Créer des mappages pour ArcSight ESM l’intégration de l’ingestion d’événements
Au cours de cette étape, vous ingérez des échantillons d’événements de corrélation et mappez les valeurs aux champs d’incident de sécurité SIR.
Avant de commencer
Rôle requis : admin, sn_si.admin
Pourquoi et quand exécuter cette tâche
Créez des mappages personnalisés en ajoutant ou en supprimant les champs de la grille de mappage sur le côté droit du formulaire. Les champs affichés par défaut sont généralement des champs importants à renseigner sur le formulaire de réponse aux incidents de sécurité. Toutefois, ces champs peuvent être supprimés et tous les champs supplémentaires peuvent être affichés à l’aide des boutons + et -. Créez des cartes personnalisées en ajoutant ou en supprimant les champs de la grille de mappage sur le côté droit du formulaire. La personnalisation des champs vous permet de mapper ArcSight ESM des champs qui ne sont pas affichés sur la grille de mappage par défaut sur l’incident de sécurité.
Procédure
-
Dans la liste déroulante, sélectionnez l’une des options suivantes :
- Récupérer les événements de corrélation les plus récents
- Sélectionner les événements de corrélation basés sur l’ID d’événement
Cliquez sur Récupérer les événements pour extraire les derniers exemples d’événements de corrélation de la ArcSight ESM console pour la règle de recherche de corrélation sélectionnée.
Les champs d’événements de corrélation et les résultats des valeurs sont affichés sous forme d’onglets individuels.
L’extraction d’événements de corrélation d’échantillons peut prendre quelques instants. Un message indiquant que la transaction fonctionne s’affiche en haut de l’écran.
Dans la figure suivante, les paires de valeurs de nom de champ pour l’événement de corrélation ingéré, ou les échantillons d’événements importés, sont affichées sur le côté gauche de ce formulaire une fois l’extraction d’ingestion terminée. Ces valeurs sont les valeurs que vous mappez aux champs d’incident de sécurité du côté Mappage de champs d’incident SIR du formulaire.
-
Faites glisser le nom du champ, par exemple agent.hostname, et déposez-le sur un champ de la colonne Expression d’entrée en regard d’un nom de champ dans la colonne Incident de sécurité.
Pour vous assurer qu’aucun champ d’événement n’est négligé ou dupliqué dans le processus de mappage, les champs sont codés par couleur. Les champs bleu clair sur la gauche indiquent qu’un champ d’événement de corrélation n’est pas encore sélectionné et mappé sur l’incident de sécurité. Vous préférez peut-être associer un champ de corrélation entrant à plusieurs champs sur un incident de sécurité.
Un champ gris indique qu’un champ a été sélectionné et mappé à un champ sur l’incident de sécurité. Ce code couleur vous aide à suivre les champs d’événement qui ont déjà été utilisés pour les futurs mappages de champs d’incidents de sécurité.
-
Pour ajouter des champs aux champs par défaut affichés sur l’incident de sécurité sur le côté droit du formulaire, procédez comme suit.
-
Dans la colonne Incident de sécurité, développez la liste de choix qui s’affiche, puis sélectionnez un champ.
Dans la liste de choix développée pour le nouveau champ, certains champs sont grisés. Dans la figure suivante, l’utilisateur affecté a un arrière-plan gris, car il a été mappé dans l’incident de sécurité. À l’instar du code couleur pour les champs d’événements de corrélation sur le côté gauche du formulaire, ce code couleur pour les champs d’incident de sécurité sur la droite vous aide à suivre les champs d’incident SIR déjà mappés.
Remarque :Afin que plusieurs observables puissent être affichés sur le même incident de sécurité, le champ Observable peut être mappé plusieurs fois avec des valeurs différentes. De même, les champs Élément de configuration et Notes de travail prennent en charge plusieurs valeurs. Si vous essayez de mapper deux valeurs à un champ qui ne peut pas prendre en charge plusieurs valeurs, lorsque vous prévisualisez l’incident, un message d’erreur s’affiche indiquant qu’il n’y a aucune valeur pour le champ. De même, si un champ d’un incident de sécurité dispose d’une liste de choix dans laquelle vous pouvez choisir plusieurs options, et que vous essayez de mapper une option à ce champ qui n’est pas affiché dans la liste de choix, le champ n’est pas renseigné sur l’incident de sécurité.
-
Dans la colonne Incident de sécurité, développez la liste de choix qui s’affiche, puis sélectionnez un champ.
- Facultatif :
Une fois que vous avez terminé les étapes de mappage de champs précédentes, vous pouvez utiliser les mêmes valeurs de champ dans le générateur de conditions de génération d’incidents pour définir les critères supplémentaires qu’un événement de corrélation entrant doit satisfaire pour créer un SIR incident de sécurité.
Pour définir les conditions de génération d’incidents, procédez comme suit.
- Facultatif :
Dans la deuxième ligne, définissez une deuxième condition de filtre.
L’image suivante est un exemple avec deux conditions qui doivent être mises en correspondance avant la création des incidents de sécurité.
Vous avez défini les conditions de génération d’incident de sorte que les incidents de sécurité ne soient créés que lorsque les deux conditions de filtrage que vous avez saisies correspondent.
Ce type de filtrage des conditions de génération d’incident vous permet d’affiner les événements de sécurité et de limiter le nombre d’incidents de sécurité inutiles que vous créez sans modifier la recherche de corrélation sous-jacente ni filtrer les événements dans ArcSight ESM. Si des critères de filtrage supplémentaires sont définis, seuls les événements de corrélation qui correspondent à tous les critères sont mappés aux incidents.
Remarque :Si l’un des noms de champs d’événements comporte des caractères spéciaux tels que des guillemets (« ), des traits d’union ('), des traits de soulignement (-) ou des esperluettes (@), il peut être nécessaire de remplacer ces caractères à des fins de traduction de mappage et éventuellement de créer un nom d’événement en double. Le mappage peut être effectué correctement, mais un suffixe numérique est ajouté pour différencier les champs avec des noms d’événements en double. Par exemple, si le premier champ d’événement estevents.eventet que le second champ d’événement estevents.event, ces champs ne peuvent pas être identifiés de manière unique car les caractères de texte standard restants sont les mêmes. Dans ce cas, un suffixe est ajouté au deuxième champ d’événement et le champ est renomméen events@event(1).
Critères d’agrégation d’événements pour traiter des événements de corrélation similaires et empêcher les incidents en double - Facultatif :
Dans la deuxième ligne, définissez une deuxième condition de filtre.
- Facultatif :
Pour éviter de créer des incidents de sécurité en double, définissez des critères d’agrégation d’événements supplémentaires afin que les événements de corrélation entrants soient agrégés en un incident de sécurité ouvert.
Pour définir les critères, procédez comme suit :
-
Dans la liste Disponible, sélectionnez les valeurs de champ que vous souhaitez faire correspondre aux incidents de sécurité existants dans votre Now Platform et déplacez-les vers la liste Sélectionné.
Toutes les valeurs de champ que vous sélectionnez doivent être mises en correspondance pour ajouter cet événement de corrélation entrant à un incident de sécurité existant. Cela inclut les champs, tels que les observables et les éléments de configuration, auxquels plusieurs valeurs de champ d’événement de corrélation peuvent être mappées. Toutes les valeurs doivent correspondre. Si seul un sous-ensemble de valeurs est mis en correspondance, les conditions d’agrégation d’événements ne sont pas remplies et un nouvel incident de sécurité est créé. Voir la capture d’écran ci-dessous pour le mappage de champs à valeurs multiples.
Si un nouvel événement de corrélation correspond à toutes les valeurs sélectionnées dans les conditions de champ d’agrégation de l’étape de mappage, le nouvel événement de corrélation est automatiquement ajouté au dernier incident de sécurité ouvert avec les mêmes valeurs de champ. En tant qu’analyste SOC travaillant sur des incidents de sécurité, vous pouvez afficher tous les événements de corrélation agrégés ajoutés dans une liste connexe d’un incident de sécurité. Tous les événements de corrélation agrégés sur un incident de sécurité sont affichés dans la liste connexe Agrégatd ArcSight Events . Cette liste détaille les horodatages associés et les valeurs de champ agrégées. Ces informations vous aident à comprendre pourquoi ces événements de corrélation sont regroupés aux incidents de sécurité existants. Si cet onglet n’est pas affiché, faites défiler vers la gauche de l’enregistrement sous Liens connexes et cliquez sur le lien Afficher toutes les listes connexes .Remarque :Si cette liste connexe n’est pas visible, procédez comme suit :- Cliquez avec le bouton droit sur l’en-tête du formulaire Incident de sécurité, puis cliquez sur .
- Sélectionnez Aggregated ArcSight Events (Événements ArcSight agrégés ) dans la liste Available (Disponible), déplacez-le vers Selected list (Sélectionné), puis cliquez sur Save (Enregistrer).
- Cliquez sur Afficher les listes connexes. Vous verrez maintenant l’onglet Agrégatd ArcSight Events (Événements ArcSight agrégés ) dans la section Related List (Liste connexe).
Vous avez mappé avec succès les valeurs d’un événement de corrélation aux champs d’un SIR incident de sécurité. En outre, vous avez configuré des conditions supplémentaires pour limiter la création d’incidents de sécurité avec des critères de filtrage de génération d’incidents. Vous avez également agrégé des événements de corrélation à des incidents de sécurité existants SIR lorsque les valeurs de champ d’événement correspondent aux critères d’agrégation configurés. -
Dans la liste Disponible, sélectionnez les valeurs de champ que vous souhaitez faire correspondre aux incidents de sécurité existants dans votre Now Platform et déplacez-les vers la liste Sélectionné.