Стежити Як ви експортуєте з ArcSight залежить від того, яка частина системи містить дані. Для історії, пошукайте в ArcSight Logger і експортуйте результати. Для рутинного маршруту, пересилайте події з Logger або SmartConnector на syslog колектор як CEF і експортуйте файл колектора. Одна річ, яка вирішує, наскільки корисний будь-який експорт: оригінальна сира подія зберігається лише в тому випадку, якщо ваші SmartConnectors були налаштовані зберігати її.
OpenText ArcSight працює у великих СОЦ тривалий час, що означає, що він часто містить роки історії, якої ні в кого іншого нема. Prime Core має 21,311 правил виявлення для ArcSight, які відображаються на 664 техніки MITRE ATT&CK. Нижче описано, як отримати події, очистити їх та безкоштовно досліджувати в LogTotal.
Перед тим як почати
Який ArcSight? Logger зберігає та шукає події. ESM корелює їх. Recon — це новий пошуковий та аналітичний шар. Для масового експорту, Logger зазвичай підходить найкраще.
Чи є сира подія? SmartConnectors нормалізують події в поля CEF. Вони зберігають оригінальний текст лише тоді, коли увімкнено збереження сирої події. Якщо не увімкнено, ви можете експортувати нормалізовані CEF події, але не оригінальні рядки.
Права та збереження. Вам потрібен користувач Logger, який може шукати групи зберігання, а дані мають все ще бути в межах збереження Logger.
Опція 1: Пошук в Logger та експорт
- В Logger відкрийте Пошук, встановіть діапазон часу та напишіть запит, використовуючи імена полів CEF, наприклад destinationHostName = “web-03” AND deviceVendor = “Unix”.
- Запустіть і перевірте кількість.
- Експортуйте результати.
Опція 2: Пересилка CEF на syslog колектор
Налаштуйте невеликий Linux колектор з rsyslog, що слухає UDP або TCP 514. Потім налаштуйте призначення пересилання Logger або SmartConnector на нього через CEF через syslog. ПЕРЕСИЛКА Logger також може відправити діапазон часу як одноразову операцію. Потім вирізайте потрібне вікно з файлу колектора:
grep 'web-03' /var/log/arcsight/cef.log > arcsight_web03.log
Кожен рядок є записом CEF: заголовок з вендором, продуктом та назвою події, потім ключ=значення розширення. Якщо збереження сирої події було увімкнено, оригінальний текст знаходиться в полі rawEvent.
Опція 3: REST API для Logger
У Logger також є REST API для входу та запуску пошуків, що підходить для скриптового експорту.
Завантаження, очистка та огляд в LogTotal
- Завантажити. Відкрити logtotal.com та перетягнути файл.
- Очистити. Огляньте його перед продовженням.
- Огляд.
Що це виглядає на реальних даних.
Коли щось йде не так
| Симптом | Можлива причина | Fix |
|---|---|---|
| Немає оригінального тексту логу в експорті | Збереження сирої події було вимкнено на SmartConnector | Експортуйте нормалізований CEF; увімкніть збереження на майбутнє |
| Пошук нічого не знаходить | Неправильна група зберігання або поза збереженням | Перевірте групи зберігання та збереження |
| Колектор нічого не отримує | Брандмауер, неправильний порт або протокол | Перевірте кожен хоп; tcpdump -n port 514 на колекторі |
| Довгі рядки CEF урізані | Обмеження розміру повідомлень UDP | Використовуйте TCP syslog |
FAQ
Чи можу я експортувати з ESM?
ESM активні канали можуть експортувати, але ESM містить корельовані та відфільтровані дані. Для повної історії, Logger є кращим джерелом.
Чи CEF достатньо без сирої події?
Для багатьох виявлень, так: CEF зберігає ключові поля. Ви втрачаєте поля, які коннектор не відобразив, та точне оригінальне формулювання.
