收集 SentinelOne 提醒日志

本文档介绍了如何通过设置 Google Security Operations Feed 来收集 SentinelOne 提醒日志，以及日志字段如何映射到 Google SecOps Unified Data Model (UDM) 字段。

如需了解详情，请参阅 Google Security Operations 数据注入概览。

典型部署包括 SentinelOne 提醒和配置为将日志发送到 Google SecOps 的 Google SecOps Feed。每个客户部署都可能有所不同，并且可能更复杂。

部署包含以下组件：

• SentinelOne：您从中收集日志的产品。

• Google SecOps Feed：从 SentinelOne 获取日志并将日志写入 Google SecOps 的 Google SecOps Feed。

• Google SecOps：Google SecOps 会保留并分析来自 SentinelOne 的日志。

注入标签用于标识将原始日志数据标准化为结构化 UDM 格式的解析器。本文档中的信息适用于具有 SENTINELONE_ALERT 注入标签的解析器。

准备工作

请确保满足以下前提条件：

• SentinelOne 的有效 Singularity Complete 订阅。如需了解详情，请参阅平台软件包。
• GET Alerts 和 GET Threats API v2.1
• 全局级或账号级管理员角色。如需获得管理员角色，请与您的管理员用户联系。
• 安装 SentinelOne 代理的管理员权限。如需获得管理员权限，请与您的管理员用户联系。

如何设置 SentinelOne：

如需生成 API 令牌，请按以下步骤操作： 1. 在 SentinelOne 管理控制台中，前往设置，然后点击用户。 1. 点击要为其生成 API 令牌的管理员用户。 1. 依次点击操作 > API 令牌操作 > 生成 API 令牌。 您需要使用此 API 令牌在 Google SecOps 平台中填充身份验证 HTTP 标头。

设置 Feed

您可以通过两种不同的入口点在 Google SecOps 平台中设置 Feed：

• SIEM 设置 > Feed
• 内容中心 > 内容包

通过“SIEM 设置”>“Feed”设置 Feed

如需为相应产品系列中的不同日志类型配置多个 Feed，请参阅按产品配置 Feed。

如需配置单个 Feed，请按以下步骤操作：

1. 依次前往 SIEM 设置> Feed。
2. 点击添加新 Feed。
3. 在下一页上，点击配置单个 Feed。
4. 在 Feed 名称字段中，输入 Feed 的名称，例如 SentinelOne 提醒日志。
5. 选择第三方 API 作为来源类型，并选择 Sentinelone 提醒作为日志类型。

6. 点击 Next，然后为 SentinelOne 实例填充身份验证 HTTP 标头、API 主机名、初始开始时间、是否订阅了提醒 API 和资产命名空间。

   您需要使用 API 令牌来填充身份验证 HTTP 标头。它可以从 SentinelOne 生成，并可重复用于日后创建 Feed。 如需生成 API 令牌，请按以下步骤操作：

   1. 在 SentinelOne 管理控制台中，前往设置，然后点击用户。
   2. 点击要为其生成 API 令牌的管理员用户。
   3. 依次点击操作 > API 令牌操作 > 生成 API 令牌。
   4. 在身份验证 HTTP 标头中，以 Authorization: APIToken Token Value 格式输入生成的 API 令牌。
   5. 选中 Is alert API subscribed 复选框以收集 SentinelOne 提醒事件。
   6. 点击下一步，然后点击提交。

设置来自内容中心的 Feed

为以下字段指定值：

• 身份验证 HTTP 标头：用于以 key:value 格式针对 SentinelOne 警报和威胁及静态指示器 API 进行身份验证。
• API 主机名：SentinelOne API 的完全限定域名。
• 初始开始时间：应提取提醒的时间
• Is Alert API Subscribed：客户是否订阅了 Alerts API

• 访问密钥 ID：有权从 S3 存储桶读取数据的用户的访问密钥。

• 私有访问密钥：具有从 S3 存储桶读取权限的用户的私有密钥。

高级选项

• Feed 名称：用于标识 Feed 的预填充值。
• 来源类型：用于将日志收集到 Google SecOps 中的方法。
• 资产命名空间：与 Feed 关联的命名空间。
• 提取标签：应用于相应 Feed 中所有事件的标签。

支持的 SentinelOne 提醒日志类型

SentinelOne 提醒解析器支持提醒和威胁日志类型。

支持的 SentinelOne 提醒日志格式

SentinelOne 提醒解析器支持 JSON 和 CEF 格式的日志。

支持的 SentinelOne 提醒日志示例

• JSON

    {
      "accountId": "1235512064263015539",
      "accountName": "dummy",
      "agentComputerName": "dummy",
      "agentDomain": "WORKGROUP",
      "agentId": "1245680559492378683",
      "agentInfected": false,
      "agentIp": "198.51.100.0",
      "agentIsActive": false,
      "agentIsDecommissioned": true,
      "agentMachineType": "server",
      "agentNetworkStatus": "disconnecting",
      "agentOsType": "windows",
      "agentVersion": "21.6.2.272",
      "annotation": "Automatically resolved by SentinelOne Console",
      "automaticallyResolved": true,
      "browserType": null,
      "certId": "",
      "classification": "Malware",
      "classificationSource": "Static",
      "classifierName": "MANUAL",
      "cloudVerdict": null,
      "collectionId": "1251555311751427932",
      "commandId": "1251555264615838432",
      "createdAt": "2022-09-03T19:36:59.540349Z",
      "createdDate": "2021-09-23T19:36:57.867000Z",
      "description": "malware detected - not mitigated yet (cmd.exe (interactive session))",
      "engines": [
        "manual"
      ],
      "external_ticket_id": null,
      "fileContentHash": "c3d10d8d9fce936e5ca32f930f20c8e703619f71",
      "fileCreatedDate": null,
      "fileDisplayName": "Unknown file",
      "fileExtensionType": "None",
      "fileIsDotNet": null,
      "fileIsExecutable": false,
      "fileIsSystem": false,
      "fileMaliciousContent": null,
      "fileObjectId": "3EFA3EFA3EFA3EFA",
      "filePath": "/home/gitlab-runner/webshell_hits/old.hits-go-here/fedcd896ef45bf145d7e880edd4e5390.dll",
      "fileSha256": null,
      "fileVerificationType": "NotSigned",
      "fromCloud": false,
      "fromScan": false,
      "id": "1251555311717873499",
      "indicators": [
        {
          "categoryName": "test Hiding/Stealthiness",
          "description": "This binary may have Anti-sandboxing capabilities to evade detection in sandbox tools",
          "id": 126
        },
        {
          "categoryName": "Hiding/Stealthiness",
          "description": "sample desc There are signs of a backdoor in the PE header",
          "id": 127
        },
        {
          "categoryName": "Test category name Hiding/Stealthiness",
          "description": "This binary might try to schedule a task or modify a scheduled task",
          "id": 129
        }
      ],
      "initiatedBy": "dvCommand",
      "initiatedByDescription": "Deep Visibility Command",
      "initiatingUserId": "1245152494739966182",
      "isCertValid": false,
      "isInteractiveSession": true,
      "isPartialStory": false,
      "maliciousGroupId": "DEA2CA314B3AB7E4",
      "maliciousProcessArguments": "",
      "markedAsBenign": true,
      "mitigationMode": "protect",
      "mitigationReport": {
        "kill": {
          "status": "success"
        },
        "network_quarantine": {
          "status": null
        },
        "quarantine": {
          "status": "success"
        },
        "remediate": {
          "status": null
        },
        "rollback": {
          "status": null
        },
        "unquarantine": {
          "status": null
        }
      },
      "mitigationStatus": "mitigated",
      "publisher": "",
      "rank": null,
      "resolved": true,
      "siteId": "1235512064330124404",
      "siteName": "Default site",
      "threatAgentVersion": "21.6.2.272",
      "threatName": "cmd.exe (interactive session)",
      "updatedAt": "2021-10-23T20:34:15.668440Z",
      "username": "dummy\\\\Administrator",
      "whiteningOptions": []
    }
  
  

• CEF

    <86>Nov  5 11:53:06 abcdefg sshd[1475549]: reprocess config line 158: Deprecated option RhostsRSAAuthentication
  

字段映射参考

本部分介绍了 Google SecOps 解析器如何将 SentinelOne 提醒字段映射到 Google SecOps Unified Data Model (UDM) 字段。

字段映射参考信息：事件标识符到事件类型

下表列出了 SENTINELONE_ALERT 日志类型及其对应的 UDM 事件类型。

字段映射参考信息：SENTINELONE_ALERT

下表列出了 SENTINELONE_ALERT 日志类型的日志字段及其对应的 UDM 字段。

后续步骤

• 将数据注入到 Google Security Operations

需要更多帮助？从社区成员和 Google SecOps 专业人士那里获得解答。