Recopila registros de alertas de SentinelOne

En este documento, se describe cómo puedes recopilar registros de alertas de SentinelOne configurando un feed de Google Security Operations y cómo los campos de registro se asignan a los campos del modelo de datos unificado (UDM) de Google SecOps.

Para obtener más información, consulta la descripción general de la transferencia de datos a Google Security Operations.

Una implementación típica consta de la alerta de SentinelOne y el feed de Google SecOps configurado para enviar registros a Google SecOps. Cada implementación del cliente puede ser diferente y más compleja.

La implementación contiene los siguientes componentes:

• SentinelOne: Es el producto del que recopilas registros.

• Feed de Google SecOps: Es el feed de Google SecOps que recupera registros de SentinelOne y escribe registros en Google SecOps.

• Google SecOps: Google SecOps retiene y analiza los registros de SentinelOne.

Una etiqueta de transferencia identifica el analizador que normaliza los datos de registro sin procesar en formato UDM estructurado. La información de este documento se aplica al analizador con la etiqueta de transferencia SENTINELONE_ALERT.

Antes de comenzar

Asegúrate de cumplir con los siguientes requisitos previos:

• Una suscripción activa a Singularity Complete para SentinelOne. Consulta Paquetes de la plataforma para obtener más detalles.
• APIs de GET Alerts y GET Threats v2.1
• Un rol de administrador a nivel global o de la cuenta Para obtener el rol de administrador, comunícate con tu usuario administrador.
• Derechos de administrador para instalar el agente de SentinelOne Para obtener derechos de administrador, comunícate con tu usuario administrador.

Sigue estos pasos para configurar SentinelOne:

Para generar un token de API, sigue estos pasos: 1. En la consola de administración de SentinelOne, ve a Settings y, luego, haz clic en Users. 1. Haz clic en el usuario administrador para el que deseas generar el token de API. 1. Haz clic en Actions > API token operations > Generate API token. Necesitas este token de API para completar los encabezados HTTP de autenticación en la plataforma de Google SecOps.

Configura feeds

Existen dos puntos de entrada diferentes para configurar feeds en la plataforma de Google SecOps:

• Configuración de SIEM > Feeds
• Centro de contenido > Paquetes de contenido

Configura feeds desde Configuración del SIEM > Feeds

Para configurar varios feeds para diferentes tipos de registros dentro de esta familia de productos, consulta Cómo configurar feeds por producto.

Para configurar un solo feed, sigue estos pasos:

1. Ve a SIEM Settings > Feeds.
2. Haz clic en Agregar feed nuevo.
3. En la siguiente página, haz clic en Configurar un solo feed.
4. En el campo Nombre del feed, ingresa un nombre para el feed, por ejemplo, Registros de alertas de SentinelOne.
5. Selecciona API de terceros como el Tipo de fuente y Alertas de SentinelOne como el Tipo de registro.

6. Haz clic en Siguiente y completa los campos Encabezados HTTP de autenticación, Nombre de host de la API, Hora de inicio inicial, ¿Está suscrita la API de alertas? y Espacio de nombres del activo para tu instancia de SentinelOne.

   Necesitas un token de API para completar los encabezados HTTP de autenticación. Se puede generar desde SentinelOne y reutilizar para la creación de feeds futuros. Para generar un token de API, sigue estos pasos:

   1. En la consola de administración de SentinelOne, ve a Settings y, luego, haz clic en Users.
   2. Haz clic en el usuario administrador para el que deseas generar el token de API.
   3. Haz clic en Actions > API token operations > Generate API token.
   4. En Encabezados HTTP de autenticación, ingresa el token de API generado en el formato Authorization: APIToken Token Value.
   5. Selecciona la casilla de verificación Is alert API subscribed para recopilar eventos de alertas de SentinelOne.
   6. Haz clic en Siguiente y, luego, en Enviar.

Configura feeds desde el Centro de contenido

Especifica valores para los siguientes campos:

• Encabezados HTTP de autenticación: Se usan para la autenticación en las APIs de SentinelOne Alerts and Threats & static-indicator en formato key:value.
• Nombre de host de la API: Es el nombre de dominio completamente calificado de la API de SentinelOne.
• Hora de inicio inicial: Es la hora desde la que se deben recuperar las alertas.
• Is Alert API Subscribed: Indica si el cliente se suscribió a la API de Alerts.

• ID de clave de acceso: Es la clave de acceso del usuario con permisos para leer desde el bucket de S3.

• Clave de acceso secreta: Es la clave secreta del usuario con permisos para leer desde el bucket de S3.

Opciones avanzadas

• Nombre del feed: Es un valor completado previamente que identifica el feed.
• Tipo de fuente: Es el método que se usa para recopilar registros en Google SecOps.
• Espacio de nombres del recurso: Espacio de nombres asociado al feed.
• Etiquetas de transferencia: Son las etiquetas que se aplican a todos los eventos de este feed.

Tipos de registros de alertas de SentinelOne admitidos

El analizador de alertas de SentinelOne admite tipos de registros de alertas y amenazas.

Formatos de registro de alertas de SentinelOne admitidos

El analizador de alertas de SentinelOne admite registros en formatos JSON y CEF.

Registros de muestra de alertas de SentinelOne admitidos

• JSON

    {
      "accountId": "1235512064263015539",
      "accountName": "dummy",
      "agentComputerName": "dummy",
      "agentDomain": "WORKGROUP",
      "agentId": "1245680559492378683",
      "agentInfected": false,
      "agentIp": "198.51.100.0",
      "agentIsActive": false,
      "agentIsDecommissioned": true,
      "agentMachineType": "server",
      "agentNetworkStatus": "disconnecting",
      "agentOsType": "windows",
      "agentVersion": "21.6.2.272",
      "annotation": "Automatically resolved by SentinelOne Console",
      "automaticallyResolved": true,
      "browserType": null,
      "certId": "",
      "classification": "Malware",
      "classificationSource": "Static",
      "classifierName": "MANUAL",
      "cloudVerdict": null,
      "collectionId": "1251555311751427932",
      "commandId": "1251555264615838432",
      "createdAt": "2022-09-03T19:36:59.540349Z",
      "createdDate": "2021-09-23T19:36:57.867000Z",
      "description": "malware detected - not mitigated yet (cmd.exe (interactive session))",
      "engines": [
        "manual"
      ],
      "external_ticket_id": null,
      "fileContentHash": "c3d10d8d9fce936e5ca32f930f20c8e703619f71",
      "fileCreatedDate": null,
      "fileDisplayName": "Unknown file",
      "fileExtensionType": "None",
      "fileIsDotNet": null,
      "fileIsExecutable": false,
      "fileIsSystem": false,
      "fileMaliciousContent": null,
      "fileObjectId": "3EFA3EFA3EFA3EFA",
      "filePath": "/home/gitlab-runner/webshell_hits/old.hits-go-here/fedcd896ef45bf145d7e880edd4e5390.dll",
      "fileSha256": null,
      "fileVerificationType": "NotSigned",
      "fromCloud": false,
      "fromScan": false,
      "id": "1251555311717873499",
      "indicators": [
        {
          "categoryName": "test Hiding/Stealthiness",
          "description": "This binary may have Anti-sandboxing capabilities to evade detection in sandbox tools",
          "id": 126
        },
        {
          "categoryName": "Hiding/Stealthiness",
          "description": "sample desc There are signs of a backdoor in the PE header",
          "id": 127
        },
        {
          "categoryName": "Test category name Hiding/Stealthiness",
          "description": "This binary might try to schedule a task or modify a scheduled task",
          "id": 129
        }
      ],
      "initiatedBy": "dvCommand",
      "initiatedByDescription": "Deep Visibility Command",
      "initiatingUserId": "1245152494739966182",
      "isCertValid": false,
      "isInteractiveSession": true,
      "isPartialStory": false,
      "maliciousGroupId": "DEA2CA314B3AB7E4",
      "maliciousProcessArguments": "",
      "markedAsBenign": true,
      "mitigationMode": "protect",
      "mitigationReport": {
        "kill": {
          "status": "success"
        },
        "network_quarantine": {
          "status": null
        },
        "quarantine": {
          "status": "success"
        },
        "remediate": {
          "status": null
        },
        "rollback": {
          "status": null
        },
        "unquarantine": {
          "status": null
        }
      },
      "mitigationStatus": "mitigated",
      "publisher": "",
      "rank": null,
      "resolved": true,
      "siteId": "1235512064330124404",
      "siteName": "Default site",
      "threatAgentVersion": "21.6.2.272",
      "threatName": "cmd.exe (interactive session)",
      "updatedAt": "2021-10-23T20:34:15.668440Z",
      "username": "dummy\\\\Administrator",
      "whiteningOptions": []
    }
  
  

• CEF

    <86>Nov  5 11:53:06 abcdefg sshd[1475549]: reprocess config line 158: Deprecated option RhostsRSAAuthentication
  

Referencia de la asignación de campos

En esta sección, se explica cómo el analizador de Google SecOps asigna los campos de alerta de SentinelOne a los campos del modelo de datos unificado (UDM) de Google SecOps.

Referencia de asignación de campos: Del identificador de evento al tipo de evento

En la siguiente tabla, se enumeran los tipos de registros de SENTINELONE_ALERT y sus tipos de eventos de UDM correspondientes.

Referencia de la asignación de campos: SENTINELONE_ALERT

En la siguiente tabla, se enumeran los campos de registro del tipo de registro SENTINELONE_ALERT y sus campos de UDM correspondientes.

¿Qué sigue?

• Transferencia de datos a Google Security Operations

¿Necesitas más ayuda? Obtén respuestas de miembros de la comunidad y profesionales de Google SecOps.