Créer des mappages pour ArcSight ESM l’intégration de l’ingestion d’événements
Au cours de cette étape, vous ingérez des échantillons d’événements de corrélation et mappez les valeurs aux champs d’incident de sécurité SIR.
Avant de commencer
Rôle requis : admin, sn_si.admin
Pourquoi et quand exécuter cette tâche
Créez des mappages personnalisés en ajoutant ou en supprimant les champs de la grille de mappage sur le côté droit du formulaire. Les champs affichés par défaut sont généralement des champs importants à renseigner dans le formulaire de réponse aux incidents de sécurité. Toutefois, ces champs peuvent être supprimés et tous les champs supplémentaires peuvent être affichés à l’aide des boutons + et -. Créez des cartes personnalisées en ajoutant ou en supprimant les champs de la grille de mappage sur le côté droit du formulaire. La personnalisation des champs vous permet de mapper ArcSight ESM des champs qui ne sont pas affichés sur la grille de mappage par défaut sur l’incident de sécurité.
Procédure
-
Dans la liste déroulante, sélectionnez l’une des options suivantes :
- Récupérer les événements de corrélation les plus récents
- Sélectionner des événements de corrélation en fonction de l’ID d’événement
Cliquez sur Récupérer les événements pour extraire les derniers échantillons d’événements de corrélation de la ArcSight ESM console pour la règle de recherche de corrélation sélectionnée.
Les champs d’événements de corrélation et les résultats des valeurs sont affichés sous forme d’onglets individuels.
L’extraction d’échantillons d’événements de corrélation peut prendre quelques instants. Un message indiquant que la transaction fonctionne s’affiche en haut de l’écran.
Dans la figure suivante, les paires de valeurs de nom de champ pour l’événement de corrélation ingéré ou les événements d’échantillon importés s’affichent sur le côté gauche de ce formulaire une fois l’extraction d’ingestion terminée. Ces valeurs sont celles que vous mappez aux champs d’incident de sécurité du côté du mappage de champ d’incident SIR du formulaire.
-
Faites glisser le nom du champ, par exemple agent.hostname, et déposez-le sur un champ de la colonne Expression d’entrée en regard d’un nom de champ dans la colonne Incident de sécurité.
Pour vous assurer qu’aucun champ d’événement n’est négligé ou dupliqué dans le processus de mappage, les champs sont codés par couleur. Les champs bleu clair à gauche indiquent qu’un champ d’événement de corrélation n’est pas encore sélectionné et mappé sur l’incident de sécurité. Vous préférerez peut-être associer un champ de corrélation entrant à plusieurs champs sur un incident de sécurité.
Un champ gris indique qu’un champ a été sélectionné et mappé à un champ sur l’incident de sécurité. Ce codage couleur vous aide à suivre les champs d’événement qui ont déjà été utilisés pour les futurs mappages de champs d’incidents de sécurité.
-
Pour ajouter des champs aux champs par défaut affichés dans l’incident de sécurité à droite du formulaire, procédez comme suit.
-
Dans la colonne Incident de sécurité, développez la liste de choix qui s’affiche, puis sélectionnez un champ.
Dans la liste de choix développée pour le nouveau champ, certains champs sont grisés. Dans la figure suivante, l’utilisateur affecté a un arrière-plan gris, car il a été mappé dans l’incident de sécurité. Semblable au code couleur pour les champs d’événements de corrélation sur le côté gauche du formulaire, ce code couleur pour les champs d’incident de sécurité sur la droite vous aide à suivre les champs d’incident SIR déjà mappés.
Remarque :Pour pouvoir afficher plusieurs observables sur le même incident de sécurité, le champ Observable peut être mappé plusieurs fois avec des valeurs différentes. De même, les champs Élément de configuration et Notes de travail prennent en charge plusieurs valeurs. Si vous essayez de mapper deux valeurs à un champ qui ne peut pas prendre en charge plusieurs valeurs, lorsque vous affichez un aperçu de l’incident, un message d’erreur s’affiche indiquant qu’il n’y a aucune valeur pour le champ. De même, si un champ d’un incident de sécurité dispose d’une liste de choix à partir de laquelle vous pouvez choisir plusieurs options et que vous essayez de mapper une option à ce champ qui n’est pas affiché sur la liste de choix, le champ n’est pas renseigné pour l’incident de sécurité.
-
Dans la colonne Incident de sécurité, développez la liste de choix qui s’affiche, puis sélectionnez un champ.
- Facultatif :
Une fois que vous avez terminé les étapes de mappage de champs précédentes, vous pouvez utiliser les mêmes valeurs de champ dans le générateur de conditions de génération d’incident pour définir des critères supplémentaires qu’un événement de corrélation entrant doit satisfaire pour créer un SIR incident de sécurité.
Pour définir les conditions de génération d’incidents, procédez comme suit.
- Facultatif :
Dans la deuxième ligne, définissez une deuxième condition de filtre.
L’image suivante est un exemple avec deux conditions qui doivent être satisfaites avant de créer des incidents de sécurité.
Vous avez défini les conditions de génération d’incident de sorte que les incidents de sécurité ne sont créés que lorsque les deux conditions de filtrage que vous avez saisies correspondent.
Ce type de filtrage des conditions de génération d’incidents vous aide à affiner les événements de sécurité et à limiter le nombre d’incidents de sécurité inutiles que vous créez sans modifier la recherche de corrélation sous-jacente ou filtrer les événements dans ArcSight ESM. Si des critères de filtrage supplémentaires sont définis, seuls les événements de corrélation qui correspondent à tous les critères sont mappés aux incidents.
Remarque :Si l’un des noms de champs d’événements comporte des caractères spéciaux tels que des guillemets (« ) », des traits d’union ('), des traits de soulignement (-) ou des esperluettes (@), il peut être nécessaire de remplacer ces caractères à des fins de traduction de mappage et de créer un nom d’événement en double. Le mappage peut être effectué correctement, mais un suffixe numérique est ajouté pour différencier les champs avec des noms d’événements en double. Par exemple, si le premier champ d’événement estevents.eventet que le deuxième champ d’événement estevents.event, ces champs ne peuvent pas être identifiés de manière unique car les caractères de texte standard restants sont identiques. Dans ce cas, un suffixe est ajouté au deuxième champ d’événement et le champ est renomméen events@event(1).
Critères d’agrégation d’événements pour gérer des événements de corrélation similaires et empêcher les incidents en double - Facultatif :
Dans la deuxième ligne, définissez une deuxième condition de filtre.
- Facultatif :
Pour éviter de créer des incidents de sécurité en double, définissez des critères d’agrégation d’événements supplémentaires afin que les événements de corrélation entrants soient regroupés en un incident de sécurité ouvert.
Pour définir les critères, procédez comme suit :
-
Dans la liste Disponible, sélectionnez les valeurs de champ que vous souhaitez faire correspondre aux incidents de sécurité existants dans votre Now Platform et déplacez-les vers la liste Sélectionné.
Toutes les valeurs de champ que vous sélectionnez doivent être mises en correspondance pour ajouter cet événement de corrélation entrant à un incident de sécurité existant. Cela inclut les champs, tels que les observables et les éléments de configuration, auxquels plusieurs valeurs de champ d’événement de corrélation sont mappées. Toutes les valeurs doivent correspondre. Si seul un sous-ensemble de valeurs correspond, les conditions d’agrégation d’événements ne seront pas remplies et un nouvel incident de sécurité sera créé. Voir la capture d’écran ci-dessous pour le mappage de champs à valeurs multiples.
Si un nouvel événement de corrélation correspond à toutes les valeurs sélectionnées dans les conditions de champ d’agrégation à l’étape de mappage, le nouvel événement de corrélation est automatiquement ajouté à l’incident de sécurité le plus récemment ouvert avec les mêmes valeurs de champ. En tant qu’analyste SOC travaillant sur des incidents de sécurité, vous pouvez afficher tous les événements de corrélation agrégés ajoutés dans une liste connexe d’un incident de sécurité. Tous les événements de corrélation agrégés sur un incident de sécurité sont affichés dans la liste connexe Événements ArcSight agrégés . Cette liste détaille les horodatages associés et les valeurs de champ agrégées. Ces informations vous aident à comprendre pourquoi ces événements de corrélation sont regroupés aux incidents de sécurité existants. Si cet onglet n’est pas affiché, faites défiler vers le côté gauche de l’enregistrement sous Liens connexes et cliquez sur le lien Afficher toutes les listes connexes .Remarque :Si vous ne voyez pas cette liste connexe, procédez comme suit :- Cliquez avec le bouton droit sur l’en-tête du formulaire d’incident de sécurité, puis cliquez sur .
- Sélectionnez Aggregated ArcSight Events (Événements ArcSight agrégés ) dans la liste Available (Disponible), déplacez-le vers la liste Selected (Sélectionné), puis cliquez sur Save (Enregistrer).
- Cliquez sur Afficher les listes connexes. Vous verrez maintenant l’onglet Aggregated ArcSight Events (Événements ArcSight agrégés ) dans la section Related List (Liste connexe).
Vous avez mappé avec succès les valeurs d’un événement de corrélation aux champs d’un SIR incident de sécurité. En outre, vous avez configuré des conditions supplémentaires pour limiter la création d’incidents de sécurité avec des critères de filtrage de génération d’incidents. Vous avez également agrégé des événements de corrélation aux incidents de sécurité existants SIR lorsque les valeurs des champs d’événement correspondent aux critères d’agrégation configurés. -
Dans la liste Disponible, sélectionnez les valeurs de champ que vous souhaitez faire correspondre aux incidents de sécurité existants dans votre Now Platform et déplacez-les vers la liste Sélectionné.