이벤트 수집 통합을 위한 ArcSight ESM 매핑 생성
이 단계에서는 샘플 상관관계 이벤트를 수집하고 값을 SIR 보안 인시던트 필드에 매핑합니다.
시작하기 전에
필요한 역할: admin, sn_si.admin
이 태스크 정보
양식의 오른쪽에 있는 매핑 그리드에서 필드를 추가하거나 제거하여 사용자 지정 매핑을 생성합니다. 기본적으로 표시되는 필드는 일반적으로 보안 인시던트 응답 양식에 채워야 하는 중요한 필드입니다. 그러나 이러한 필드를 제거할 수 있으며 + 및 - 버튼을 사용하여 추가 필드를 표시할 수 있습니다. 양식 오른쪽의 매핑 그리드에서 필드를 추가하거나 제거하여 사용자 지정 맵을 생성합니다. 필드를 사용자 지정하면 보안 인시던트의 기본 매핑 그리드에 표시되지 않는 필드를 매핑 ArcSight ESM 할 수 있습니다.
프로시저
-
드롭다운 목록에서 다음 중 하나를 선택합니다.
- 가장 최근의 상관관계 이벤트 검색
- 이벤트 ID를 기준으로 상관 관계 이벤트 선택
선택한 상관관계 검색 규칙에 대한 최신 샘플 상관관계 이벤트를 ArcSight ESM 콘솔에서 가져오려면 이벤트 검색을 클릭합니다.
상관관계 이벤트 필드와 값 결과는 개별 탭으로 표시됩니다.
샘플 상관관계 이벤트를 끌어오기에는 몇 분 정도 걸릴 수 있습니다. 트랜잭션이 작동 중임을 나타내는 메시지가 화면 맨 위에 표시됩니다.
다음 그림에서는 수집된 상관 관계 이벤트 또는 임포트된 샘플 이벤트에 대한 필드 이름 값 쌍이 수집 끌어오기가 완료된 후 이 양식의 왼쪽에 표시됩니다. 이러한 값은 양식의 SIR 인시던트 필드 매핑 측면에 있는 보안 인시던트 필드에 매핑하는 값입니다.
-
필드 이름(예: agent.hostname)을 끌어서 보안 인시던트 열의 필드 이름 옆에 있는 입력 식 열의 필드에 놓습니다.
매핑 프로세스에서 이벤트 필드가 간과되거나 중복되지 않도록 하기 위해 필드는 색으로 구분됩니다. 왼쪽의 연한 파란색 필드는 상관관계 이벤트 필드가 아직 선택되지 않았으며 보안 인시던트에 매핑되지 않았음을 나타냅니다. 수신 상관관계 필드를 보안 인시던트의 둘 이상의 필드와 연결하는 것을 선호할 수 있습니다.
회색 필드는 필드가 선택되었고 보안 인시던트의 필드에 매핑되었음을 나타냅니다. 이 색상 코딩은 향후 보안 인시던트 필드 매핑에 이미 사용된 이벤트 필드를 추적하는 데 도움이 됩니다.
-
양식 오른쪽의 보안 인시던트에 표시되는 기본 필드에 필드를 추가하려면 다음 단계를 따르십시오.
-
보안 인시던트 열에서 표시되는 선택 목록을 확장하고 필드를 선택합니다.
새 필드의 확장된 선택 목록에서 일부 필드는 음영 처리됩니다. 다음 그림에서 영향을 받는 사용자는 보안 인시던트에 매핑되었기 때문에 회색 배경입니다. 양식 왼쪽에 있는 상관관계 이벤트 필드에 대한 색상 코딩과 유사하게 오른쪽에 있는 보안 인시던트 필드에 대한 이 색상 코딩은 이미 매핑된 SIR 인시던트 필드를 추적하는 데 도움이 됩니다.
주:동일한 보안 인시던트에 여러 옵저버블을 표시할 수 있도록 옵저버블 필드를 서로 다른 값으로 여러 번 매핑할 수 있습니다. 마찬가지로 구성 항목 및 작업 메모 필드는 여러 값을 지원합니다. 여러 값을 지원할 수 없는 필드에 두 값을 매핑하려고 하면 인시던트를 미리 볼 때 필드에 값이 없다는 오류 메시지가 표시됩니다. 마찬가지로 보안 인시던트의 필드에 여러 옵션을 선택할 수 있는 선택 목록이 있고 선택 목록에 표시되지 않는 해당 필드에 옵션을 매핑하려고 하면 보안 인시던트에 필드가 채워지지 않습니다.
-
보안 인시던트 열에서 표시되는 선택 목록을 확장하고 필드를 선택합니다.
- 옵션:
앞의 필드 매핑 단계를 완료한 후에는 인시던트 생성 조건 작성기에서 동일한 필드 값을 사용하여 들어오는 상관관계 이벤트가 충족해야 보안 인시던트를 만들기 위해 충족해야 하는 추가 기준을 정의할 수 있습니다 SIR .
인시던트 생성 조건을 설정하려면 다음 단계를 수행합니다.
- 옵션:
두 번째 행에서 두 번째 필터 조건을 설정합니다.
다음 이미지는 보안 인시던트가 생성되기 전에 일치해야 하는 두 가지 조건이 있는 예입니다.
입력한 두 필터링 조건이 모두 일치하는 경우에만 보안 인시던트가 생성되도록 인시던트 생성 조건을 설정했습니다.
이러한 유형의 인시던트 생성 조건 필터링을 사용하면 보안 이벤트 범위를 좁히고, 기본 상관관계 검색을 수정하거나 에서 이벤트를 필터링하지 않고도 사용자가 생성하는 불필요한 보안 인시던트 수를 제한할 수 있습니다 ArcSight ESM. 추가 필터링 기준이 설정되면 모든 기준과 일치하는 상관관계 이벤트만 인시던트에 매핑됩니다.
주:이벤트 필드 이름에 따옴표("), 하이픈('), 밑줄(-) 또는 앰퍼샌드(@)와 같은 특수 문자가 있는 경우, 매핑 번역을 위해 이러한 문자를 바꿔야 할 수 있으며 중복된 이벤트 이름을 작성할 수도 있습니다. 매핑을 적절히 수행할 수 있지만 중복된 이벤트 이름이 있는 필드를 구분하기 위해 숫자 접미사가 추가됩니다. 예를 들어 첫 번째 이벤트 필드가events.event이고 두 번째 이벤트 필드가events.event인 경우 나머지 표준 텍스트 문자가 동일하므로 이러한 필드를 고유하게 식별할 수 없습니다. 이 경우 두 번째 이벤트 필드에 접미사가 추가되고 필드 이름이events@event(1)로 변경됩니다.
유사한 상관관계 이벤트를 처리하고 중복 인시던트를 방지하기 위한 이벤트 집계 기준 - 옵션:
두 번째 행에서 두 번째 필터 조건을 설정합니다.
- 옵션:
중복 보안 인시던트 생성을 방지하려면 수신 상관관계 이벤트가 미해결 보안 인시던트로 집계되도록 추가 이벤트 집계 기준을 정의합니다.
기준을 설정하려면 다음 단계를 수행합니다.
-
사용 가능 목록에서 기존 보안 인시던트 Now Platform 와 일치시킬 필드 값을 선택하고 선택됨 목록으로 이동합니다.
이 수신 상관관계 이벤트를 기존 보안 인시던트에 추가하려면 선택하는 모든 필드 값이 일치해야 합니다. 여기에는 옵저버블 및 구성 항목과 같이 여러 상관관계 이벤트 필드 값이 매핑될 수 있는 필드가 포함됩니다. 모든 값이 일치해야 합니다. 값의 하위 집합만 일치하면 이벤트 집계 조건이 충족되지 않고 새 보안 인시던트가 생성됩니다. 다중 값 필드 매핑에 대한 아래 스크린샷을 참조하십시오.
새 상관관계 이벤트가 매핑 단계의 집계 필드 조건에서 선택된 모든 값과 일치하면 새 상관관계 이벤트가 동일한 필드 값으로 가장 최근에 열린 보안 인시던트에 자동으로 추가됩니다. 보안 인시던트를 담당하는 SOC 분석가는 보안 인시던트의 관련 목록에서 추가된 모든 집계된 상관관계 이벤트를 볼 수 있습니다. 보안 인시던트에 대한 모든 집계된 상관관계 이벤트가 집계된 ArcSight 이벤트 관련 목록에 표시됩니다. 이 목록에는 관련 타임 스탬프 및 집계된 필드 값이 자세히 설명되어 있습니다. 이 정보는 이러한 상관관계 이벤트가 기존 보안 인시던트로 집계되는 이유를 이해하는 데 도움이 됩니다. 이 탭이 표시되지 않으면 관련 링크 아래에 있는 기록의 왼쪽으로 스크롤하여 모든 관련 목록 표시 링크를 클릭합니다.주:이 관련 목록이 표시되지 않으면 다음 단계를 수행합니다.- 보안 인시던트 양식 헤더를 마우스 오른쪽 버튼으로 클릭하고 .
- 사용 가능 목록에서 집계된 ArcSight 이벤트를 선택하고 선택됨 목록으로 이동한 다음 저장을 클릭합니다.
- 관련 목록 표시를 클릭합니다. 이제 관련 목록 섹션에 집계된 ArcSight 이벤트 탭이 표시됩니다.
상관관계 이벤트의 값을 보안 인시던트의 SIR 필드에 매핑했습니다. 또한 인시던트 생성 필터링 기준을 사용하여 보안 인시던트 생성을 제한하는 추가 조건을 구성했습니다. 또한 이벤트 필드 값이 구성된 집계 기준과 일치하는 경우 상관관계 이벤트를 기존 SIR 보안 인시던트로 집계했습니다. -
사용 가능 목록에서 기존 보안 인시던트 Now Platform 와 일치시킬 필드 값을 선택하고 선택됨 목록으로 이동합니다.