收集 SentinelOne Deep Visibility 記錄

本文說明如何使用 Cloud Funnel 將記錄檔匯出至 Google Cloud Storage，進而將 SentinelOne Deep Visibility 記錄檔匯出至 Google Security Operations。剖析器會將原始 JSON 格式的安全事件記錄轉換為符合 UDM 的結構化格式。這個外掛程式會先初始化一組變數，然後擷取事件類型並剖析 JSON 酬載，同時將相關欄位對應至 UDM 結構定義，並分別處理 Windows 事件記錄。

事前準備

請確認您已完成下列事前準備事項：

• Google SecOps 執行個體
• Google Cloud的特殊存取權
• 在環境中設定 SentinelOne Deep Visibility
• SentinelOne 的特殊存取權

建立 Google Cloud Storage bucket

1. 登入Google Cloud 控制台。

2. 前往「Cloud Storage Buckets」(Cloud Storage bucket) 頁面。

   前往「Buckets」(值區) 頁面

3. 點選「建立」。

4. 在「建立 bucket」頁面中，輸入 bucket 資訊。完成下列每個步驟後，請按一下「繼續」前往下一個步驟：

   1. 在「開始使用」部分執行下列操作：

      1. 輸入符合值區名稱規定的專屬名稱，例如 sentinelone-deepvisibility。

      2. 如要啟用階層命名空間，請按一下展開箭頭，展開「為檔案導向和資料密集型工作負載提供最理想的儲存空間」部分，然後選取「為這個值區啟用階層結構式命名空間」。

      3. 如要新增值區標籤，請按一下展開箭頭，展開「標籤」部分。

      4. 按一下「新增標籤」，然後指定標籤的鍵和值。

   2. 在「Choose where to store your data」(選擇資料的儲存位置) 專區中執行下列操作：

      1. 選取「位置類型」。

      2. 使用位置類型選單選取位置，永久儲存 bucket 中的物件資料。

      3. 如要設定跨 bucket 複製作業，請展開「設定跨 bucket 複製作業」部分。

   3. 在「為資料選擇儲存空間級別」部分，選取值區的預設儲存空間級別，或選取「Autoclass」，讓系統自動管理值區資料的儲存空間級別。

   4. 在「選取如何控制物件的存取權」部分，選取「否」以強制禁止公開存取，並為值區物件選取存取權控管模型。

   5. 在「選擇保護物件資料的方式」部分，執行下列操作：

      1. 選取「資料保護」下要為值區設定的任何選項。
      2. 如要選擇物件資料的加密方式，請按一下標示為「資料加密」的展開箭頭，然後選取「資料加密方法」。

5. 點選「建立」。

建立 Google Cloud 服務帳戶

1. 依序前往「IAM & Admin」(IAM 與管理) >「Service Accounts」(服務帳戶)。
2. 建立新的服務帳戶。
3. 為其設定描述性名稱，例如 sentinelone-dv-logs。
4. 在您於上一步建立的 Cloud Storage bucket 中，將「Storage 物件建立者」角色授予服務帳戶。
5. 為服務帳戶建立 SSH 金鑰。
6. 下載服務帳戶的 JSON 金鑰檔案。請妥善保管這個檔案。

如何在 SentinelOne DeepVisibility 中設定 Cloud Funnel

1. 登入 SentinelOne DeepVisibility。
2. 依序點選「設定」>「政策與設定」。
3. 在「Singularity Data Lake」部分，按一下「Cloud Funnel」。
4. 提供下列設定詳細資料：
   • 雲端服務供應商：選取 Google Cloud。
   • Bucket 名稱：輸入您為 SentinelOne DeepVisibility 記錄檔擷取作業建立的 Cloud Storage bucket 名稱。
   • 遙測串流：選取「啟用」。
   • 查詢篩選條件：建立查詢，其中包含需要將資料傳送至 Cloud Storage 值區的代理程式。
   • 按一下「Validate」(驗證)。
   • 要納入的欄位：選取所有欄位。
5. 按一下 [儲存]。

設定動態饋給

在 Google SecOps 平台中，有兩種不同的進入點可設定動態饋給：

• 「SIEM 設定」>「動態消息」
• 內容中心 > 內容包

依序前往「SIEM 設定」>「動態消息」，設定動態消息

如要為這個產品系列中的不同記錄類型設定多個動態饋給，請參閱「依產品設定動態饋給」。

如要設定單一動態饋給，請按照下列步驟操作：

1. 依序前往「SIEM 設定」>「動態饋給」。
2. 按一下「新增動態消息」。
3. 在下一個頁面中，按一下「設定單一動態饋給」。
4. 在「動態饋給名稱」欄位中，輸入動態饋給的名稱，例如「SentinelOne DV Logs」。
5. 選取「Google Cloud Storage」做為「來源類型」。
6. 選取「SentinelOne Deep Visibility」做為「記錄類型」。
7. 按一下「Chronicle 服務帳戶」的「取得服務帳戶」。
8. 點選「下一步」。

9. 指定下列輸入參數的值：

   • 儲存空間值區 URI：Google Cloud Storage 值區網址，格式為 gs://my-bucket/<value>。
   • 「URI Is A」(URI 為)：選取「Directory which includes subdirectories」(包含子目錄的目錄)。

   • 來源刪除選項：根據擷取偏好設定選取刪除選項。

   • 資產命名空間：資產命名空間。

   • 擷取標籤：套用至這個動態饋給事件的標籤。

10. 點選「下一步」。

11. 在「Finalize」畫面中檢查新的動態饋給設定，然後按一下「Submit」。

從內容中心設定動態饋給

為下列欄位指定值：

• 儲存空間 bucket URI：Google Cloud Storage bucket 來源 URI。
• URI 為：根據記錄串流設定選取 URI 類型 (「單一檔案」|「目錄」|「包含子目錄的目錄」)。
• 來源刪除選項：根據擷取偏好設定選取刪除選項。

進階選項

• 動態饋給名稱：系統預先填入的值，用於識別動態饋給。
• 來源類型：將記錄收集到 Google SecOps 的方法。
• 資產命名空間：與動態饋給相關聯的命名空間。
• 擷取標籤：套用至這個動態饋給所有事件的標籤。

UDM 對應表

還有其他問題嗎？向社群成員和 Google SecOps 專業人員尋求答案。