Recopilar registros de alertas de SentinelOne

En este documento se describe cómo puede recoger registros de alertas de SentinelOne configurando un feed de Google Security Operations y cómo se asignan los campos de registro a los campos del modelo de datos unificado (UDM) de Google SecOps.

Para obtener más información, consulta el artículo Información general sobre la ingestión de datos en Google Security Operations.

Una implementación típica consta de SentinelOne Alert y el feed de Google SecOps configurado para enviar registros a Google SecOps. Cada implementación de cliente puede ser diferente y más compleja.

La implementación contiene los siguientes componentes:

• SentinelOne el producto del que recoge los registros.

• Feed de Google SecOps: el feed de Google SecOps que obtiene registros de SentinelOne y escribe registros en Google SecOps.

• Google SecOps: Google SecOps conserva y analiza los registros de SentinelOne.

Una etiqueta de ingestión identifica el analizador que normaliza los datos de registro sin procesar en formato UDM estructurado. La información de este documento se aplica al analizador con la etiqueta de ingestión SENTINELONE_ALERT.

Antes de empezar

Asegúrate de que cumples los siguientes requisitos previos:

• Una suscripción activa a Singularity Complete de SentinelOne. Consulta Paquetes de la plataforma para obtener más información.
• GET Alerts y GET Threats API v2.1
• Un rol de administrador a nivel global o de cuenta. Para obtener el rol de administrador, ponte en contacto con tu usuario administrador.
• Derechos de administrador para instalar el agente de SentinelOne. Para obtener derechos de administrador, ponte en contacto con tu usuario administrador.

Cómo configurar SentinelOne:

Para generar un token de API, sigue estos pasos: 1. En la consola de gestión de SentinelOne, ve a Settings (Configuración) y, a continuación, haz clic en Users (Usuarios). 1. Haz clic en el usuario administrador del que quieras generar el token de API. 1. Haz clic en Acciones > Operaciones con tokens de API > Generar token de API. Necesitas este token de API para rellenar los encabezados HTTP de autenticación en la plataforma Google SecOps.

Configurar feeds

Hay dos puntos de entrada diferentes para configurar feeds en la plataforma Google SecOps:

• Configuración de SIEM > Feeds > Añadir nuevo feed
• Centro de contenido > Paquetes de contenido > Empezar

Cómo configurar el feed de alertas de SentinelOne

1. Haz clic en el paquete SentinelOne.
2. Busca el tipo de registro Alertas de SentinelOne.
3. Especifique los valores de los siguientes campos:
   • Tipo de fuente: API de terceros (opción recomendada)
   • Encabezados HTTP de autenticación: introduce el token de API que has generado en la plataforma SentinelOne.
   • Nombre de host de la API: nombre de host de la plataforma SentinelOne.
   • Hora de inicio inicial: hora a partir de la que se deben obtener las alertas.
   • Is alert API subscribed: indica si el cliente se ha suscrito a la API de alertas.

   Opciones avanzadas

• Nombre del feed: un valor rellenado automáticamente que identifica el feed.
• Espacio de nombres del recurso: espacio de nombres asociado al feed.
• Etiquetas de ingestión: etiquetas aplicadas a todos los eventos de este feed.

1. Haga clic en Crear feed.

Para obtener más información sobre cómo configurar varios feeds para diferentes tipos de registros en esta familia de productos, consulta el artículo Configurar feeds por producto.

Tipos de registros de alertas de SentinelOne admitidos

El analizador de alertas de SentinelOne admite los tipos de registros de alertas y amenazas.

Formatos de registro de alertas de SentinelOne admitidos

El analizador de alertas de SentinelOne admite registros en formato JSON y CEF.

Registros de ejemplo de alertas de SentinelOne admitidos

• JSON

    {
      "accountId": "1235512064263015539",
      "accountName": "dummy",
      "agentComputerName": "dummy",
      "agentDomain": "WORKGROUP",
      "agentId": "1245680559492378683",
      "agentInfected": false,
      "agentIp": "198.51.100.0",
      "agentIsActive": false,
      "agentIsDecommissioned": true,
      "agentMachineType": "server",
      "agentNetworkStatus": "disconnecting",
      "agentOsType": "windows",
      "agentVersion": "21.6.2.272",
      "annotation": "Automatically resolved by SentinelOne Console",
      "automaticallyResolved": true,
      "browserType": null,
      "certId": "",
      "classification": "Malware",
      "classificationSource": "Static",
      "classifierName": "MANUAL",
      "cloudVerdict": null,
      "collectionId": "1251555311751427932",
      "commandId": "1251555264615838432",
      "createdAt": "2022-09-03T19:36:59.540349Z",
      "createdDate": "2021-09-23T19:36:57.867000Z",
      "description": "malware detected - not mitigated yet (cmd.exe (interactive session))",
      "engines": [
        "manual"
      ],
      "external_ticket_id": null,
      "fileContentHash": "c3d10d8d9fce936e5ca32f930f20c8e703619f71",
      "fileCreatedDate": null,
      "fileDisplayName": "Unknown file",
      "fileExtensionType": "None",
      "fileIsDotNet": null,
      "fileIsExecutable": false,
      "fileIsSystem": false,
      "fileMaliciousContent": null,
      "fileObjectId": "3EFA3EFA3EFA3EFA",
      "filePath": "/home/gitlab-runner/webshell_hits/old.hits-go-here/fedcd896ef45bf145d7e880edd4e5390.dll",
      "fileSha256": null,
      "fileVerificationType": "NotSigned",
      "fromCloud": false,
      "fromScan": false,
      "id": "1251555311717873499",
      "indicators": [
        {
          "categoryName": "test Hiding/Stealthiness",
          "description": "This binary may have Anti-sandboxing capabilities to evade detection in sandbox tools",
          "id": 126
        },
        {
          "categoryName": "Hiding/Stealthiness",
          "description": "sample desc There are signs of a backdoor in the PE header",
          "id": 127
        },
        {
          "categoryName": "Test category name Hiding/Stealthiness",
          "description": "This binary might try to schedule a task or modify a scheduled task",
          "id": 129
        }
      ],
      "initiatedBy": "dvCommand",
      "initiatedByDescription": "Deep Visibility Command",
      "initiatingUserId": "1245152494739966182",
      "isCertValid": false,
      "isInteractiveSession": true,
      "isPartialStory": false,
      "maliciousGroupId": "DEA2CA314B3AB7E4",
      "maliciousProcessArguments": "",
      "markedAsBenign": true,
      "mitigationMode": "protect",
      "mitigationReport": {
        "kill": {
          "status": "success"
        },
        "network_quarantine": {
          "status": null
        },
        "quarantine": {
          "status": "success"
        },
        "remediate": {
          "status": null
        },
        "rollback": {
          "status": null
        },
        "unquarantine": {
          "status": null
        }
      },
      "mitigationStatus": "mitigated",
      "publisher": "",
      "rank": null,
      "resolved": true,
      "siteId": "1235512064330124404",
      "siteName": "Default site",
      "threatAgentVersion": "21.6.2.272",
      "threatName": "cmd.exe (interactive session)",
      "updatedAt": "2021-10-23T20:34:15.668440Z",
      "username": "dummy\\\\Administrator",
      "whiteningOptions": []
    }
  
  

• CEF

    <86>Nov  5 11:53:06 abcdefg sshd[1475549]: reprocess config line 158: Deprecated option RhostsRSAAuthentication
  

Referencia de asignación de campos

En esta sección se explica cómo asigna el analizador de Google SecOps los campos de alerta de SentinelOne a los campos del modelo de datos unificado (UDM) de Google SecOps.

Referencia de asignación de campos: identificador de evento a tipo de evento

En la siguiente tabla se enumeran los SENTINELONE_ALERT tipos de registros y sus tipos de eventos de UDM correspondientes.

Referencia de la asignación de campos: SENTINELONE_ALERT

En la siguiente tabla se enumeran los campos de registro del tipo de registro SENTINELONE_ALERT y sus campos de UDM correspondientes.

Siguientes pasos

• Ingestión de datos en Google Security Operations

¿Necesitas más ayuda? Recibe respuestas de los miembros de la comunidad y de los profesionales de Google SecOps.