Seguir Como você exporta do ArcSight depende de qual parte dele contém os dados. Para histórico, pesquise no ArcSight Logger e exporte os resultados. Para uma rota repetível, encaminhe eventos do Logger ou de um SmartConnector para um coletor syslog como CEF, e exporte o arquivo do coletor. Uma coisa decide o quão útil qualquer exportação é: o evento bruto original é mantido apenas se seus SmartConnectors foram configurados para preservá-lo.
O OpenText ArcSight está operando em SOCs grandes há muito tempo, o que significa que frequentemente contém anos de histórico que ninguém mais possui. O Prime Core tem 21.311 regras de detecção para ArcSight, mapeadas para 664 técnicas do MITRE ATT&CK. Abaixo está como obter eventos, saná-los e investigá-los gratuitamente no LogTotal.
Antes de começar
Qual ArcSight? Logger armazena e pesquisa eventos. ESM os correlaciona. Recon é a camada de pesquisa e análise mais recente. Para exportação em massa, Logger geralmente é o lugar certo.
O evento bruto está lá? SmartConnectors normalizam eventos em campos CEF. Eles mantêm o texto original apenas com a preservação do evento bruto ativada. Se estava desativada, você pode exportar os eventos CEF normalizados, mas não as linhas originais.
Direitos e retenção. Você precisa de um usuário Logger que possa pesquisar os grupos de armazenamento envolvidos, e os dados ainda precisam estar dentro da retenção do Logger.
Opção 1: Pesquisa e exportação do Logger
- No Logger, abra Pesquisar, defina o intervalo de tempo e escreva a consulta usando nomes de campos CEF, por exemplo destinationHostName = “web-03” AND deviceVendor = “Unix”.
- Execute-a e verifique a contagem.
- Exporte os resultados.
Opção 2: Encaminhar CEF para um coletor syslog
Configure um pequeno coletor Linux com rsyslog ouvindo em UDP ou TCP 514. Então, aponte um encaminhador do Logger ou um destino SmartConnector para ele, em CEF sobre syslog. Encaminhadores do Logger também podem enviar um intervalo de tempo passado como uma única vez. Depois, corte a janela necessária do arquivo do coletor:
grep 'web-03' /var/log/arcsight/cef.log > arcsight_web03.log
Cada linha é um registro CEF: um cabeçalho com fornecedor, produto e nome do evento, depois extensões key=value. Se a preservação do evento bruto estava ativada, o texto original está no campo rawEvent.
Opção 3: API REST do Logger
Logger também possui uma API REST para fazer login e realizar buscas, o que é adequado para exportações por script.
Carregar, sanitizar e revisar no LogTotal
- Carregar. Abra logtotal.com e faça o upload do arquivo.
- Sanitizar. Revise antes de continuar.
- Revisão.
Como isso se parece com dados reais.
Quando dá errado
| Sintoma | Causa provável | Fix |
|---|---|---|
| Nenhum texto original do log na exportação | A preservação do evento bruto estava desativada no SmartConnector | Exporte CEF normalizado; ative a preservação para o futuro |
| A pesquisa não encontra nada | Grupo de armazenamento errado, ou fora da retenção | Verifique os grupos de armazenamento e a retenção |
| Coletor não recebe nada | Firewall, porta ou protocolo errado | Verifique cada salto; tcpdump -n port 514 no coletor |
| Linhas CEF longas são cortadas | Limites de tamanho de mensagem UDP | Use syslog TCP |
FAQ
Posso exportar do ESM em vez disso?
Canais ativos do ESM podem exportar, mas o ESM contém dados correlacionados e filtrados. Para histórico completo, o Logger é a melhor fonte.
O CEF é bom o suficiente sem o evento bruto?
Para muitas detecções, sim: o CEF mantém os campos principais. Você perde campos que o conector não mapeou, e a exata redação original.
