收集 SentinelOne Deep Visibility 日志

本文档介绍了如何使用 Cloud Funnel 将 SentinelOne Deep Visibility 日志导出到 Google Security Operations，以便将日志导出到 Google Cloud Storage。解析器将原始 JSON 格式的安全事件日志转换为符合 UDM 的结构化格式。它首先初始化一组变量，然后提取事件类型并解析 JSON 载荷，同时将相关字段映射到 UDM 架构，并单独处理 Windows 事件日志。

准备工作

确保您满足以下前提条件：

• Google SecOps 实例
• 对 Google Cloud的特权访问权限
• 在您的环境中设置 SentinelOne Deep Visibility
• 对 SentinelOne 的特权访问权限

创建 Google Cloud Storage 存储分区

1. 登录 Google Cloud 控制台。

2. 前往 Cloud Storage 存储分区页面。

   进入“存储桶”

3. 点击创建。

4. 在创建存储桶页面上，输入您的存储桶信息。完成以下每一步后，点击继续以继续执行后续步骤：

   1. 在开始使用部分中，执行以下操作：

      1. 输入符合存储桶名称要求的唯一名称，例如 sentinelone-deepvisibility。

      2. 如需启用分层命名空间，请点击展开箭头以展开优化文件导向型和数据密集型工作负载部分，然后选择在此存储桶上启用分层命名空间。

      3. 如需添加存储桶标签，请点击展开箭头以展开标签部分。

      4. 点击添加标签，然后为标签指定键和值。

   2. 在选择数据存储位置部分中，执行以下操作：

      1. 选择位置类型。

      2. 使用位置类型菜单选择一个位置，用于永久存储存储桶中的对象数据。

      3. 如需设置跨存储桶复制，请展开设置跨存储桶复制部分。

   3. 在为数据选择一个存储类别部分中，为存储桶选择默认存储类别，或者选择 Autoclass 对存储桶数据进行自动存储类别管理。

   4. 在选择如何控制对对象的访问权限部分中，选择不强制执行禁止公开访问，然后为存储桶对象选择访问权限控制模型。

   5. 在选择如何保护对象数据部分中，执行以下操作：

      1. 在数据保护下，选择您要为存储桶设置的任何选项。
      2. 如需选择对象数据的加密方式，请点击标有数据加密的展开箭头，然后选择数据加密方法。

5. 点击创建。

创建 Google Cloud 服务账号

1. 前往 IAM 和管理 > 服务账号。
2. 创建新的服务账号。
3. 为其指定一个描述性名称，例如 sentinelone-dv-logs。
4. 向服务账号授予您在上一步中创建的 Cloud Storage 存储桶的 Storage Object Creator 角色。
5. 为服务账号创建 SSH 密钥。
6. 下载服务账号的 JSON 密钥文件。请妥善保管此文件。

如何在 SentinelOne DeepVisibility 中配置 Cloud Funnel

1. 登录 SentinelOne DeepVisibility。
2. 依次点击配置 > 政策和设置。
3. 在 Singularity Data Lake 部分中，点击 Cloud Funnel。
4. 提供以下配置详细信息：
   • 云服务提供商：选择 Google Cloud。
   • 存储分区名称：输入您为 SentinelOne DeepVisibility 日志提取创建的 Cloud Storage 存储桶的名称。
   • 遥测数据流：选择启用。
   • 查询过滤条件：创建包含需要将数据发送到 Cloud Storage 存储桶的代理的查询。
   • 点击验证。
   • 要包含的字段：选择所有字段。
5. 点击保存。

设置 Feed

您可以通过两种不同的入口点在 Google SecOps 平台中设置 Feed：

• SIEM 设置 > Feed > 添加新 Feed
• 内容中心 > 内容包 > 开始

如何设置 SentinelOne Deep Visibility Feed

1. 点击 SentinelOne 包。
2. 在 SentinelOne Deep Visibility 日志类型中，为以下字段指定值：
   • 数据源类型：Google Cloud Storage V2。
   • 存储桶 URI：Google Cloud Storage 存储桶源 URI。
   • 源删除选项：是否在转移后删除文件或目录。在来源删除选项中，选择删除已转移的文件选项。
   • 文件存在时间上限：包含在过去指定天数内修改的文件。默认值为 180 天。
   • Chronicle 服务账号：复制服务账号。您需要此服务账号才能在存储桶中添加权限，以便 Google SecOps 读取或删除存储桶中的数据。

高级选项

• Feed 名称：用于标识 Feed 的预填充值。
• 资源命名空间：与 Feed 关联的命名空间。
• 提取标签：应用于相应 Feed 中所有事件的标签。
• 点击创建 Feed。

如需详细了解如何为相应产品系列中的不同日志类型配置多个 Feed，请参阅按产品配置 Feed。

UDM 映射表

需要更多帮助？从社区成员和 Google SecOps 专业人士那里获得解答。