Mengumpulkan log Pemberitahuan SentinelOne

Dokumen ini menjelaskan cara mengumpulkan log Alert SentinelOne dengan menyiapkan feed Google Security Operations dan cara pemetaan kolom log ke kolom Model Data Terpadu (UDM) Google SecOps.

Untuk mengetahui informasi selengkapnya, lihat Ringkasan penyerapan data ke Google Security Operations.

Deployment umum terdiri dari Alert SentinelOne dan feed Google SecOps yang dikonfigurasi untuk mengirim log ke Google SecOps. Setiap deployment pelanggan dapat berbeda dan mungkin lebih kompleks.

Deployment berisi komponen berikut:

• SentinelOne: Produk tempat Anda mengumpulkan log.

• Feed Google SecOps: Feed Google SecOps yang mengambil log dari SentinelOne dan menulis log ke Google SecOps.

• Google SecOps: Google SecOps menyimpan dan menganalisis log dari SentinelOne.

Label penyerapan mengidentifikasi parser yang menormalisasi data log mentah ke dalam format UDM terstruktur. Informasi dalam dokumen ini berlaku untuk parser dengan label penyerapan SENTINELONE_ALERT.

Sebelum memulai

Pastikan Anda memenuhi prasyarat berikut:

• Langganan Singularity Complete yang aktif untuk SentinelOne. Lihat Paket Platform untuk mengetahui detail tambahan.
• GET Alerts and GET Threats API v2.1
• Peran Admin untuk tingkat Global atau Akun. Untuk mendapatkan peran Admin, hubungi pengguna administrator Anda.
• Hak administrator untuk menginstal agen SentinelOne. Untuk mendapatkan hak administrator, hubungi pengguna administrator Anda.

Cara menyiapkan SentinelOne:

Untuk membuat token API, ikuti langkah-langkah berikut: 1. Di konsol pengelolaan SentinelOne, buka Settings, lalu klik Users. 1. Klik Pengguna admin yang token API-nya ingin Anda buat. 1. Klik Actions > API token operations > Generate API token. Anda memerlukan token API ini untuk mengisi header HTTP Autentikasi di platform Google SecOps.

Menyiapkan feed

Ada dua titik entri berbeda untuk menyiapkan feed di platform Google SecOps:

• Setelan SIEM > Feed > Tambahkan Baru
• Hub Konten > Paket Konten > Mulai

Cara menyiapkan feed Pemberitahuan SentinelOne

1. Klik paket SentinelOne.
2. Cari jenis log SentinelOne Alerts.
3. Tentukan nilai untuk kolom berikut:
   • Jenis Sumber: API Pihak Ketiga (direkomendasikan)
   • Header HTTP autentikasi: Masukkan token API yang Anda buat di platform SentinelOne.
   • Nama host API: Nama host platform SentinelOne
   • Waktu mulai awal: Waktu untuk mulai mengambil pemberitahuan
   • Is alert API subscribed: Apakah AOI pemberitahuan dilanggan oleh pelanggan

   Opsi lanjutan

• Nama Feed: Nilai yang telah diisi otomatis yang mengidentifikasi feed.
• Namespace Aset: Namespace yang terkait dengan feed.
• Label Penyerapan: Label yang diterapkan ke semua peristiwa dari feed ini.

1. Klik Buat feed.

Untuk mengetahui informasi selengkapnya tentang cara mengonfigurasi beberapa feed untuk berbagai jenis log dalam keluarga produk ini, lihat Mengonfigurasi feed menurut produk.

Jenis log Pemberitahuan SentinelOne yang didukung

Parser Pemberitahuan SentinelOne mendukung jenis log pemberitahuan dan ancaman.

Format log Pemberitahuan SentinelOne yang didukung

Parser Pemberitahuan SentinelOne mendukung log dalam format JSON dan CEF.

Log Sampel Notifikasi SentinelOne yang Didukung

• JSON

    {
      "accountId": "1235512064263015539",
      "accountName": "dummy",
      "agentComputerName": "dummy",
      "agentDomain": "WORKGROUP",
      "agentId": "1245680559492378683",
      "agentInfected": false,
      "agentIp": "198.51.100.0",
      "agentIsActive": false,
      "agentIsDecommissioned": true,
      "agentMachineType": "server",
      "agentNetworkStatus": "disconnecting",
      "agentOsType": "windows",
      "agentVersion": "21.6.2.272",
      "annotation": "Automatically resolved by SentinelOne Console",
      "automaticallyResolved": true,
      "browserType": null,
      "certId": "",
      "classification": "Malware",
      "classificationSource": "Static",
      "classifierName": "MANUAL",
      "cloudVerdict": null,
      "collectionId": "1251555311751427932",
      "commandId": "1251555264615838432",
      "createdAt": "2022-09-03T19:36:59.540349Z",
      "createdDate": "2021-09-23T19:36:57.867000Z",
      "description": "malware detected - not mitigated yet (cmd.exe (interactive session))",
      "engines": [
        "manual"
      ],
      "external_ticket_id": null,
      "fileContentHash": "c3d10d8d9fce936e5ca32f930f20c8e703619f71",
      "fileCreatedDate": null,
      "fileDisplayName": "Unknown file",
      "fileExtensionType": "None",
      "fileIsDotNet": null,
      "fileIsExecutable": false,
      "fileIsSystem": false,
      "fileMaliciousContent": null,
      "fileObjectId": "3EFA3EFA3EFA3EFA",
      "filePath": "/home/gitlab-runner/webshell_hits/old.hits-go-here/fedcd896ef45bf145d7e880edd4e5390.dll",
      "fileSha256": null,
      "fileVerificationType": "NotSigned",
      "fromCloud": false,
      "fromScan": false,
      "id": "1251555311717873499",
      "indicators": [
        {
          "categoryName": "test Hiding/Stealthiness",
          "description": "This binary may have Anti-sandboxing capabilities to evade detection in sandbox tools",
          "id": 126
        },
        {
          "categoryName": "Hiding/Stealthiness",
          "description": "sample desc There are signs of a backdoor in the PE header",
          "id": 127
        },
        {
          "categoryName": "Test category name Hiding/Stealthiness",
          "description": "This binary might try to schedule a task or modify a scheduled task",
          "id": 129
        }
      ],
      "initiatedBy": "dvCommand",
      "initiatedByDescription": "Deep Visibility Command",
      "initiatingUserId": "1245152494739966182",
      "isCertValid": false,
      "isInteractiveSession": true,
      "isPartialStory": false,
      "maliciousGroupId": "DEA2CA314B3AB7E4",
      "maliciousProcessArguments": "",
      "markedAsBenign": true,
      "mitigationMode": "protect",
      "mitigationReport": {
        "kill": {
          "status": "success"
        },
        "network_quarantine": {
          "status": null
        },
        "quarantine": {
          "status": "success"
        },
        "remediate": {
          "status": null
        },
        "rollback": {
          "status": null
        },
        "unquarantine": {
          "status": null
        }
      },
      "mitigationStatus": "mitigated",
      "publisher": "",
      "rank": null,
      "resolved": true,
      "siteId": "1235512064330124404",
      "siteName": "Default site",
      "threatAgentVersion": "21.6.2.272",
      "threatName": "cmd.exe (interactive session)",
      "updatedAt": "2021-10-23T20:34:15.668440Z",
      "username": "dummy\\\\Administrator",
      "whiteningOptions": []
    }
  
  

• CEF

    <86>Nov  5 11:53:06 abcdefg sshd[1475549]: reprocess config line 158: Deprecated option RhostsRSAAuthentication
  

Referensi pemetaan kolom

Bagian ini menjelaskan cara parser Google SecOps memetakan kolom Alert SentinelOne ke kolom Model Data Terpadu (UDM) Google SecOps.

Referensi pemetaan kolom: ID Peristiwa ke Jenis Peristiwa

Tabel berikut mencantumkan jenis log SENTINELONE_ALERT dan jenis peristiwa UDM yang sesuai.

Referensi pemetaan kolom: SENTINELONE_ALERT

Tabel berikut mencantumkan kolom log jenis log SENTINELONE_ALERT dan kolom UDM yang sesuai.

Langkah berikutnya

• Penyerapan data ke Google Security Operations

Perlu bantuan lain? Dapatkan jawaban dari anggota Komunitas dan profesional Google SecOps.