收集 SentinelOne 快訊記錄

本文說明如何設定 Google Security Operations 動態饋給，收集 SentinelOne 快訊記錄，以及記錄欄位如何對應至 Google SecOps Unified Data Model (UDM) 欄位。

詳情請參閱「將資料擷取至 Google Security Operations 總覽」。

一般部署作業包含 SentinelOne 快訊和 Google SecOps 資訊動態，設定為將記錄傳送至 Google SecOps。每個客戶的部署作業可能有所不同，也可能更複雜。

部署作業包含下列元件：

• SentinelOne：您要從中收集記錄的產品。

• Google SecOps 資訊提供：從 SentinelOne 擷取記錄，並將記錄寫入 Google SecOps 的 Google SecOps 資訊提供。

• Google SecOps：Google SecOps 會保留及分析 SentinelOne 的記錄檔。

擷取標籤會識別剖析器，該剖析器會將原始記錄資料正規化為具結構性的 UDM 格式。本文中的資訊適用於具有 SENTINELONE_ALERT 攝入標籤的剖析器。

事前準備

請確認您已完成下列事前準備事項：

• SentinelOne 的有效 Singularity Complete 訂閱方案。詳情請參閱「平台套件」。
• GET Alerts 和 GET Threats API 2.1 版
• 全域或帳戶層級的管理員角色。如要取得管理員角色，請與管理員使用者聯絡。
• 安裝 SentinelOne 代理程式的管理員權限。如要取得管理員權限，請與管理員使用者聯絡。

如何設定 SentinelOne：

如要產生 API 權杖，請按照下列步驟操作： 1. 在 SentinelOne 管理控制台中，前往「設定」，然後按一下「使用者」。 1. 按一下要產生 API 權杖的管理員使用者。 1. 依序點選「動作」 >「API 權杖作業」 >「產生 API 權杖」。 您需要這個 API 權杖，才能在 Google SecOps 平台中填入驗證 HTTP 標頭。

設定動態饋給

在 Google SecOps 平台中，有兩種不同的進入點可設定動態饋給：

• 「SIEM 設定」>「動態消息」
• 內容中心 > 內容包

依序前往「SIEM 設定」>「動態消息」，設定動態消息

如要為這個產品系列中的不同記錄類型設定多個動態饋給，請參閱「依產品設定動態饋給」。

如要設定單一動態饋給，請按照下列步驟操作：

1. 依序前往「SIEM 設定」>「動態饋給」。
2. 按一下「新增動態消息」。
3. 在下一個頁面中，按一下「設定單一動態饋給」。
4. 在「動態饋給名稱」欄位中，輸入動態饋給的名稱，例如「SentinelOne Alert Logs」。
5. 選取「第三方 API」做為「來源類型」，並選取「Sentinelone 警報」做為「記錄類型」。

6. 按一下「下一步」，然後填入 SentinelOne 執行個體的「Authentication HTTP headers」(驗證 HTTP 標頭)、「API hostname」(API 主機名稱)、「Initial start time」(初始開始時間)、「Is alert API subscribed」(是否訂閱快訊 API) 和「Asset namespace」(資產命名空間)。

   您需要 API 權杖才能填入驗證 HTTP 標頭。 這項權杖可從 SentinelOne 產生，並重複用於日後的動態饋給建立作業。如要產生 API 權杖，請按照下列步驟操作：

   1. 在 SentinelOne 管理控制台中，前往「設定」，然後按一下「使用者」。
   2. 按一下要產生 API 權杖的管理員使用者。
   3. 依序點選「動作」 >「API 權杖作業」 >「產生 API 權杖」。
   4. 在「Authentication HTTP headers」中，以 Authorization: APIToken Token Value 格式輸入產生的 API 權杖。
   5. 選取「Is alert API subscribed」核取方塊，即可收集 SentinelOne 警報事件。
   6. 依序點選「下一步」和「提交」。

從內容中心設定動態饋給

為下列欄位指定值：

• 驗證 HTTP 標頭：用於以 key:value 格式驗證 SentinelOne 快訊和威脅與靜態指標 API。
• API 主機名稱：SentinelOne API 的完整網域名稱。
• 初始開始時間：應擷取快訊的時間
• 是否已訂閱快訊 API：客戶是否已訂閱快訊 API

• 存取金鑰 ID：具備 S3 值區讀取權限的使用者存取金鑰。

• 存取密鑰：使用者的存取密鑰，具備從 S3 bucket 讀取的權限。

進階選項

• 動態饋給名稱：系統預先填入的值，用於識別動態饋給。
• 來源類型：將記錄收集到 Google SecOps 的方法。
• 資產命名空間：與動態饋給相關聯的命名空間。
• 擷取標籤：套用至這個動態饋給所有事件的標籤。

支援的 SentinelOne 快訊記錄類型

SentinelOne 警示剖析器支援警示和威脅記錄檔類型。

支援的 SentinelOne 快訊記錄格式

SentinelOne Alert 剖析器支援 JSON 和 CEF 格式的記錄。

支援的 SentinelOne 快訊樣本記錄

• JSON

    {
      "accountId": "1235512064263015539",
      "accountName": "dummy",
      "agentComputerName": "dummy",
      "agentDomain": "WORKGROUP",
      "agentId": "1245680559492378683",
      "agentInfected": false,
      "agentIp": "198.51.100.0",
      "agentIsActive": false,
      "agentIsDecommissioned": true,
      "agentMachineType": "server",
      "agentNetworkStatus": "disconnecting",
      "agentOsType": "windows",
      "agentVersion": "21.6.2.272",
      "annotation": "Automatically resolved by SentinelOne Console",
      "automaticallyResolved": true,
      "browserType": null,
      "certId": "",
      "classification": "Malware",
      "classificationSource": "Static",
      "classifierName": "MANUAL",
      "cloudVerdict": null,
      "collectionId": "1251555311751427932",
      "commandId": "1251555264615838432",
      "createdAt": "2022-09-03T19:36:59.540349Z",
      "createdDate": "2021-09-23T19:36:57.867000Z",
      "description": "malware detected - not mitigated yet (cmd.exe (interactive session))",
      "engines": [
        "manual"
      ],
      "external_ticket_id": null,
      "fileContentHash": "c3d10d8d9fce936e5ca32f930f20c8e703619f71",
      "fileCreatedDate": null,
      "fileDisplayName": "Unknown file",
      "fileExtensionType": "None",
      "fileIsDotNet": null,
      "fileIsExecutable": false,
      "fileIsSystem": false,
      "fileMaliciousContent": null,
      "fileObjectId": "3EFA3EFA3EFA3EFA",
      "filePath": "/home/gitlab-runner/webshell_hits/old.hits-go-here/fedcd896ef45bf145d7e880edd4e5390.dll",
      "fileSha256": null,
      "fileVerificationType": "NotSigned",
      "fromCloud": false,
      "fromScan": false,
      "id": "1251555311717873499",
      "indicators": [
        {
          "categoryName": "test Hiding/Stealthiness",
          "description": "This binary may have Anti-sandboxing capabilities to evade detection in sandbox tools",
          "id": 126
        },
        {
          "categoryName": "Hiding/Stealthiness",
          "description": "sample desc There are signs of a backdoor in the PE header",
          "id": 127
        },
        {
          "categoryName": "Test category name Hiding/Stealthiness",
          "description": "This binary might try to schedule a task or modify a scheduled task",
          "id": 129
        }
      ],
      "initiatedBy": "dvCommand",
      "initiatedByDescription": "Deep Visibility Command",
      "initiatingUserId": "1245152494739966182",
      "isCertValid": false,
      "isInteractiveSession": true,
      "isPartialStory": false,
      "maliciousGroupId": "DEA2CA314B3AB7E4",
      "maliciousProcessArguments": "",
      "markedAsBenign": true,
      "mitigationMode": "protect",
      "mitigationReport": {
        "kill": {
          "status": "success"
        },
        "network_quarantine": {
          "status": null
        },
        "quarantine": {
          "status": "success"
        },
        "remediate": {
          "status": null
        },
        "rollback": {
          "status": null
        },
        "unquarantine": {
          "status": null
        }
      },
      "mitigationStatus": "mitigated",
      "publisher": "",
      "rank": null,
      "resolved": true,
      "siteId": "1235512064330124404",
      "siteName": "Default site",
      "threatAgentVersion": "21.6.2.272",
      "threatName": "cmd.exe (interactive session)",
      "updatedAt": "2021-10-23T20:34:15.668440Z",
      "username": "dummy\\\\Administrator",
      "whiteningOptions": []
    }
  
  

• CEF

    <86>Nov  5 11:53:06 abcdefg sshd[1475549]: reprocess config line 158: Deprecated option RhostsRSAAuthentication
  

欄位對應參考資料

本節說明 Google SecOps 剖析器如何將 SentinelOne 警報欄位對應至 Google SecOps 統合式資料模型 (UDM) 欄位。

欄位對應參照：事件 ID 對應至事件類型

下表列出 SENTINELONE_ALERT 記錄類型及其對應的 UDM 事件類型。

欄位對應參考資料：SENTINELONE_ALERT

下表列出 SENTINELONE_ALERT 記錄類型的記錄欄位，以及對應的 UDM 欄位。

後續步驟

• 將資料擷取至 Google Security Operations

還有其他問題嗎？向社群成員和 Google SecOps 專業人員尋求答案。