Suivre La façon dont vous exportez à partir d’ArcSight dépend de la partie de celui-ci qui contient les données. Pour l’historique, recherchez dans ArcSight Logger et exportez les résultats. Pour un chemin répétable, transférez les événements du Logger ou d’un SmartConnector vers un collecteur syslog en tant que CEF, et exportez le fichier du collecteur. Une chose détermine l’utilité de toute exportation : l’événement brut original est conservé uniquement si vos SmartConnectors ont été configurés pour le préserver.
OpenText ArcSight fonctionne dans de grands SOCs depuis longtemps, ce qui signifie qu’il contient souvent des années d’historique que personne d’autre n’a. Prime Core a 21 311 règles de détection pour ArcSight, cartographiées sur 664 techniques MITRE ATT&CK. Voici comment extraire des événements, les nettoyer et les analyser gratuitement dans LogTotal.
Avant de commencer
Quel ArcSight ? Logger stocke et recherche les événements. ESM les corrèle. Recon est la nouvelle couche de recherche et d’analyse. Pour l’exportation en masse, Logger est généralement le bon endroit.
L’événement brut est-il présent ? Les SmartConnectors normalisent les événements dans les champs CEF. Ils conservent le texte original uniquement avec la préservation de l’événement brut activée. Si elle était désactivée, vous pouvez exporter les événements CEF normalisés, mais pas les lignes originales.
Droits et rétention. Vous avez besoin d’un utilisateur Logger qui peut rechercher les groupes de stockage impliqués, et les données doivent encore être dans la période de rétention de Logger.
Option 1 : Recherche et exportation Logger
- Dans Logger, ouvrez Rechercher, définissez la plage de temps et rédigez la requête en utilisant des noms de champs CEF, par exemple destinationHostName = « web-03 » AND deviceVendor = « Unix ».
- Exécutez-la et vérifiez le nombre.
- Exportez les résultats.
Option 2 : Transférer CEF vers un collecteur syslog
Configurez un petit collecteur Linux avec rsyslog à l’écoute sur UDP ou TCP 514. Ensuite, pointez un transmetteur Logger ou une destination SmartConnector vers celui-ci, en CEF sur syslog. Les transmetteurs Logger peuvent également envoyer une plage de temps passée en tant qu’opération unique. Ensuite, coupez la fenêtre dont vous avez besoin du fichier du collecteur :
grep 'web-03' /var/log/arcsight/cef.log > arcsight_web03.log
Chaque ligne est un enregistrement CEF : un en-tête avec le fournisseur, le produit et le nom de l’événement, puis des extensions key=value. Si la préservation de l’événement brut était activée, le texte original se trouve dans le champ rawEvent.
Option 3 : API REST Logger
Logger dispose également d’une API REST pour se connecter et exécuter des recherches, ce qui convient aux exportations scriptées.
Télécharger, nettoyer et examiner dans LogTotal
- Télécharger. Ouvrez logtotal.com et déposez le fichier.
- Nettoyer. Regardez-le avant de continuer.
- Examiner.
À quoi cela ressemble sur des données réelles.
Quand ça tourne mal
| Symptôme | Cause probable | Fix |
|---|---|---|
| Pas de texte de journal original dans l’exportation | La préservation de l’événement brut était désactivée sur le SmartConnector | Exporter les CEF normalisés ; activez la préservation pour l’avenir |
| La recherche ne trouve rien | Mauvais groupe de stockage, ou en dehors de la rétention | Vérifiez les groupes de stockage et la rétention |
| Le collecteur ne reçoit rien | Pare-feu, mauvais port ou protocole | Vérifiez chaque saut ; tcpdump -n port 514 sur le collecteur |
| Lignes CEF longues tronquées | Limites de taille des messages UDP | Utilisez le syslog TCP |
FAQ
Puis-je exporter depuis ESM à la place ?
Les canaux actifs ESM peuvent être exportés, mais l’ESM contient des données corrélées et filtrées. Pour l’historique complet, Logger est la meilleure source.
Le CEF est-il suffisamment bon sans l’événement brut ?
Pour de nombreuses détections, oui : le CEF conserve les champs clés. Vous perdez les champs que le connecteur n’a pas mappés, et le mot exact de l’original.
