Coletar registros de alertas do SentinelOne

Neste documento, descrevemos como coletar registros de alertas do SentinelOne configurando um feed do Google Security Operations e como os campos de registro são mapeados para os campos do Modelo de Dados Unificado (UDM) do Google SecOps.

Para mais informações, consulte Visão geral da ingestão de dados no Google Security Operations.

Uma implantação típica consiste em um alerta do SentinelOne e no feed do Google SecOps configurado para enviar registros ao Google SecOps. Cada implantação do cliente pode ser diferente e mais complexa.

A implantação contém os seguintes componentes:

• SentinelOne: o produto de que você coleta registros.

• Feed do Google SecOps: busca registros do SentinelOne e grava registros no Google SecOps.

• Google SecOps: o Google SecOps retém e analisa os registros do SentinelOne.

Um rótulo de ingestão identifica o analisador que normaliza dados de registro brutos para o formato UDM estruturado. As informações neste documento se aplicam ao analisador com o rótulo de ingestão SENTINELONE_ALERT.

Antes de começar

Verifique se você tem os pré-requisitos a seguir:

• Uma assinatura ativa do Singularity Complete para SentinelOne. Consulte Pacotes da plataforma para mais detalhes.
• GET Alerts e GET Threats API v2.1
• Uma função de administrador no nível global ou da conta. Para receber uma função de administrador, entre em contato com seu usuário administrador.
• Direitos de administrador para instalar o agente do SentinelOne. Para ter direitos de administrador, entre em contato com o usuário administrador.

Como configurar o SentinelOne:

Para gerar um token de API, siga estas etapas: 1. No console de gerenciamento do SentinelOne, acesse Configurações e clique em Usuários. 1. Clique no usuário administrador para quem você quer gerar o token de API. 1. Clique em Ações > Operações de token da API > Gerar token da API. Você precisa desse token de API para preencher os cabeçalhos HTTP de autenticação na plataforma Google SecOps.

Configurar feeds

Há dois pontos de entrada diferentes para configurar feeds na plataforma do Google SecOps:

• Configurações do SIEM > Feeds
• Central de conteúdo > Pacotes de conteúdo

Configure feeds em Configurações do SIEM > Feeds

Para configurar vários feeds para diferentes tipos de registros nessa família de produtos, consulte Configurar feeds por produto.

Para configurar um único feed, siga estas etapas:

1. Acesse Configurações do SIEM > Feeds.
2. Clique em Adicionar novo feed.
3. Na próxima página, clique em Configurar um único feed.
4. No campo Nome do feed, insira um nome para o feed, por exemplo, Registros de alertas do SentinelOne.
5. Selecione API de terceiros como o Tipo de origem e Alertas do Sentinelone como o Tipo de registro.

6. Clique em Próxima e preencha Cabeçalhos HTTP de autenticação, Nome do host da API, Horário de início inicial, A API de alertas está inscrita? e Namespace do recurso para sua instância do SentinelOne.

   Você precisa de um token de API para preencher os cabeçalhos HTTP de autenticação. Ele pode ser gerado no SentinelOne e reutilizado para criações de feed futuras. Para gerar um token de API, siga estas etapas:

   1. No console de gerenciamento do SentinelOne, acesse Configurações e clique em Usuários.
   2. Clique no usuário administrador para quem você quer gerar o token de API.
   3. Clique em Ações > Operações de token da API > Gerar token da API.
   4. Em Cabeçalhos HTTP de autenticação, insira o token de API gerado no formato Authorization: APIToken Token Value.
   5. Marque a caixa de seleção A API de alerta está inscrita? para coletar eventos de alerta do SentinelOne.
   6. Clique em Próxima e em Enviar.

Configurar feeds na Central de conteúdo

Especifique valores para os seguintes campos:

• Cabeçalhos HTTP de autenticação: usados para autenticar em relação à API de alertas e ameaças e indicadores estáticos do SentinelOne no formato key:value.
• Nome do host da API: o nome de domínio totalmente qualificado da API do SentinelOne.
• Horário de início inicial: tempo desde quando os alertas devem ser buscados.
• Is Alert API Subscribed: indica se a API Alerts está inscrita pelo cliente.

• ID da chave de acesso: a chave de acesso do usuário com permissões para ler do bucket do S3.

• Chave de acesso secreta: a chave secreta do usuário com permissões para ler do bucket do S3.

Opções avançadas

• Nome do feed: um valor pré-preenchido que identifica o feed.
• Tipo de origem: método usado para coletar registros no Google SecOps.
• Namespace do recurso: namespace associado ao feed.
• Rótulos de ingestão: rótulos aplicados a todos os eventos deste feed.

Tipos de registros de alerta do SentinelOne compatíveis

O analisador de alertas do SentinelOne é compatível com tipos de registros de alertas e ameaças.

Formatos de registros de alerta do SentinelOne aceitos

O analisador de alertas do SentinelOne é compatível com registros nos formatos JSON e CEF.

Registros de amostra de alertas do SentinelOne compatíveis

• JSON

    {
      "accountId": "1235512064263015539",
      "accountName": "dummy",
      "agentComputerName": "dummy",
      "agentDomain": "WORKGROUP",
      "agentId": "1245680559492378683",
      "agentInfected": false,
      "agentIp": "198.51.100.0",
      "agentIsActive": false,
      "agentIsDecommissioned": true,
      "agentMachineType": "server",
      "agentNetworkStatus": "disconnecting",
      "agentOsType": "windows",
      "agentVersion": "21.6.2.272",
      "annotation": "Automatically resolved by SentinelOne Console",
      "automaticallyResolved": true,
      "browserType": null,
      "certId": "",
      "classification": "Malware",
      "classificationSource": "Static",
      "classifierName": "MANUAL",
      "cloudVerdict": null,
      "collectionId": "1251555311751427932",
      "commandId": "1251555264615838432",
      "createdAt": "2022-09-03T19:36:59.540349Z",
      "createdDate": "2021-09-23T19:36:57.867000Z",
      "description": "malware detected - not mitigated yet (cmd.exe (interactive session))",
      "engines": [
        "manual"
      ],
      "external_ticket_id": null,
      "fileContentHash": "c3d10d8d9fce936e5ca32f930f20c8e703619f71",
      "fileCreatedDate": null,
      "fileDisplayName": "Unknown file",
      "fileExtensionType": "None",
      "fileIsDotNet": null,
      "fileIsExecutable": false,
      "fileIsSystem": false,
      "fileMaliciousContent": null,
      "fileObjectId": "3EFA3EFA3EFA3EFA",
      "filePath": "/home/gitlab-runner/webshell_hits/old.hits-go-here/fedcd896ef45bf145d7e880edd4e5390.dll",
      "fileSha256": null,
      "fileVerificationType": "NotSigned",
      "fromCloud": false,
      "fromScan": false,
      "id": "1251555311717873499",
      "indicators": [
        {
          "categoryName": "test Hiding/Stealthiness",
          "description": "This binary may have Anti-sandboxing capabilities to evade detection in sandbox tools",
          "id": 126
        },
        {
          "categoryName": "Hiding/Stealthiness",
          "description": "sample desc There are signs of a backdoor in the PE header",
          "id": 127
        },
        {
          "categoryName": "Test category name Hiding/Stealthiness",
          "description": "This binary might try to schedule a task or modify a scheduled task",
          "id": 129
        }
      ],
      "initiatedBy": "dvCommand",
      "initiatedByDescription": "Deep Visibility Command",
      "initiatingUserId": "1245152494739966182",
      "isCertValid": false,
      "isInteractiveSession": true,
      "isPartialStory": false,
      "maliciousGroupId": "DEA2CA314B3AB7E4",
      "maliciousProcessArguments": "",
      "markedAsBenign": true,
      "mitigationMode": "protect",
      "mitigationReport": {
        "kill": {
          "status": "success"
        },
        "network_quarantine": {
          "status": null
        },
        "quarantine": {
          "status": "success"
        },
        "remediate": {
          "status": null
        },
        "rollback": {
          "status": null
        },
        "unquarantine": {
          "status": null
        }
      },
      "mitigationStatus": "mitigated",
      "publisher": "",
      "rank": null,
      "resolved": true,
      "siteId": "1235512064330124404",
      "siteName": "Default site",
      "threatAgentVersion": "21.6.2.272",
      "threatName": "cmd.exe (interactive session)",
      "updatedAt": "2021-10-23T20:34:15.668440Z",
      "username": "dummy\\\\Administrator",
      "whiteningOptions": []
    }
  
  

• CEF

    <86>Nov  5 11:53:06 abcdefg sshd[1475549]: reprocess config line 158: Deprecated option RhostsRSAAuthentication
  

Referência de mapeamento de campos

Esta seção explica como o analisador do Google SecOps mapeia campos de alerta do SentinelOne para campos do modelo de dados unificado (UDM) do Google SecOps.

Referência de mapeamento de campos: identificador de evento para tipo de evento

A tabela a seguir lista os tipos de registros SENTINELONE_ALERT e os tipos de eventos da UDM correspondentes.

Referência de mapeamento de campo: SENTINELONE_ALERT

A tabela a seguir lista os campos de registro do tipo SENTINELONE_ALERT e os campos correspondentes da UDM.

A seguir

• Ingestão de dados no Google Security Operations

Precisa de mais ajuda? Receba respostas de membros da comunidade e profissionais do Google SecOps.