Coletar registros do funil de nuvem do SentinelOne

Este documento descreve como exportar registros do Cloud Funnel do SentinelOne configurando um feed do Google Security Operations e como os campos de registro são mapeados para os campos do modelo de dados unificado (UDM, na sigla em inglês) do Google Security Operations.

Para mais informações, consulte Visão geral da ingestão de dados no Google Security Operations.

Uma implantação típica consiste no Cloud Funnel do SentinelOne e no feed do Google Security Operations configurado para enviar registros ao Google Security Operations. Cada implantação de cliente pode ser diferente e mais complexa.

A implantação contém os seguintes componentes:

• SentinelOne: a plataforma de onde você coleta registros.

• Feed do Google Security Operations: o feed do Google Security Operations que busca registros do SentinelOne e grava registros no Google Security Operations.

• Google Security Operations: retém e analisa os registros.

Um rótulo de ingestão identifica o analisador que normaliza dados de registro brutos para o formato UDM estruturado. As informações neste documento se aplicam ao analisador com o rótulo de ingestão SENTINELONE_CF.

Antes de começar

Verifique se você atende aos seguintes pré-requisitos:

• Uma assinatura ativa do Singularity Complete para SentinelOne. Consulte Pacotes da plataforma para mais detalhes.
• Uma licença ativa para o módulo de streaming do data lake do Funil do Cloud.
• SentinelOne Cloud Funnel v2.0
• Uma função de administrador no nível global ou da conta. Para receber uma função de administrador, entre em contato com seu usuário administrador.
• Direitos de administrador para instalar o agente do SentinelOne. Para ter direitos de administrador, entre em contato com o usuário administrador.
• Um Google Cloud bucket de armazenamento configurado. Para mais informações, consulte Configurar seu Google Cloud bucket de armazenamento.
  • Substitua YOUR_CONSOLE_DOMAIN no URL pelo domínio específico do console.

Configurar o SentinelOne Cloud Funnel

1. Faça login no console de gerenciamento do SentinelOne.
2. Na barra de ferramentas Configurações, clique em Integrações > Funil de nuvem.
3. Na lista Provedor de nuvem, selecione Google Cloud.
4. No campo Nome do armazenamento do GCS, insira o nome do bucket do Cloud Storage.
5. Clique em Validar para verificar se o bucket existe e se o SentinelOne tem acesso de leitura e gravação a ele.
6. Selecione Ativar transmissão de telemetria para transmitir seus dados de XDR ao bucket.

Configurar feeds

Há dois pontos de entrada diferentes para configurar feeds na plataforma do Google SecOps:

• Configurações do SIEM > Feeds
• Central de conteúdo > Pacotes de conteúdo

Configure feeds em Configurações do SIEM > Feeds

Para configurar vários feeds para diferentes tipos de registros nessa família de produtos, consulte Configurar feeds por produto.

Para configurar um único feed, siga estas etapas:

1. Acesse Configurações do SIEM > Feeds.
2. Clique em Adicionar novo feed.
3. Na próxima página, clique em Configurar um único feed.
4. No campo Nome do feed, insira um nome para o feed, por exemplo, Registros do funil de nuvem do SentinelOne.
5. Selecione Google Cloud Storage como o Tipo de origem.
6. Selecione Funil do SentinelOne Singularity Cloud como o Tipo de registro.
7. Clique em Acessar uma conta de serviço. Copie a Conta de serviço. Você vai precisar dele para adicionar permissões no bucket para essa conta de serviço, permitindo que o Google Security Operations leia ou exclua dados no bucket.
8. Clique em Próxima.

9. Configure os seguintes parâmetros de entrada:

   • URI do bucket de armazenamento: o URI de origem do bucket do Google Cloud Storage.
   • URI é um: o tipo de objeto para que o URI aponta.
   • Opção de exclusão da origem: se você quer excluir arquivos ou diretórios após a transferência.
   • Selecione a opção Excluir arquivos transferidos em Opção de exclusão da origem.

   No Google Cloud bucket do Storage, para adicionar permissões de Administrador de objetos do Storage ou Usuário de objetos do Storage a esta conta de serviço, siga estas etapas:

   1. No console Google Cloud , acesse Buckets e selecione o nome do bucket.

   2. Em Detalhes do bucket, acesse Permissões > Conceder acesso.

   3. Em Novos princípios, cole a conta de serviço que você copiou.

   4. Em Selecionar um papel, escolha Cloud Storage e selecione o papel Administrador de objetos do Storage ou Usuário de objetos do Storage.

10. Clique em Próxima e em Enviar.

Para mais informações sobre os feeds do Google Security Operations, consulte a documentação dos feeds do Google Security Operations. Para informações sobre os requisitos de cada tipo de feed, consulte Configuração de feed por tipo. Se você tiver problemas ao criar feeds, entre em contato com o suporte do Google Security Operations.

Formatos de registro do funil de nuvem do SentinelOne compatíveis

O analisador do SentinelOne Cloud Funnel é compatível com registros no formato JSON.

Registros de amostra do funil de nuvem do SentinelOne compatíveis

• JSON

  {
    "src.process.parent.isStorylineRoot": true,
    "event.category": "group",
    "src.process.parent.image.sha1": "2d79a17a7f226b4a3bc25d47d73570f9a33aac1a",
    "site.id": "767524645468373018",
    "src.process.parent.displayName": "Services and Controller app",
    "src.process.image.binaryIsExecutable": true,
    "src.process.parent.subsystem": "SYS_WIN32",
    "src.process.user": "NT AUTHORITY\\\\SYSTEM",
    "src.process.indicatorRansomwareCount": 0,
    "src.process.crossProcessDupRemoteProcessHandleCount": 0,
    "src.process.tgtFileCreationCount": 0,
    "src.process.indicatorInjectionCount": 0,
    "src.process.moduleCount": 121,
    "i.version": "preprocess-lib-1.0",
    "src.process.parent.name": "services.exe",
    "src.process.image.md5": "b7f884c1b74a263f746ee12a5f7c9f6a",
    "src.process.indicatorReconnaissanceCount": 0,
    "src.process.storyline.id": "93CD8594B971B84A",
    "src.process.childProcCount": 0,
    "mgmt.url": "euce1-dummy.xyz.net",
    "src.process.crossProcessOpenProcessCount": 0,
    "src.process.subsystem": "SYS_WIN32",
    "meta.event.name": "GROUPCREATION",
    "src.process.parent.integrityLevel": "SYSTEM",
    "src.process.indicatorExploitationCount": 0,
    "src.process.parent.storyline.id": "31E78494B971B84A",
    "i.scheme": "edr",
    "src.process.integrityLevel": "SYSTEM",
    "site.name": "Dummy Corp",
    "src.process.netConnInCount": 0,
    "event.time": 1692575814995,
    "timestamp": "2023-08-20T23:56:54.995Z",
    "account.id": "767524645367709720",
    "dataSource.name": "SentinelOne",
    "endpoint.name": "Dummy Endpoint",
    "src.process.image.sha1": "1bc5066ddf693fc034d6514618854e26a84fd0d1",
    "src.process.isStorylineRoot": true,
    "src.process.parent.image.path": "C:\\\\windows\\\\System32\\\\services.exe",
    "dataSource.vendor": "SentinelOne",
    "src.process.pid": 21760,
    "tgt.file.isSigned": "signed",
    "dataSource.category": "security",
    "src.process.cmdline": "C:\\\\windows\\\\system32\\\\svchost.exe -k netsvcs -p -s wlidsvc",
    "src.process.publisher": "MICROSOFT WINDOWS",
    "src.process.crossProcessThreadCreateCount": 0,
    "src.process.parent.isNative64Bit": false,
    "src.process.parent.isRedirectCmdProcessor": false,
    "src.process.crossProcessCount": 0,
    "src.process.signedStatus": "signed",
    "event.id": "01H8B5MR9QQEYRC77NV97T2PR0_468",
    "src.process.parent.cmdline": "C:\\\\windows\\\\system32\\\\services.exe",
    "src.process.image.path": "C:\\\\windows\\\\System32\\\\svchost.exe",
    "src.process.tgtFileModificationCount": 0,
    "src.process.indicatorEvasionCount": 0,
    "src.process.netConnOutCount": 2,
    "src.process.crossProcessDupThreadHandleCount": 0,
    "endpoint.os": "windows",
    "src.process.tgtFileDeletionCount": 0,
    "src.process.startTime": 1692575814987,
    "mgmt.id": "12277",
    "os.name": "Windows 10 Enterprise",
    "src.process.displayName": "Host Process for Windows Services",
    "src.process.parent.sessionId": 0,
    "src.process.isNative64Bit": false,
    "src.process.uid": "92CD8594B971B84A",
    "src.process.parent.image.md5": "14b88ff4833012512278a5f3a5712bd2",
    "src.process.indicatorBootConfigurationUpdateCount": 0,
    "src.process.indicatorInfostealerCount": 20,
    "process.unique.key": "92CD8594B971B84A",
    "agent.version": "22.2.4.558",
    "src.process.parent.uid": "30E78494B971B84A",
    "src.process.parent.image.sha256": "e6fe9a94e8686e957dbcec2b89c1c1ddcf8e75d76e9200d0cbef74d510c71317",
    "src.process.sessionId": 0,
    "src.process.netConnCount": 2,
    "mgmt.osRevision": "19045",
    "group.id": "93CD8594B971B84A",
    "src.process.parent.publisher": "MICROSOFT WINDOWS PUBLISHER",
    "src.process.isRedirectCmdProcessor": false,
    "src.process.verifiedStatus": "verified",
    "src.process.parent.startTime": 1692333530832,
    "src.process.dnsCount": 4,
    "endpoint.type": "laptop",
    "trace.id": "01H8B5MR9QQEYRC77NV97T2PR0",
    "src.process.name": "svchost.exe",
    "agent.uuid": "615151318b7b4f8fb4fa1d1b28b7ad0f",
    "src.process.image.sha256": "add683a6910abbbf0e28b557fad0ba998166394932ae2aca069d9aa19ea8fe88",
    "src.process.indicatorGeneralCount": 8,
    "src.process.crossProcessOutOfStorylineCount": 0,
    "packet.id": "80BC84D0E056415C91A410DDA4B523CD",
    "src.process.registryChangeCount": 0,
    "src.process.indicatorPersistenceCount": 0,
    "src.process.parent.signedStatus": "signed",
    "src.process.parent.user": "NT AUTHORITY\\\\SYSTEM",
    "event.type": "Group Creation",
    "src.process.indicatorPostExploitationCount": 0,
    "src.process.parent.pid": 1568
  }
  

Tipos de registros do funil de nuvem do SentinelOne compatíveis

O analisador do SentinelOne Cloud Funnel é compatível com os seguintes tipos de registros:

Configurar feeds na Central de conteúdo

Especifique valores para os seguintes campos:

• URI do bucket de armazenamento: o URI de origem do bucket do Google Cloud Storage.
• URI é um: selecione o TIPO DE URI de acordo com a configuração do fluxo de registros (Arquivo único | Diretório | Diretório que inclui subdiretórios).
• Opções de exclusão de origem: selecione a opção de exclusão de acordo com suas preferências de ingestão.

Opções avançadas

• Nome do feed: um valor pré-preenchido que identifica o feed.
• Tipo de origem: método usado para coletar registros no Google SecOps.
• Namespace do recurso: namespace associado ao feed.
• Rótulos de ingestão: rótulos aplicados a todos os eventos deste feed.

Referência de mapeamento de campos

Esta seção explica como o analisador do Google Security Operations mapeia campos do SentinelOne para campos do Modelo de Dados Unificado (UDM) do Google Security Operations.

Referência de mapeamento de campos: identificador de evento para tipo de evento

A tabela a seguir lista os tipos de registros SENTINELONE_CF e os tipos de eventos da UDM correspondentes.

Referência de mapeamento de campo: SENTINELONE_CF

A tabela a seguir lista os campos de registro do tipo SENTINELONE_CF e os campos correspondentes da UDM.

A seguir

• Ingestão de dados no Google Security Operations

Precisa de mais ajuda? Receba respostas de membros da comunidade e profissionais do Google SecOps.