Folgen Wie Sie aus ArcSight exportieren, hängt davon ab, welcher Teil die Daten enthält. Für die Historie suchen Sie im ArcSight Logger und exportieren die Ergebnisse. Für einen wiederholbaren Weg leiten Sie Ereignisse vom Logger oder einem SmartConnector zu einem Syslog-Collector als CEF weiter und exportieren Sie die Datei des Collectors. Eines entscheidet darüber, wie nützlich jeder Export ist: Das ursprüngliche Rohereignis wird nur beibehalten, wenn Ihre SmartConnectors so konfiguriert wurden, dass es erhalten bleibt.
OpenText ArcSight läuft seit langem in großen SOCs, was bedeutet, dass es oft jahrelange Historie enthält, die niemand sonst hat. Prime Core hat 21.311 Erkennungsregeln für ArcSight, die auf 664 MITRE ATT&CK-Techniken abgebildet sind. Unten ist beschrieben, wie man Ereignisse herausbekommt, sie bereinigt und kostenlos in LogTotal untersucht.
Bevor Sie beginnen
Welches ArcSight? Logger speichert und durchsucht Ereignisse. ESM korreliert sie. Recon ist die neuere Such- und Analyseschicht. Für den Massenexport ist Logger meist der richtige Ort.
Ist das Rohereignis vorhanden? SmartConnectors normalisieren Ereignisse in CEF-Felder. Sie behalten den Originaltext nur bei, wenn die Rohereignis-Beibehaltung aktiviert ist. Wenn es deaktiviert war, können Sie die normalisierten CEF-Ereignisse exportieren, aber nicht die ursprünglichen Zeilen.
Rechte und Aufbewahrung. Sie benötigen einen Logger-Benutzer, der die beteiligten Speichergruppen durchsuchen kann, und die Daten müssen noch innerhalb der Aufbewahrungsfrist von Logger liegen.
Option 1: Logger-Suche und Export
- Im Logger öffnen Suche, legen Sie den Zeitraum fest und schreiben Sie die Abfrage mit CEF-Feldnamen, zum Beispiel destinationHostName = „web-03“ UND deviceVendor = „Unix“.
- Führen Sie sie aus und prüfen Sie die Anzahl.
- Exportieren Sie die Ergebnisse.
Option 2: Weiterleitung von CEF an einen Syslog-Collector
Richten Sie einen kleinen Linux-Collector mit rsyslog auf UDP oder TCP 514 ein. Zeigen Sie dann einen Logger-Forwarder oder ein SmartConnector-Ziel darauf an, in CEF über Syslog. Logger-Forwarder können auch einen vergangenen Zeitraum als einmalige Aktion senden. Schneiden Sie dann das benötigte Fenster aus der Datei des Collectors heraus:
grep 'web-03' /var/log/arcsight/cef.log > arcsight_web03.log
Jede Zeile ist ein CEF-Datensatz: ein Header mit Anbieter, Produkt und Ereignisname, gefolgt von Schlüssel=Wert-Erweiterungen. Wenn die Rohereignis-Beibehaltung aktiviert war, befindet sich der Originaltext im Feld rawEvent.
Option 3: Logger-REST-API
Logger hat auch eine REST-API für die Anmeldung und das Durchführen von Suchen, was sich für geskriptete Exporte eignet.
Hochladen, bereinigen und überprüfen in LogTotal
- Hochladen. Öffnen logtotal.com und die Datei einfügen.
- Bereinigen. Überprüfen Sie es, bevor Sie fortfahren.
- Überprüfen.
Wie dies bei realen Daten aussieht.
Wenn es schiefgeht
| Symptom | Wahrscheinliche Ursache | Fix |
|---|---|---|
| Kein ursprünglicher Protokolltext im Export | Rohereignis-Beibehaltung war am SmartConnector ausgeschaltet | Normalisierte CEF exportieren; Beibehaltung für die Zukunft einschalten |
| Suche findet nichts | Falsche Speichergruppe oder außerhalb der Aufbewahrung | Speichergruppen und Aufbewahrung überprüfen |
| Collector erhält nichts | Firewall, falscher Port oder falsches Protokoll | Jeden Schritt überprüfen; tcpdump -n port 514 am Collector |
| Lange CEF-Zeilen werden abgeschnitten | UDP-Nachrichtengrößenbegrenzung | TCP-Syslog verwenden |
FAQ
Kann ich statt dessen aus ESM exportieren?
ESM-Aktivkanäle können exportieren, aber ESM enthält korrelierte und gefilterte Daten. Für die vollständige Historie ist Logger die bessere Quelle.
Ist CEF gut genug ohne das Rohereignis?
Für viele Erkennungen ja: CEF behält die Schlüsselbereiche. Sie verlieren Bereiche, die der Connector nicht abgebildet hat, und die genaue ursprüngliche Formulierung.
