnector에서 CEF로 syslog 수집기로 이벤트를 전달하고 수집기의 파일을 내보내십시오. 어떠한 내보내기가 유용한지를 결정하는 한 가지는 원본 이벤트가 유지되는지입니다. SmartConnectors가 원본 이벤트를 유지하도록 구성되어 있지 않으면 보존되지 않습니다.

OpenText ArcSight는 오랫동안 대형 SOC에서 운영되어 왔으며, 이는 종종 다른 곳에서는 찾을 수 없는 수년간의 기록을 보유하고 있음을 의미합니다. Prime Core는 ArcSight에 대해 21,311개의 탐지 규칙을 보유하고 있으며, 664개의 MITRE ATT&CK 기술에 매핑되어 있습니다. 아래는 이벤트를 추출하고, 정리하고, LogTotal에서 무료로 조사하는 방법입니다.

무료로 시작하기

시작하기 전에

어느 ArcSight? Logger는 이벤트를 저장하고 검색합니다. ESM은 이를 상관합니다. Recon은 최신 검색 및 분석 계층입니다. 대량 내보내기의 경우, Logger가 보통 적절한 장소입니다.

원본 이벤트가 있습니까? SmartConnectors는 이벤트를 CEF 필드로 정규화합니다. 원본 텍스트는 원본 이벤트 보존이 켜져 있을 때만 유지합니다. 꺼져 있었다면, 정규화된 CEF 이벤트는 내보낼 수 있지만, 원본 라인은 내보낼 수 없습니다.

권한 및 보존. 관련된 저장 그룹을 검색할 수 있는 Logger 사용자가 필요하며, 데이터는 Logger의 보존 내에 있어야 합니다.

옵션 1: Logger 검색 및 내보내기

1. Logger에서 검색을 열고, 시간 범위를 설정하고 CEF 필드 명을 사용하여 쿼리를 작성합니다. 예: destinationHostName = “web-03” AND deviceVendor = “Unix”.
2. 실행하고 수를 확인하십시오.
3. 결과를 내보내십시오. 

옵션 2: CEF를 syslog 수집기로 전달

UDP 또는 TCP 514에서 수신하는 rsyslog가 있는 작은 Linux 수집기를 설정하십시오. 그런 다음 Logger 전달기 또는 SmartConnector 대상으로 CEF를 syslog를 통해 포인트합니다. Logger 전달기는 과거 시간 범위를 일회성으로 보낼 수도 있습니다. 그런 다음 수집기의 파일에서 필요한 창을 잘라냅니다:

grep 'web-03' /var/log/arcsight/cef.log > arcsight_web03.log

각 줄은 CEF 기록입니다: 벤더, 제품 및 이벤트 이름이 있는 헤더, 그 다음에 key=value 확장입니다. 원본 이벤트 보존이 켜져 있었다면, 원본 텍스트는 rawEvent 필드에 있습니다.

옵션 3: Logger REST API

Logger는 로그인 및 검색 실행을 위한 REST API도 제공하며, 스크립트를 통한 내보내기에 적합합니다.

LogTotal에서 업로드, 정리 및 검토

1. 업로드. 열기 logtotal.com 에 파일을 업로드하세요.
2. 정리. 계속하기 전에 검토하십시오.
3. 검토. 

실제 데이터에서 이것이 어떻게 보이는지.

문제가 발생했을 때