Recolha registos de alertas do SentinelOne

Este documento descreve como pode recolher registos de alertas do SentinelOne configurando um feed do Google Security Operations e como os campos de registo são mapeados para os campos do modelo de dados unificado (UDM) do Google SecOps.

Para mais informações, consulte o artigo Vista geral da ingestão de dados no Google Security Operations.

Uma implementação típica consiste no alerta do SentinelOne e no feed do Google SecOps configurado para enviar registos para o Google SecOps. Cada implementação do cliente pode ser diferente e mais complexa.

A implementação contém os seguintes componentes:

• SentinelOne: o produto a partir do qual recolhe registos.

• Feed do Google SecOps: o feed do Google SecOps que obtém registos do SentinelOne e escreve registos no Google SecOps.

• Google SecOps: o Google SecOps retém e analisa os registos do SentinelOne.

Uma etiqueta de carregamento identifica o analisador que normaliza os dados de registo não processados para o formato UDM estruturado. As informações neste documento aplicam-se ao analisador com a etiqueta de carregamento SENTINELONE_ALERT.

Antes de começar

Certifique-se de que tem os seguintes pré-requisitos:

• Uma subscrição ativa do Singularity Complete para o SentinelOne. Consulte o artigo Pacotes de plataformas para ver detalhes adicionais.
• API GET Alerts e GET Threats v2.1
• Uma função de administrador ao nível global ou da conta. Para receber uma função de administrador, contacte o utilizador administrador.
• Direitos de administrador para instalar o agente SentinelOne. Para ter direitos de administrador, contacte o utilizador administrador.

Como configurar o SentinelOne:

Para gerar um token de API, siga estes passos: 1. Na consola de gestão do SentinelOne, aceda a Settings e, de seguida, clique em Users. 1. Clique no utilizador administrador para o qual quer gerar o token da API. 1. Clique em Ações > Operações com chaves da API > Gerar chave da API. Precisa deste token da API para preencher os cabeçalhos HTTP de autenticação na plataforma Google SecOps.

Configure feeds

Existem dois pontos de entrada diferentes para configurar feeds na plataforma Google SecOps:

• Definições do SIEM > Feeds > Adicionar novo
• Content Hub > Pacotes de conteúdo > Começar

Como configurar o feed de alertas do SentinelOne

1. Clique no pacote SentinelOne.
2. Localize o tipo de registo Alertas do SentinelOne.
3. Especifique os valores para os seguintes campos:
   • Tipo de origem: API de terceiros (recomendado)
   • Cabeçalhos HTTP de autenticação: introduza o token da API que gerou na plataforma SentinelOne.
   • Nome de anfitrião da API: nome de anfitrião da plataforma SentinelOne
   • Hora de início inicial: hora a partir da qual começar a obter os alertas
   • Is alert API subscribed: se o cliente subscreve a API AOI de alertas

   Opções avançadas

• Nome do feed: um valor pré-preenchido que identifica o feed.
• Espaço de nomes do recurso: espaço de nomes associado ao feed.
• Etiquetas de carregamento: etiquetas aplicadas a todos os eventos deste feed.

1. Clique em Criar feed.

Para mais informações sobre a configuração de vários feeds para diferentes tipos de registos nesta família de produtos, consulte o artigo Configure feeds por produto.

Tipos de registos de alertas do SentinelOne suportados

O analisador de alertas do SentinelOne suporta tipos de registos de alertas e ameaças.

Formatos de registo de alertas do SentinelOne suportados

O analisador de alertas do SentinelOne suporta registos nos formatos JSON e CEF.

Registos de exemplo de alertas do SentinelOne suportados

• JSON

    {
      "accountId": "1235512064263015539",
      "accountName": "dummy",
      "agentComputerName": "dummy",
      "agentDomain": "WORKGROUP",
      "agentId": "1245680559492378683",
      "agentInfected": false,
      "agentIp": "198.51.100.0",
      "agentIsActive": false,
      "agentIsDecommissioned": true,
      "agentMachineType": "server",
      "agentNetworkStatus": "disconnecting",
      "agentOsType": "windows",
      "agentVersion": "21.6.2.272",
      "annotation": "Automatically resolved by SentinelOne Console",
      "automaticallyResolved": true,
      "browserType": null,
      "certId": "",
      "classification": "Malware",
      "classificationSource": "Static",
      "classifierName": "MANUAL",
      "cloudVerdict": null,
      "collectionId": "1251555311751427932",
      "commandId": "1251555264615838432",
      "createdAt": "2022-09-03T19:36:59.540349Z",
      "createdDate": "2021-09-23T19:36:57.867000Z",
      "description": "malware detected - not mitigated yet (cmd.exe (interactive session))",
      "engines": [
        "manual"
      ],
      "external_ticket_id": null,
      "fileContentHash": "c3d10d8d9fce936e5ca32f930f20c8e703619f71",
      "fileCreatedDate": null,
      "fileDisplayName": "Unknown file",
      "fileExtensionType": "None",
      "fileIsDotNet": null,
      "fileIsExecutable": false,
      "fileIsSystem": false,
      "fileMaliciousContent": null,
      "fileObjectId": "3EFA3EFA3EFA3EFA",
      "filePath": "/home/gitlab-runner/webshell_hits/old.hits-go-here/fedcd896ef45bf145d7e880edd4e5390.dll",
      "fileSha256": null,
      "fileVerificationType": "NotSigned",
      "fromCloud": false,
      "fromScan": false,
      "id": "1251555311717873499",
      "indicators": [
        {
          "categoryName": "test Hiding/Stealthiness",
          "description": "This binary may have Anti-sandboxing capabilities to evade detection in sandbox tools",
          "id": 126
        },
        {
          "categoryName": "Hiding/Stealthiness",
          "description": "sample desc There are signs of a backdoor in the PE header",
          "id": 127
        },
        {
          "categoryName": "Test category name Hiding/Stealthiness",
          "description": "This binary might try to schedule a task or modify a scheduled task",
          "id": 129
        }
      ],
      "initiatedBy": "dvCommand",
      "initiatedByDescription": "Deep Visibility Command",
      "initiatingUserId": "1245152494739966182",
      "isCertValid": false,
      "isInteractiveSession": true,
      "isPartialStory": false,
      "maliciousGroupId": "DEA2CA314B3AB7E4",
      "maliciousProcessArguments": "",
      "markedAsBenign": true,
      "mitigationMode": "protect",
      "mitigationReport": {
        "kill": {
          "status": "success"
        },
        "network_quarantine": {
          "status": null
        },
        "quarantine": {
          "status": "success"
        },
        "remediate": {
          "status": null
        },
        "rollback": {
          "status": null
        },
        "unquarantine": {
          "status": null
        }
      },
      "mitigationStatus": "mitigated",
      "publisher": "",
      "rank": null,
      "resolved": true,
      "siteId": "1235512064330124404",
      "siteName": "Default site",
      "threatAgentVersion": "21.6.2.272",
      "threatName": "cmd.exe (interactive session)",
      "updatedAt": "2021-10-23T20:34:15.668440Z",
      "username": "dummy\\\\Administrator",
      "whiteningOptions": []
    }
  
  

• CEF

    <86>Nov  5 11:53:06 abcdefg sshd[1475549]: reprocess config line 158: Deprecated option RhostsRSAAuthentication
  

Referência de mapeamento de campos

Esta secção explica como o analisador do Google SecOps mapeia os campos de alerta do SentinelOne para os campos do modelo de dados unificado (UDM) do Google SecOps.

Referência de mapeamento de campos: identificador do evento para tipo de evento

A tabela seguinte apresenta os SENTINELONE_ALERT tipos de registos e os respetivos tipos de eventos da UDM.

Referência de mapeamento de campos: SENTINELONE_ALERT

A tabela seguinte apresenta os campos de registo do SENTINELONE_ALERT tipo de registo e os respetivos campos UDM.

O que se segue?

• Carregamento de dados para o Google Security Operations

Precisa de mais ajuda? Receba respostas de membros da comunidade e profissionais da Google SecOps.