Raccogliere i log di SentinelOne Cloud Funnel

Questo documento descrive come esportare i log di SentinelOne Cloud Funnel configurando un feed Google Security Operations e come i campi dei log vengono mappati ai campi Unified Data Model (UDM) di Google Security Operations.

Per saperne di più, consulta la Panoramica sull'importazione dei dati in Google Security Operations.

Un deployment tipico è costituito da SentinelOne Cloud Funnel e dal feed Google Security Operations configurato per inviare i log a Google Security Operations. Ogni implementazione del cliente può variare ed essere più complessa.

Il deployment contiene i seguenti componenti:

• SentinelOne: la piattaforma da cui raccogli i log.

• Feed Google Security Operations: il feed Google Security Operations che recupera i log da SentinelOne e li scrive in Google Security Operations.

• Google Security Operations: conserva e analizza i log.

Un'etichetta di importazione identifica il parser che normalizza i dati di log non elaborati in formato UDM strutturato. Le informazioni contenute in questo documento si applicano al parser con l'etichetta di importazione SENTINELONE_CF.

Prima di iniziare

Assicurati di soddisfare i seguenti prerequisiti:

• Un abbonamento Singularity Complete attivo per SentinelOne. Per ulteriori dettagli, consulta Pacchetti della piattaforma.
• Una licenza attiva per il modulo di streaming del data lake Cloud Funnel.
• SentinelOne Cloud Funnel v2.0
• Un ruolo di amministratore a livello globale o di account. Per ottenere il ruolo di amministratore, contatta l'utente amministratore.
• Diritti di amministratore per installare l'agente SentinelOne. Per ottenere i diritti di amministratore, contatta l'utente amministratore.
• Un bucket di archiviazione Google Cloud configurato. Per saperne di più, consulta Configurare il bucket di archiviazione. Google Cloud
  • Sostituisci YOUR_CONSOLE_DOMAIN nell'URL con il tuo dominio della console specifico.

Configura SentinelOne Cloud Funnel

1. Accedi alla console di gestione di SentinelOne.
2. Nella barra degli strumenti Impostazioni, fai clic su Integrazioni > Cloud Funnel.
3. Nell'elenco Cloud Provider, seleziona Google Cloud.
4. Nel campo Nome archiviazione GCS, inserisci il nome del bucket Cloud Storage.
5. Fai clic su Convalida per verificare se il bucket esiste e se SentinelOne ha accesso in lettura e scrittura al bucket.
6. Seleziona Attiva lo streaming di telemetria per trasmettere in streaming i dati XDR al tuo bucket.

Configurare i feed

Esistono due diversi punti di accesso per configurare i feed nella piattaforma Google SecOps:

• Impostazioni SIEM > Feed
• Hub dei contenuti > Pacchetti di contenuti

Configurare i feed da Impostazioni SIEM > Feed

Per configurare più feed per diversi tipi di log all'interno di questa famiglia di prodotti, consulta Configurare i feed per prodotto.

Per configurare un singolo feed:

1. Vai a Impostazioni SIEM > Feed.
2. Fai clic su Aggiungi nuovo feed.
3. Nella pagina successiva, fai clic su Configura un singolo feed.
4. Nel campo Nome feed, inserisci un nome per il feed, ad esempio SentinelOne Cloud Funnel Logs.
5. Seleziona Google Cloud Storage come Tipo di origine.
6. Seleziona SentinelOne Singularity Cloud Funnel come Tipo di log.
7. Fai clic su Recupera un service account. Copia l'account di servizio. Ti servirà per aggiungere autorizzazioni nel bucket per questo service account per consentire a Google Security Operations di leggere o eliminare i dati nel bucket.
8. Fai clic su Avanti.

9. Configura i seguenti parametri di input:

   • URI bucket di archiviazione: l'URI di origine del bucket Google Cloud Storage.
   • URI è un: il tipo di oggetto a cui punta l'URI.
   • Opzione di eliminazione dell'origine: se eliminare file o directory dopo il trasferimento.
   • Seleziona l'opzione Elimina i file trasferiti in Opzione di eliminazione dell'origine.

   Nel Google Cloud bucket di archiviazione, per aggiungere le autorizzazioni Amministratore oggetti Storage o Utente oggetti Storage a questo service account:

   1. Nella Google Cloud console, vai a Bucket e seleziona il nome del bucket.

   2. In Dettagli bucket, vai a Autorizzazioni > Concedi accesso.

   3. In Nuove entità, incolla l'account di servizio che hai copiato.

   4. In Seleziona un ruolo, seleziona Cloud Storage, poi seleziona il ruolo Amministratore oggetti Storage o Utente oggetti Storage.

10. Fai clic su Avanti e poi su Invia.

Per saperne di più sui feed di Google Security Operations, consulta la documentazione sui feed di Google Security Operations. Per informazioni sui requisiti per ciascun tipo di feed, consulta Configurazione dei feed per tipo. Se riscontri problemi durante la creazione dei feed, contatta l'assistenza Google Security Operations.

Formati dei log di SentinelOne Cloud Funnel supportati

Il parser SentinelOne Cloud Funnel supporta i log in formato JSON.

Log di esempio di Cloud Funnel di SentinelOne supportati

• JSON

  {
    "src.process.parent.isStorylineRoot": true,
    "event.category": "group",
    "src.process.parent.image.sha1": "2d79a17a7f226b4a3bc25d47d73570f9a33aac1a",
    "site.id": "767524645468373018",
    "src.process.parent.displayName": "Services and Controller app",
    "src.process.image.binaryIsExecutable": true,
    "src.process.parent.subsystem": "SYS_WIN32",
    "src.process.user": "NT AUTHORITY\\\\SYSTEM",
    "src.process.indicatorRansomwareCount": 0,
    "src.process.crossProcessDupRemoteProcessHandleCount": 0,
    "src.process.tgtFileCreationCount": 0,
    "src.process.indicatorInjectionCount": 0,
    "src.process.moduleCount": 121,
    "i.version": "preprocess-lib-1.0",
    "src.process.parent.name": "services.exe",
    "src.process.image.md5": "b7f884c1b74a263f746ee12a5f7c9f6a",
    "src.process.indicatorReconnaissanceCount": 0,
    "src.process.storyline.id": "93CD8594B971B84A",
    "src.process.childProcCount": 0,
    "mgmt.url": "euce1-dummy.xyz.net",
    "src.process.crossProcessOpenProcessCount": 0,
    "src.process.subsystem": "SYS_WIN32",
    "meta.event.name": "GROUPCREATION",
    "src.process.parent.integrityLevel": "SYSTEM",
    "src.process.indicatorExploitationCount": 0,
    "src.process.parent.storyline.id": "31E78494B971B84A",
    "i.scheme": "edr",
    "src.process.integrityLevel": "SYSTEM",
    "site.name": "Dummy Corp",
    "src.process.netConnInCount": 0,
    "event.time": 1692575814995,
    "timestamp": "2023-08-20T23:56:54.995Z",
    "account.id": "767524645367709720",
    "dataSource.name": "SentinelOne",
    "endpoint.name": "Dummy Endpoint",
    "src.process.image.sha1": "1bc5066ddf693fc034d6514618854e26a84fd0d1",
    "src.process.isStorylineRoot": true,
    "src.process.parent.image.path": "C:\\\\windows\\\\System32\\\\services.exe",
    "dataSource.vendor": "SentinelOne",
    "src.process.pid": 21760,
    "tgt.file.isSigned": "signed",
    "dataSource.category": "security",
    "src.process.cmdline": "C:\\\\windows\\\\system32\\\\svchost.exe -k netsvcs -p -s wlidsvc",
    "src.process.publisher": "MICROSOFT WINDOWS",
    "src.process.crossProcessThreadCreateCount": 0,
    "src.process.parent.isNative64Bit": false,
    "src.process.parent.isRedirectCmdProcessor": false,
    "src.process.crossProcessCount": 0,
    "src.process.signedStatus": "signed",
    "event.id": "01H8B5MR9QQEYRC77NV97T2PR0_468",
    "src.process.parent.cmdline": "C:\\\\windows\\\\system32\\\\services.exe",
    "src.process.image.path": "C:\\\\windows\\\\System32\\\\svchost.exe",
    "src.process.tgtFileModificationCount": 0,
    "src.process.indicatorEvasionCount": 0,
    "src.process.netConnOutCount": 2,
    "src.process.crossProcessDupThreadHandleCount": 0,
    "endpoint.os": "windows",
    "src.process.tgtFileDeletionCount": 0,
    "src.process.startTime": 1692575814987,
    "mgmt.id": "12277",
    "os.name": "Windows 10 Enterprise",
    "src.process.displayName": "Host Process for Windows Services",
    "src.process.parent.sessionId": 0,
    "src.process.isNative64Bit": false,
    "src.process.uid": "92CD8594B971B84A",
    "src.process.parent.image.md5": "14b88ff4833012512278a5f3a5712bd2",
    "src.process.indicatorBootConfigurationUpdateCount": 0,
    "src.process.indicatorInfostealerCount": 20,
    "process.unique.key": "92CD8594B971B84A",
    "agent.version": "22.2.4.558",
    "src.process.parent.uid": "30E78494B971B84A",
    "src.process.parent.image.sha256": "e6fe9a94e8686e957dbcec2b89c1c1ddcf8e75d76e9200d0cbef74d510c71317",
    "src.process.sessionId": 0,
    "src.process.netConnCount": 2,
    "mgmt.osRevision": "19045",
    "group.id": "93CD8594B971B84A",
    "src.process.parent.publisher": "MICROSOFT WINDOWS PUBLISHER",
    "src.process.isRedirectCmdProcessor": false,
    "src.process.verifiedStatus": "verified",
    "src.process.parent.startTime": 1692333530832,
    "src.process.dnsCount": 4,
    "endpoint.type": "laptop",
    "trace.id": "01H8B5MR9QQEYRC77NV97T2PR0",
    "src.process.name": "svchost.exe",
    "agent.uuid": "615151318b7b4f8fb4fa1d1b28b7ad0f",
    "src.process.image.sha256": "add683a6910abbbf0e28b557fad0ba998166394932ae2aca069d9aa19ea8fe88",
    "src.process.indicatorGeneralCount": 8,
    "src.process.crossProcessOutOfStorylineCount": 0,
    "packet.id": "80BC84D0E056415C91A410DDA4B523CD",
    "src.process.registryChangeCount": 0,
    "src.process.indicatorPersistenceCount": 0,
    "src.process.parent.signedStatus": "signed",
    "src.process.parent.user": "NT AUTHORITY\\\\SYSTEM",
    "event.type": "Group Creation",
    "src.process.indicatorPostExploitationCount": 0,
    "src.process.parent.pid": 1568
  }
  

Tipi di log di SentinelOne Cloud Funnel supportati

Il parser SentinelOne Cloud Funnel supporta i seguenti tipi di log:

Configurare i feed dall'hub dei contenuti

Specifica i valori per i seguenti campi:

• URI bucket di archiviazione: l'URI di origine del bucket Google Cloud Storage.
• URI è un: seleziona il TIPO DI URI in base alla configurazione del flusso di log (Singolo file | Directory | Directory che include sottodirectory).
• Opzioni di eliminazione dell'origine: seleziona l'opzione di eliminazione in base alle tue preferenze di importazione.

Opzioni avanzate

• Nome feed: un valore precompilato che identifica il feed.
• Tipo di origine: metodo utilizzato per raccogliere i log in Google SecOps.
• Spazio dei nomi dell'asset: spazio dei nomi associato al feed.
• Etichette di importazione: etichette applicate a tutti gli eventi di questo feed.

Riferimento alla mappatura dei campi

Questa sezione spiega come il parser di Google Security Operations mappa i campi SentinelOne ai campi Unified Data Model (UDM) di Google Security Operations.

Riferimento alla mappatura dei campi: identificatore evento e tipo di evento

La tabella seguente elenca i tipi di log SENTINELONE_CF e i relativi tipi di eventi UDM.

Riferimento mappatura campi: SENTINELONE_CF

La tabella seguente elenca i campi di log del tipo di log SENTINELONE_CF e i relativi campi UDM.

Passaggi successivi

• Importazione dei dati in Google Security Operations

Hai bisogno di ulteriore assistenza? Ricevi risposte dai membri della community e dai professionisti di Google SecOps.