Segui Come si esporta da ArcSight dipende da quale parte di esso contiene i dati. Per la cronologia, cerca in ArcSight Logger ed esporta i risultati. Per un percorso ripetibile, inoltra gli eventi dal Logger o da uno SmartConnector a un raccoglitore syslog come CEF, ed esporta il file del raccoglitore. Una cosa determina quanto sia utile qualsiasi esportazione: l’evento grezzo originale viene mantenuto solo se i tuoi SmartConnectors sono stati configurati per preservarlo.
OpenText ArcSight funziona nei grandi SOC da lungo tempo, il che significa che spesso contiene anni di cronologia che nessun altro ha. Prime Core ha 21.311 regole di rilevamento per ArcSight, mappate a 664 tecniche MITRE ATT&CK. Di seguito è illustrato come estrarre eventi, sanificarli e indagarli gratuitamente in LogTotal.
Prima di iniziare
Quale ArcSight? Logger memorizza e ricerca eventi. ESM li correla. Recon è il più recente livello di ricerca e analisi. Per un’esportazione massiva, Logger è di solito il posto giusto.
L’evento grezzo è presente? Gli SmartConnectors normalizzano gli eventi in campi CEF. Mantengono il testo originale solo con la conservazione dell’evento grezzo attivata. Se era disattivata, puoi esportare gli eventi CEF normalizzati, ma non le righe originali.
Diritti e conservazione. Ti serve un utente Logger che possa cercare nei gruppi di storage coinvolti, e i dati devono ancora essere all’interno della conservazione di Logger.
Opzione 1: ricerca in Logger ed esportazione
- In Logger, apri Cerca, imposta l’intervallo di tempo e scrivi la query usando i nomi dei campi CEF, per esempio destinationHostName = “web-03” E deviceVendor = “Unix”.
- Eseguilo e controlla il conteggio.
- Esporta i risultati.
Opzione 2: Inoltro CEF a un raccoglitore syslog
Configura un piccolo raccoglitore Linux con rsyslog in ascolto su UDP o TCP 514. Quindi punta un forwarder Logger o una destinazione SmartConnector ad esso, in CEF su syslog. I forwarder Logger possono anche inviare un intervallo di tempo passato come unico. Quindi ritaglia la finestra di cui hai bisogno dal file del raccoglitore:
grep 'web-03' /var/log/arcsight/cef.log > arcsight_web03.log
Ogni riga è un record CEF: un’intestazione con venditore, prodotto e nome evento, poi estensioni key=value. Se la preservazione dell’evento grezzo era attiva, il testo originale si trova nel campo rawEvent.
Opzione 3: Logger REST API
Logger ha anche una REST API per eseguire il login e le ricerche, che è adatta per esportazioni scriptate.
Carica, sanifica e rivedi in LogTotal
- Carica. Apri logtotal.com e carica il file.
- Sanifica. Esamina prima di procedere.
- Revisione.
Come si presenta sui dati reali.
Quando va male
| Sintomo | Probabile causa | Fix |
|---|---|---|
| Nessun testo di log originale nell’esportazione | La preservazione dell’evento grezzo era disattivata nello SmartConnector | Esporta CEF normalizzato; attiva la preservazione per il futuro |
| La ricerca non trova nulla | Gruppo di storage errato o fuori dalla conservazione | Controlla gruppi di storage e conservazione |
| Il raccoglitore non riceve nulla | Firewall, porta o protocollo errato | Controlla ogni passaggio; tcpdump -n port 514 sul raccoglitore |
| Le righe CEF lunghe vengono tagliate | Limiti di dimensione dei messaggi UDP | Usa syslog TCP |
FAQ
Posso esportare da ESM invece?
I canali attivi di ESM possono esportare, ma ESM contiene dati correlati e filtrati. Per una cronologia completa, Logger è la fonte migliore.
CEF è sufficientemente buono senza l’evento grezzo?
Per molte rilevazioni, sì: CEF mantiene i campi chiave. Perdi i campi che il connettore non ha mappato e la formulazione esatta originale.
