Recoger registros de SentinelOne Cloud Funnel

En este documento se describe cómo puede exportar los registros de Cloud Funnel de SentinelOne configurando un feed de Google Security Operations y cómo se asignan los campos de registro a los campos del modelo de datos unificado (UDM) de Google Security Operations.

Para obtener más información, consulta el artículo Información general sobre la ingestión de datos en Google Security Operations.

Una implementación típica consta de SentinelOne Cloud Funnel y el feed de Google Security Operations configurado para enviar registros a Google Security Operations. Cada implementación de cliente puede ser diferente y más compleja.

La implementación contiene los siguientes componentes:

• SentinelOne la plataforma de la que recoges los registros.

• Feed de Google Security Operations: el feed de Google Security Operations que obtiene registros de SentinelOne y escribe registros en Google Security Operations.

• Google Security Operations: conserva y analiza los registros.

Una etiqueta de ingestión identifica el analizador que normaliza los datos de registro sin procesar en formato UDM estructurado. La información de este documento se aplica al analizador con la etiqueta de ingestión SENTINELONE_CF.

Antes de empezar

Asegúrate de que cumples los siguientes requisitos previos:

• Una suscripción activa a Singularity Complete de SentinelOne. Consulta Paquetes de la plataforma para obtener más información.
• Una licencia activa para el módulo de streaming de data lake Cloud Funnel.
• SentinelOne Cloud Funnel v2.0
• Un rol de administrador a nivel global o de cuenta. Para obtener el rol de administrador, ponte en contacto con tu usuario administrador.
• Derechos de administrador para instalar el agente de SentinelOne. Para obtener derechos de administrador, ponte en contacto con tu usuario administrador.
• Un segmento de almacenamiento configurado. Google Cloud Para obtener más información, consulta Configurar tu Google Cloud segmento de almacenamiento.
  • Sustituye YOUR_CONSOLE_DOMAIN en la URL por el dominio de tu consola.

Configurar SentinelOne Cloud Funnel

1. Inicia sesión en la consola de administración de SentinelOne.
2. En la barra de herramientas Configuración, haz clic en Integraciones > Cloud Funnel.
3. En la lista Proveedor de Cloud, seleccione Google Cloud.
4. En el campo Nombre de almacenamiento de GCS, introduce el nombre del segmento de Cloud Storage.
5. Haga clic en Validar para comprobar si el segmento existe y si SentinelOne tiene acceso de lectura y escritura al segmento.
6. Selecciona Habilitar la transmisión de telemetría para transmitir tus datos de XDR a tu segmento.

Configurar feeds

Hay dos puntos de entrada diferentes para configurar feeds en la plataforma Google SecOps:

• Configuración de SIEM > Feeds > Añadir nuevo feed
• Centro de contenido > Paquetes de contenido > Empezar

Cómo configurar el feed de SentinelOne Singularity Cloud Funnel

1. Haz clic en el paquete SentinelOne.
2. Haga clic en el tipo de registro SentinelOne Singularity Cloud Funnel.

3. Especifique los valores de los siguientes campos:

   • Tipo de fuente: Google Cloud Storage V2.
   • URI del segmento de almacenamiento: el URI de origen del segmento de Google Cloud Storage.
   • Opción de eliminación de la fuente: si quieres eliminar los archivos o directorios después de transferirlos. Selecciona la opción Eliminar archivos transferidos en Opción de eliminación de la fuente.
   • Antigüedad máxima del archivo: incluye los archivos modificados en los últimos días. El valor predeterminado es 180 días.
   • Cuenta de servicio de Chronicle: copia la cuenta de servicio. La necesitarás para añadir permisos en el segmento a esta cuenta de servicio y permitir que Google SecOps lea o elimine datos del segmento.

   Opciones avanzadas

   • Nombre del feed: un valor rellenado automáticamente que identifica el feed.
   • Espacio de nombres del recurso: espacio de nombres asociado al feed.
   • Etiquetas de ingestión: etiquetas aplicadas a todos los eventos de este feed.

4. Haga clic en Crear feed.

Para obtener más información sobre cómo configurar varios feeds para diferentes tipos de registros en esta familia de productos, consulta el artículo Configurar feeds por producto.

En el Google Cloud segmento de Storage, para añadir los permisos Administrador de objetos de Storage o Usuario de objetos de Storage a esta cuenta de servicio, sigue estos pasos:

1. En tu Google Cloud consola, ve a Segmentos y selecciona el nombre del segmento.

2. En Detalles del contenedor, ve a Permisos > Conceder acceso.

3. En Nuevos principales, pega la cuenta de servicio que has copiado.

4. En Selecciona un rol, elige Cloud Storage y, a continuación, el rol Administrador de objetos de Storage o Usuario de objetos de Storage.

5. Haz clic en Siguiente y, a continuación, en Enviar.

Formatos de registro de SentinelOne Cloud Funnel admitidos

El analizador de SentinelOne Cloud Funnel admite registros en formato JSON.

Registros de ejemplo de SentinelOne Cloud Funnel admitidos

• JSON

  {
    "src.process.parent.isStorylineRoot": true,
    "event.category": "group",
    "src.process.parent.image.sha1": "2d79a17a7f226b4a3bc25d47d73570f9a33aac1a",
    "site.id": "767524645468373018",
    "src.process.parent.displayName": "Services and Controller app",
    "src.process.image.binaryIsExecutable": true,
    "src.process.parent.subsystem": "SYS_WIN32",
    "src.process.user": "NT AUTHORITY\\\\SYSTEM",
    "src.process.indicatorRansomwareCount": 0,
    "src.process.crossProcessDupRemoteProcessHandleCount": 0,
    "src.process.tgtFileCreationCount": 0,
    "src.process.indicatorInjectionCount": 0,
    "src.process.moduleCount": 121,
    "i.version": "preprocess-lib-1.0",
    "src.process.parent.name": "services.exe",
    "src.process.image.md5": "b7f884c1b74a263f746ee12a5f7c9f6a",
    "src.process.indicatorReconnaissanceCount": 0,
    "src.process.storyline.id": "93CD8594B971B84A",
    "src.process.childProcCount": 0,
    "mgmt.url": "euce1-dummy.xyz.net",
    "src.process.crossProcessOpenProcessCount": 0,
    "src.process.subsystem": "SYS_WIN32",
    "meta.event.name": "GROUPCREATION",
    "src.process.parent.integrityLevel": "SYSTEM",
    "src.process.indicatorExploitationCount": 0,
    "src.process.parent.storyline.id": "31E78494B971B84A",
    "i.scheme": "edr",
    "src.process.integrityLevel": "SYSTEM",
    "site.name": "Dummy Corp",
    "src.process.netConnInCount": 0,
    "event.time": 1692575814995,
    "timestamp": "2023-08-20T23:56:54.995Z",
    "account.id": "767524645367709720",
    "dataSource.name": "SentinelOne",
    "endpoint.name": "Dummy Endpoint",
    "src.process.image.sha1": "1bc5066ddf693fc034d6514618854e26a84fd0d1",
    "src.process.isStorylineRoot": true,
    "src.process.parent.image.path": "C:\\\\windows\\\\System32\\\\services.exe",
    "dataSource.vendor": "SentinelOne",
    "src.process.pid": 21760,
    "tgt.file.isSigned": "signed",
    "dataSource.category": "security",
    "src.process.cmdline": "C:\\\\windows\\\\system32\\\\svchost.exe -k netsvcs -p -s wlidsvc",
    "src.process.publisher": "MICROSOFT WINDOWS",
    "src.process.crossProcessThreadCreateCount": 0,
    "src.process.parent.isNative64Bit": false,
    "src.process.parent.isRedirectCmdProcessor": false,
    "src.process.crossProcessCount": 0,
    "src.process.signedStatus": "signed",
    "event.id": "01H8B5MR9QQEYRC77NV97T2PR0_468",
    "src.process.parent.cmdline": "C:\\\\windows\\\\system32\\\\services.exe",
    "src.process.image.path": "C:\\\\windows\\\\System32\\\\svchost.exe",
    "src.process.tgtFileModificationCount": 0,
    "src.process.indicatorEvasionCount": 0,
    "src.process.netConnOutCount": 2,
    "src.process.crossProcessDupThreadHandleCount": 0,
    "endpoint.os": "windows",
    "src.process.tgtFileDeletionCount": 0,
    "src.process.startTime": 1692575814987,
    "mgmt.id": "12277",
    "os.name": "Windows 10 Enterprise",
    "src.process.displayName": "Host Process for Windows Services",
    "src.process.parent.sessionId": 0,
    "src.process.isNative64Bit": false,
    "src.process.uid": "92CD8594B971B84A",
    "src.process.parent.image.md5": "14b88ff4833012512278a5f3a5712bd2",
    "src.process.indicatorBootConfigurationUpdateCount": 0,
    "src.process.indicatorInfostealerCount": 20,
    "process.unique.key": "92CD8594B971B84A",
    "agent.version": "22.2.4.558",
    "src.process.parent.uid": "30E78494B971B84A",
    "src.process.parent.image.sha256": "e6fe9a94e8686e957dbcec2b89c1c1ddcf8e75d76e9200d0cbef74d510c71317",
    "src.process.sessionId": 0,
    "src.process.netConnCount": 2,
    "mgmt.osRevision": "19045",
    "group.id": "93CD8594B971B84A",
    "src.process.parent.publisher": "MICROSOFT WINDOWS PUBLISHER",
    "src.process.isRedirectCmdProcessor": false,
    "src.process.verifiedStatus": "verified",
    "src.process.parent.startTime": 1692333530832,
    "src.process.dnsCount": 4,
    "endpoint.type": "laptop",
    "trace.id": "01H8B5MR9QQEYRC77NV97T2PR0",
    "src.process.name": "svchost.exe",
    "agent.uuid": "615151318b7b4f8fb4fa1d1b28b7ad0f",
    "src.process.image.sha256": "add683a6910abbbf0e28b557fad0ba998166394932ae2aca069d9aa19ea8fe88",
    "src.process.indicatorGeneralCount": 8,
    "src.process.crossProcessOutOfStorylineCount": 0,
    "packet.id": "80BC84D0E056415C91A410DDA4B523CD",
    "src.process.registryChangeCount": 0,
    "src.process.indicatorPersistenceCount": 0,
    "src.process.parent.signedStatus": "signed",
    "src.process.parent.user": "NT AUTHORITY\\\\SYSTEM",
    "event.type": "Group Creation",
    "src.process.indicatorPostExploitationCount": 0,
    "src.process.parent.pid": 1568
  }
  

Tipos de registros de SentinelOne Cloud Funnel admitidos

El analizador de SentinelOne Cloud Funnel admite los siguientes tipos de registros:

Configurar feeds desde el Centro de contenido

Especifique los valores de los siguientes campos:

• URI del segmento de almacenamiento: el URI de origen del segmento de Google Cloud Storage.
• El URI es un: selecciona el tipo de URI según la configuración del flujo de registros (Archivo único, Directorio o Directorio que incluye subdirectorios).
• Opciones de eliminación de la fuente: selecciona la opción de eliminación que prefieras según tus preferencias de ingesta.

Opciones avanzadas

• Nombre del feed: un valor rellenado automáticamente que identifica el feed.
• Tipo de fuente: método usado para recoger registros en Google SecOps.
• Espacio de nombres de recursos: espacio de nombres asociado al feed.
• Etiquetas de ingestión: etiquetas aplicadas a todos los eventos de este feed.

Referencia de asignación de campos

En esta sección se explica cómo asigna el analizador de Google Security Operations los campos de SentinelOne a los campos del modelo de datos unificado (UDM) de Google Security Operations.

Referencia de asignación de campos: identificador de evento a tipo de evento

En la siguiente tabla se enumeran los SENTINELONE_CF tipos de registros y sus tipos de eventos de UDM correspondientes.

Referencia de asignación de campos: SENTINELONE_CF

En la siguiente tabla se enumeran los campos de registro del tipo de registro SENTINELONE_CF y sus campos de UDM correspondientes.

Siguientes pasos

• Ingestión de datos en Google Security Operations

¿Necesitas más ayuda? Recibe respuestas de los miembros de la comunidad y de los profesionales de Google SecOps.