Śledź Sposób eksportu z ArcSight zależy od tego, która jego część przechowuje dane. W przypadku historii, wyszukaj w ArcSight Logger i eksportuj wyniki. Dla powtarzalnej trasy, przekieruj zdarzenia z Loggera lub SmartConnectora do zbieracza syslog jako CEF i eksportuj plik zbieracza. Jedna rzecz decyduje o przydatności jakiegokolwiek eksportu: oryginalne zdarzenie surowe jest zachowane tylko, jeśli Twoje SmartConnectors były skonfigurowane do jego zachowania.
OpenText ArcSight działa w dużych SOC-ach od dłuższego czasu, co oznacza, że często zawiera lata historii, której nikt inny nie ma. Prime Core ma 21,311 reguł detekcji dla ArcSight, przypisanych do 664 technik MITRE ATT&CK. Poniżej przedstawiono sposób, jak wydobyć zdarzenia, zanonimizować je i zbadać za darmo w LogTotal.
Zanim zaczniesz
Który ArcSight? Logger przechowuje i wyszukuje zdarzenia. ESM je koreluje. Recon to nowsza warstwa wyszukiwania i analityki. Do masowego eksportu, Logger jest zazwyczaj odpowiednim miejscem.
Czy surowe zdarzenie jest tam? SmartConnectors normalizują zdarzenia do pól CEF. Zachowują oryginalny tekst tylko przy włączonym zachowaniu surowych zdarzeń. Jeśli było wyłączone, możesz eksportować znormalizowane zdarzenia CEF, ale nie oryginalne linie.
Prawa i retencja. Potrzebujesz użytkownika Logger, który może przeszukiwać zaangażowane grupy przechowywania, a dane muszą być nadal w retencji Loggera.
Opcja 1: Wyszukiwanie i eksportowanie Loggera
- W Logger otwórz Wyszukiwanie, ustaw zakres czasowy i napisz zapytanie używając nazw pól CEF, na przykład destinationHostName = „web-03” AND deviceVendor = „Unix”.
- Uruchom je i sprawdź liczbę.
- Eksportuj wyniki.
Opcja 2: Przekazuj CEF do zbieracza syslog
Skonfiguruj mały zbieracz Linux z rsyslog nasłuchujący na UDP lub TCP 514. Następnie skieruj przekazujący Logger lub docelowy SmartConnector na niego, w CEF przez syslog. Przekazujące Loggery mogą także wysłać zakres czasowy jako jednorazowe działanie. Następnie wytnij potrzebne okno z pliku zbieracza:
grep 'web-03' /var/log/arcsight/cef.log > arcsight_web03.log
Każda linia to rekord CEF: nagłówek z dostawcą, produktem i nazwą zdarzenia, następnie rozszerzenia klucz=wartość. Jeśli zachowanie surowych zdarzeń było włączone, oryginalny tekst znajduje się w polu rawEvent.
Opcja 3: Logger REST API
Logger ma także REST API do logowania i uruchamiania wyszukiwań, co pasuje do skryptowanych eksportów.
Prześlij, zanonimizuj i przeglądaj w LogTotal
- Prześlij. Otwórz logtotal.com i upuść plik.
- Zanonimizuj. Sprawdź go, zanim przejdziesz dalej.
- Przegląd.
Jak to wygląda na rzeczywistych danych.
Kiedy coś idzie nie tak
| Symptom | Przypuszczalna przyczyna | Fix |
|---|---|---|
| Brak oryginalnego tekstu logów w eksporcie | Zachowanie surowych zdarzeń było wyłączone na SmartConnector | Eksportuj znormalizowany CEF; włącz zachowanie na przyszłość |
| Wyszukiwanie nic nie znajduje | Zła grupa przechowywania lub poza retencją | Sprawdź grupy przechowywania i retencję |
| Zbieracz nic nie otrzymuje | Zapora, zły port lub protokół | Sprawdź każde przeskok; tcpdump -n port 514 na zbieraczu |
| Długie linie CEF są obcięte | Ograniczenia wielkości wiadomości UDP | Użyj syslog TCP |
FAQ
Czy mogę eksportować z ESM zamiast?
Kanały aktywne w ESM mogą eksportować, ale ESM przechowuje skorelowane i filtrowane dane. Dla pełnej historii Logger jest lepszym źródłem.
Czy CEF jest wystarczający bez surowego zdarzenia?
Dla wielu detekcji, tak: CEF zachowuje kluczowe pola. Tracisz pola, które konektor nie mapował, i dokładne oryginalne sformułowanie.
