关注 如何从 ArcSight 导出取决于存储数据的部分。对于历史记录，可以在 ArcSight Logger 中搜索并导出结果。对于可重复路线，将事件从 Logger 或 SmartConnector 转发到 syslog 收集器为 CEF，然后导出收集器的文件。决定任何导出有多大用处的条件是：只有在您的 SmartConnectors 被配置为保留原始事件时，原始事件才会保留。
OpenText ArcSight 在大型 SOC 中运行了很长时间，这意味着它通常持有多年没有人拥有的历史记录。Prime Core 有 21,311 条 ArcSight 检测规则，映射到 664 个 MITRE ATT&CK 技术。以下是在 LogTotal 中免费获取、清理和调查事件的方法。
开始之前
哪个 ArcSight? Logger 存储并搜索事件。ESM 对其进行关联。Recon 是较新的搜索和分析层。对于批量导出，Logger 通常是正确的选择。
原始事件在吗？ SmartConnectors 将事件规范化为 CEF 字段。只有在开启原始事件保留功能时才会保留原始文本。如果未开启，您可以导出规范化的 CEF 事件，但不能导出原始行。
权限和保留。 您需要一个 Logger 用户，能够搜索涉及的存储组，且数据仍在 Logger 的保留时间内。
选项 1：Logger 搜索和导出
- 在 Logger 中，打开 搜索，设置时间范围，并使用 CEF 字段名称编写查询，例如 destinationHostName = “web-03” AND deviceVendor = “Unix”。
- 运行并检查计数。
- 导出结果。
选项 2：将 CEF 转发到 syslog 收集器
设置一个小型 Linux 收集器，rsyslog 监听 UDP 或 TCP 514。然后将 Logger 转发器或 SmartConnector 目标指向它，以 CEF 通过 syslog 的方式。Logger 转发器也可以一次性发送过去的时间范围。然后从收集器的文件中剪切所需的窗口：
grep 'web-03' /var/log/arcsight/cef.log > arcsight_web03.log
每行是一个 CEF 记录：包含供应商、产品和事件名称的头部，然后是 key=value 扩展。如果原始事件保留已经开启，原始文本就在 rawEvent 字段中。
选项 3：Logger REST API
Logger 也有一个用于登录和运行搜索的 REST API，适合脚本化导出。
在 LogTotal 中上传、清理和审查
- 上传。 打开 logtotal.com 并放入文件。
- 清理。 在继续之前查看一下。
- 审查。
这在真实数据上的样子。
出现问题时
| 症状 | 可能原因 | Fix |
|---|---|---|
| 导出中没有原始日志文本 | SmartConnector 没有开启原始事件保留 | 导出规范化的 CEF；为将来开启保留 |
| 搜索无结果 | 错误的存储组，或超出保留范围 | 检查存储组和保留 |
| 收集器没有收到 | 防火墙，错误的端口或协议 | 检查每个跳点；在收集器上用 tcpdump -n port 514 |
| 长 CEF 行被截断 | UDP 消息大小限制 | 使用 TCP syslog |
FAQ
我可以从 ESM 导出吗？
ESM 活动通道可以导出，但 ESM 存储的是关联和过滤的数据。对于完整的历史记录，Logger 是更好的来源。
没有原始事件的 CEF 是否足够好？
对于许多检测来说，是的：CEF 保存了关键字段。您会丢失连接器未映射的字段和原始措辞。
