收集 SentinelOne Cloud Funnel 記錄

本文說明如何設定 Google Security Operations 資訊提供，匯出 SentinelOne Cloud Funnel 記錄，以及記錄欄位如何對應至 Google Security Operations 統一資料模型 (UDM) 欄位。

詳情請參閱「將資料擷取至 Google Security Operations 總覽」。

一般部署作業包含 SentinelOne Cloud Funnel 和 Google Security Operations 資訊動態饋給，後者會設定為將記錄傳送至 Google Security Operations。每個客戶的部署作業可能有所不同，也可能更複雜。

部署作業包含下列元件：

• SentinelOne：您從中收集記錄的平台。

• Google Security Operations 資訊提供：從 SentinelOne 擷取記錄，並將記錄寫入 Google Security Operations 的 Google Security Operations 資訊提供。

• Google Security Operations：保留及分析記錄。

擷取標籤會識別剖析器，該剖析器會將原始記錄資料正規化為具結構性的 UDM 格式。本文件中的資訊適用於具有 SENTINELONE_CF 攝入標籤的剖析器。

事前準備

請確認您已完成下列事前準備事項：

• SentinelOne 的有效 Singularity Complete 訂閱方案。詳情請參閱「平台套件」。
• Cloud Funnel Data Lake Streaming Module 的有效授權。
• SentinelOne Cloud Funnel 2.0 版
• 全域或帳戶層級的管理員角色。如要取得管理員角色，請與管理員使用者聯絡。
• 安裝 SentinelOne 代理程式的管理員權限。如要取得管理員權限，請與管理員使用者聯絡。
• 已設定的 Google Cloud 儲存空間 bucket。詳情請參閱「設定儲存空間值區」。 Google Cloud
  • 將網址中的 YOUR_CONSOLE_DOMAIN 替換為您的特定控制台網域。

設定 SentinelOne Cloud Funnel

1. 登入 SentinelOne 管理控制台。
2. 在「設定」工具列中，依序點選「整合」> 雲端漏斗。
3. 在「Cloud Provider」(雲端服務供應商) 清單中，選取「Google Cloud」。
4. 在「GCS Storage Name」(GCS 儲存空間名稱) 欄位中，輸入 Cloud Storage bucket 的名稱。
5. 按一下「驗證」，驗證 bucket 是否存在，以及 SentinelOne 是否具有 bucket 的讀取和寫入權限。
6. 選取「啟用遙測串流」，將 XDR 資料串流至值區。

設定動態饋給

在 Google SecOps 平台中，有兩種不同的進入點可設定動態饋給：

• 「SIEM 設定」>「動態消息」
• 內容中心 > 內容包

依序前往「SIEM 設定」>「動態消息」，設定動態消息

如要為這個產品系列中的不同記錄類型設定多個動態饋給，請參閱「依產品設定動態饋給」。

如要設定單一動態饋給，請按照下列步驟操作：

1. 依序前往「SIEM 設定」>「動態饋給」。
2. 按一下「新增動態消息」。
3. 在下一個頁面中，按一下「設定單一動態饋給」。
4. 在「動態饋給名稱」欄位中，輸入動態饋給的名稱，例如「SentinelOne Cloud Funnel Logs」。
5. 選取「Google Cloud Storage」做為「來源類型」。
6. 選取「SentinelOne Singularity Cloud Funnel」做為「記錄類型」。
7. 按一下「取得服務帳戶」。複製「服務帳戶」。您需要這個服務帳戶，才能在值區中新增權限，讓 Google Security Operations 讀取或刪除值區中的資料。
8. 點選「下一步」。

9. 設定下列輸入參數：

   • 儲存空間 bucket URI：Google Cloud Storage bucket 來源 URI。
   • URI 是：URI 指向的物件類型。
   • 來源刪除選項：是否要在轉移後刪除檔案或目錄。
   • 在「來源刪除選項」中選取「刪除已轉移的檔案」選項。

   在 Google Cloud 儲存空間值區中，如要將「Storage Object Admin」(儲存空間物件管理員) 或「Storage Object User」(儲存空間物件使用者) 權限新增至這個服務帳戶，請按照下列步驟操作：

   1. 在 Google Cloud 控制台中，前往「Buckets」並選取 bucket 名稱。

   2. 在「Bucket Details」(值區詳細資料) 中，依序前往「Permissions」(權限)>「Grant Access」(授予存取權)。

   3. 在「新增主體」中，貼上您複製的「服務帳戶」。

   4. 在「請選擇角色」中，選取「Cloud Storage」，然後選取「Storage 物件管理員」或「Storage 物件使用者」角色。

10. 依序點按「繼續」和「提交」。

如要進一步瞭解 Google Security Operations 動態消息，請參閱 Google Security Operations 動態消息說明文件。如要瞭解各動態饋給類型的規定，請參閱「依類型設定動態饋給」。如果在建立動態饋給時遇到問題，請與 Google Security Operations 支援團隊聯絡。

支援的 SentinelOne Cloud Funnel 記錄格式

SentinelOne Cloud Funnel 剖析器支援 JSON 格式的記錄。

支援的 SentinelOne Cloud Funnel 記錄檔樣本

• JSON

  {
    "src.process.parent.isStorylineRoot": true,
    "event.category": "group",
    "src.process.parent.image.sha1": "2d79a17a7f226b4a3bc25d47d73570f9a33aac1a",
    "site.id": "767524645468373018",
    "src.process.parent.displayName": "Services and Controller app",
    "src.process.image.binaryIsExecutable": true,
    "src.process.parent.subsystem": "SYS_WIN32",
    "src.process.user": "NT AUTHORITY\\\\SYSTEM",
    "src.process.indicatorRansomwareCount": 0,
    "src.process.crossProcessDupRemoteProcessHandleCount": 0,
    "src.process.tgtFileCreationCount": 0,
    "src.process.indicatorInjectionCount": 0,
    "src.process.moduleCount": 121,
    "i.version": "preprocess-lib-1.0",
    "src.process.parent.name": "services.exe",
    "src.process.image.md5": "b7f884c1b74a263f746ee12a5f7c9f6a",
    "src.process.indicatorReconnaissanceCount": 0,
    "src.process.storyline.id": "93CD8594B971B84A",
    "src.process.childProcCount": 0,
    "mgmt.url": "euce1-dummy.xyz.net",
    "src.process.crossProcessOpenProcessCount": 0,
    "src.process.subsystem": "SYS_WIN32",
    "meta.event.name": "GROUPCREATION",
    "src.process.parent.integrityLevel": "SYSTEM",
    "src.process.indicatorExploitationCount": 0,
    "src.process.parent.storyline.id": "31E78494B971B84A",
    "i.scheme": "edr",
    "src.process.integrityLevel": "SYSTEM",
    "site.name": "Dummy Corp",
    "src.process.netConnInCount": 0,
    "event.time": 1692575814995,
    "timestamp": "2023-08-20T23:56:54.995Z",
    "account.id": "767524645367709720",
    "dataSource.name": "SentinelOne",
    "endpoint.name": "Dummy Endpoint",
    "src.process.image.sha1": "1bc5066ddf693fc034d6514618854e26a84fd0d1",
    "src.process.isStorylineRoot": true,
    "src.process.parent.image.path": "C:\\\\windows\\\\System32\\\\services.exe",
    "dataSource.vendor": "SentinelOne",
    "src.process.pid": 21760,
    "tgt.file.isSigned": "signed",
    "dataSource.category": "security",
    "src.process.cmdline": "C:\\\\windows\\\\system32\\\\svchost.exe -k netsvcs -p -s wlidsvc",
    "src.process.publisher": "MICROSOFT WINDOWS",
    "src.process.crossProcessThreadCreateCount": 0,
    "src.process.parent.isNative64Bit": false,
    "src.process.parent.isRedirectCmdProcessor": false,
    "src.process.crossProcessCount": 0,
    "src.process.signedStatus": "signed",
    "event.id": "01H8B5MR9QQEYRC77NV97T2PR0_468",
    "src.process.parent.cmdline": "C:\\\\windows\\\\system32\\\\services.exe",
    "src.process.image.path": "C:\\\\windows\\\\System32\\\\svchost.exe",
    "src.process.tgtFileModificationCount": 0,
    "src.process.indicatorEvasionCount": 0,
    "src.process.netConnOutCount": 2,
    "src.process.crossProcessDupThreadHandleCount": 0,
    "endpoint.os": "windows",
    "src.process.tgtFileDeletionCount": 0,
    "src.process.startTime": 1692575814987,
    "mgmt.id": "12277",
    "os.name": "Windows 10 Enterprise",
    "src.process.displayName": "Host Process for Windows Services",
    "src.process.parent.sessionId": 0,
    "src.process.isNative64Bit": false,
    "src.process.uid": "92CD8594B971B84A",
    "src.process.parent.image.md5": "14b88ff4833012512278a5f3a5712bd2",
    "src.process.indicatorBootConfigurationUpdateCount": 0,
    "src.process.indicatorInfostealerCount": 20,
    "process.unique.key": "92CD8594B971B84A",
    "agent.version": "22.2.4.558",
    "src.process.parent.uid": "30E78494B971B84A",
    "src.process.parent.image.sha256": "e6fe9a94e8686e957dbcec2b89c1c1ddcf8e75d76e9200d0cbef74d510c71317",
    "src.process.sessionId": 0,
    "src.process.netConnCount": 2,
    "mgmt.osRevision": "19045",
    "group.id": "93CD8594B971B84A",
    "src.process.parent.publisher": "MICROSOFT WINDOWS PUBLISHER",
    "src.process.isRedirectCmdProcessor": false,
    "src.process.verifiedStatus": "verified",
    "src.process.parent.startTime": 1692333530832,
    "src.process.dnsCount": 4,
    "endpoint.type": "laptop",
    "trace.id": "01H8B5MR9QQEYRC77NV97T2PR0",
    "src.process.name": "svchost.exe",
    "agent.uuid": "615151318b7b4f8fb4fa1d1b28b7ad0f",
    "src.process.image.sha256": "add683a6910abbbf0e28b557fad0ba998166394932ae2aca069d9aa19ea8fe88",
    "src.process.indicatorGeneralCount": 8,
    "src.process.crossProcessOutOfStorylineCount": 0,
    "packet.id": "80BC84D0E056415C91A410DDA4B523CD",
    "src.process.registryChangeCount": 0,
    "src.process.indicatorPersistenceCount": 0,
    "src.process.parent.signedStatus": "signed",
    "src.process.parent.user": "NT AUTHORITY\\\\SYSTEM",
    "event.type": "Group Creation",
    "src.process.indicatorPostExploitationCount": 0,
    "src.process.parent.pid": 1568
  }
  

支援的 SentinelOne Cloud Funnel 記錄類型

SentinelOne Cloud Funnel 剖析器支援下列記錄類型：

從內容中心設定動態饋給

為下列欄位指定值：

• 儲存空間 bucket URI：Google Cloud Storage bucket 來源 URI。
• URI 為：根據記錄串流設定選取 URI 類型 (「單一檔案」|「目錄」|「包含子目錄的目錄」)。
• 來源刪除選項：根據擷取偏好設定選取刪除選項。

進階選項

• 動態饋給名稱：系統預先填入的值，用於識別動態饋給。
• 來源類型：將記錄收集到 Google SecOps 的方法。
• 資產命名空間：與動態饋給相關聯的命名空間。
• 擷取標籤：套用至這個動態饋給所有事件的標籤。

欄位對應參考資料

本節說明 Google Security Operations 剖析器如何將 SentinelOne 欄位對應至 Google Security Operations Unified Data Model (UDM) 欄位。

欄位對應參照：事件 ID 對應至事件類型

下表列出 SENTINELONE_CF 記錄類型及其對應的 UDM 事件類型。

欄位對應參考資料：SENTINELONE_CF

下表列出 SENTINELONE_CF 記錄類型的記錄欄位，以及對應的 UDM 欄位。

後續步驟

• 將資料擷取至 Google Security Operations

還有其他問題嗎？向社群成員和 Google SecOps 專業人員尋求答案。