Collecter les journaux d'alertes SentinelOne

Ce document explique comment collecter les journaux d'alertes SentinelOne en configurant un flux Google Security Operations, et comment les champs de journaux sont mappés aux champs du modèle de données unifié (UDM) Google SecOps.

Pour en savoir plus, consultez la présentation de l'ingestion de données dans Google Security Operations.

Un déploiement typique se compose d'une alerte SentinelOne et du flux Google SecOps configuré pour envoyer les journaux à Google SecOps. Chaque déploiement client peut être différent et plus complexe.

Le déploiement contient les composants suivants :

• SentinelOne : produit à partir duquel vous collectez les journaux.

• Flux Google SecOps : flux Google SecOps qui récupère les journaux de SentinelOne et les écrit dans Google SecOps.

• Google SecOps : Google SecOps conserve et analyse les journaux de SentinelOne.

Un libellé d'ingestion identifie l'analyseur qui normalise les données de journaux brutes au format UDM structuré. Les informations de ce document s'appliquent au parseur avec le libellé d'ingestion SENTINELONE_ALERT.

Avant de commencer

Assurez-vous de remplir les conditions suivantes :

• Un abonnement Singularity Complete actif pour SentinelOne. Pour en savoir plus, consultez Packages de plate-forme.
• GET Alerts et GET Threats API v2.1
• Un rôle d'administrateur au niveau global ou du compte. Pour obtenir un rôle d'administrateur, contactez votre administrateur.
• Droits d'administrateur pour installer l'agent SentinelOne. Pour obtenir les droits d'administrateur, contactez votre administrateur.

Pour configurer SentinelOne :

Pour générer un jeton d'API, procédez comme suit : 1. Dans la console de gestion SentinelOne, accédez à Settings (Paramètres), puis cliquez sur Users (Utilisateurs). 1. Cliquez sur l'utilisateur administrateur pour lequel vous souhaitez générer le jeton API. 1. Cliquez sur Actions > Opérations sur les jetons d'API > Générer un jeton d'API. Vous avez besoin de ce jeton API pour remplir les en-têtes HTTP d'authentification dans la plate-forme Google SecOps.

Configurer des flux

Il existe deux points d'entrée différents pour configurer les flux dans la plate-forme Google SecOps :

• Paramètres SIEM> Flux
• Plate-forme de contenu > Packs de contenu

Configurer des flux à partir de Paramètres SIEM > Flux

Pour configurer plusieurs flux pour différents types de journaux dans cette famille de produits, consultez Configurer des flux par produit.

Pour configurer un seul flux :

1. Accédez à Paramètres SIEM> Flux.
2. Cliquez sur Add New Feed (Ajouter un flux).
3. Sur la page suivante, cliquez sur Configurer un seul flux.
4. Dans le champ Nom du flux, saisissez un nom pour le flux (par exemple, Journaux d'alertes SentinelOne).
5. Sélectionnez API tierce comme type de source et Alertes Sentinelone comme type de journal.

6. Cliquez sur Suivant et renseignez les champs En-têtes HTTP d'authentification, Nom d'hôte de l'API, Heure de début initiale, L'API d'alerte est-elle abonnée ? et Espace de noms de l'asset pour votre instance SentinelOne.

   Vous avez besoin d'un jeton d'API pour remplir les en-têtes HTTP d'authentification. Il peut être généré à partir de SentinelOne et réutilisé pour créer d'autres flux. Pour générer un jeton d'API, procédez comme suit :

   1. Dans la console de gestion SentinelOne, accédez à Settings (Paramètres), puis cliquez sur Users (Utilisateurs).
   2. Cliquez sur l'utilisateur administrateur pour lequel vous souhaitez générer le jeton API.
   3. Cliquez sur Actions > Opérations sur les jetons d'API > Générer un jeton d'API.
   4. Dans En-têtes HTTP d'authentification, saisissez le jeton d'API généré au format Authorization: APIToken Token Value.
   5. Cochez la case Is alert API subscribed (L'API d'alerte est-elle abonnée ?) pour collecter les événements d'alerte SentinelOne.
   6. Cliquez sur Suivant, puis sur Envoyer.

Configurer des flux depuis le Hub de contenu

Indiquez les valeurs des champs suivants :

• En-têtes HTTP d'authentification : utilisés pour l'authentification auprès de l'API SentinelOne Alerts and Threats & static-indicator au format key:value.
• Nom d'hôte de l'API : nom de domaine complet de l'API SentinelOne.
• Heure de début initiale : heure depuis laquelle les alertes doivent être récupérées
• Is Alert API Subscribed : indique si le client est abonné à l'API Alerts.

• ID de clé d'accès : clé d'accès de l'utilisateur disposant des autorisations de lecture du bucket S3.

• Clé d'accès secrète : clé secrète de l'utilisateur avec les autorisations nécessaires pour lire le bucket S3.

Options avancées

• Nom du flux : valeur préremplie qui identifie le flux.
• Type de source : méthode utilisée pour collecter les journaux dans Google SecOps.
• Espace de noms de l'élément : espace de noms associé au flux.
• Libellés d'ingestion : libellés appliqués à tous les événements de ce flux.

Types de journaux d'alertes SentinelOne acceptés

L'analyseur d'alertes SentinelOne est compatible avec les types de journaux d'alertes et de menaces.

Formats de journaux d'alertes SentinelOne acceptés

L'analyseur d'alertes SentinelOne est compatible avec les journaux aux formats JSON et CEF.

Exemples de journaux d'alertes SentinelOne compatibles

• JSON

    {
      "accountId": "1235512064263015539",
      "accountName": "dummy",
      "agentComputerName": "dummy",
      "agentDomain": "WORKGROUP",
      "agentId": "1245680559492378683",
      "agentInfected": false,
      "agentIp": "198.51.100.0",
      "agentIsActive": false,
      "agentIsDecommissioned": true,
      "agentMachineType": "server",
      "agentNetworkStatus": "disconnecting",
      "agentOsType": "windows",
      "agentVersion": "21.6.2.272",
      "annotation": "Automatically resolved by SentinelOne Console",
      "automaticallyResolved": true,
      "browserType": null,
      "certId": "",
      "classification": "Malware",
      "classificationSource": "Static",
      "classifierName": "MANUAL",
      "cloudVerdict": null,
      "collectionId": "1251555311751427932",
      "commandId": "1251555264615838432",
      "createdAt": "2022-09-03T19:36:59.540349Z",
      "createdDate": "2021-09-23T19:36:57.867000Z",
      "description": "malware detected - not mitigated yet (cmd.exe (interactive session))",
      "engines": [
        "manual"
      ],
      "external_ticket_id": null,
      "fileContentHash": "c3d10d8d9fce936e5ca32f930f20c8e703619f71",
      "fileCreatedDate": null,
      "fileDisplayName": "Unknown file",
      "fileExtensionType": "None",
      "fileIsDotNet": null,
      "fileIsExecutable": false,
      "fileIsSystem": false,
      "fileMaliciousContent": null,
      "fileObjectId": "3EFA3EFA3EFA3EFA",
      "filePath": "/home/gitlab-runner/webshell_hits/old.hits-go-here/fedcd896ef45bf145d7e880edd4e5390.dll",
      "fileSha256": null,
      "fileVerificationType": "NotSigned",
      "fromCloud": false,
      "fromScan": false,
      "id": "1251555311717873499",
      "indicators": [
        {
          "categoryName": "test Hiding/Stealthiness",
          "description": "This binary may have Anti-sandboxing capabilities to evade detection in sandbox tools",
          "id": 126
        },
        {
          "categoryName": "Hiding/Stealthiness",
          "description": "sample desc There are signs of a backdoor in the PE header",
          "id": 127
        },
        {
          "categoryName": "Test category name Hiding/Stealthiness",
          "description": "This binary might try to schedule a task or modify a scheduled task",
          "id": 129
        }
      ],
      "initiatedBy": "dvCommand",
      "initiatedByDescription": "Deep Visibility Command",
      "initiatingUserId": "1245152494739966182",
      "isCertValid": false,
      "isInteractiveSession": true,
      "isPartialStory": false,
      "maliciousGroupId": "DEA2CA314B3AB7E4",
      "maliciousProcessArguments": "",
      "markedAsBenign": true,
      "mitigationMode": "protect",
      "mitigationReport": {
        "kill": {
          "status": "success"
        },
        "network_quarantine": {
          "status": null
        },
        "quarantine": {
          "status": "success"
        },
        "remediate": {
          "status": null
        },
        "rollback": {
          "status": null
        },
        "unquarantine": {
          "status": null
        }
      },
      "mitigationStatus": "mitigated",
      "publisher": "",
      "rank": null,
      "resolved": true,
      "siteId": "1235512064330124404",
      "siteName": "Default site",
      "threatAgentVersion": "21.6.2.272",
      "threatName": "cmd.exe (interactive session)",
      "updatedAt": "2021-10-23T20:34:15.668440Z",
      "username": "dummy\\\\Administrator",
      "whiteningOptions": []
    }
  
  

• CEF

    <86>Nov  5 11:53:06 abcdefg sshd[1475549]: reprocess config line 158: Deprecated option RhostsRSAAuthentication
  

Référence du mappage de champs

Cette section explique comment l'analyseur Google SecOps mappe les champs d'alerte SentinelOne aux champs du modèle de données unifié (UDM) Google SecOps.

Référence du mappage des champs : identifiant d'événement vers type d'événement

Le tableau suivant liste les types de journaux SENTINELONE_ALERT et les types d'événements UDM correspondants.

Référence du mappage des champs : SENTINELONE_ALERT

Le tableau suivant liste les champs de journaux du type de journal SENTINELONE_ALERT et les champs UDM correspondants.

Étapes suivantes

• Ingestion de données dans Google Security Operations

Vous avez encore besoin d'aide ? Obtenez des réponses de membres de la communauté et de professionnels Google SecOps.