Nawiązywanie połączenia ze źródłem danych Micro Focus ArcSight

Połącz źródło danych Micro Focus ArcSight z produktem IBM Security QRadar Suite Software , aby umożliwić aplikacjom i panelom kontrolnym gromadzenie i analizowanie danych dotyczących zabezpieczeń produktu Micro Focus ArcSight . Konektory Universal Data Insights umożliwiają wyszukiwanie stowarzyszone między produktami zabezpieczeń.

1. Zaloguj się do serwisu IBM Security QRadar Suite Software.
2. W menu kliknij opcje Connections > Źródła danych.
3. Na karcie Źródła danych kliknij opcję Połącz źródło danych.
4. Kliknij opcję Micro Focus ArcSight, a następnie kliknij przycisk Dalej.
5. Skonfiguruj połączenie, aby umożliwić programowi IBM Security QRadar Suite Software nawiązanie połączenia ze źródłem danych.
   1. W polu Nazwa źródła danych przypisz nazwę jednoznacznie identyfikującą połączenie ze źródłem danych.
      Istnieje możliwość utworzenia wielu instancji połączenia ze źródłem danych, aby można było je wyraźnie oddzielić za pomocą nazwy. Dozwolone są tylko znaki alfanumeryczne i następujące znaki specjalne: - . _
   2. W polu Opis źródła danych wpisz opis wskazujący przeznaczenie połączenia ze źródłem danych.
      Istnieje możliwość utworzenia wielu instancji połączenia ze źródłem danych, dlatego warto wyraźnie wskazać przeznaczenie każdego połączenia za pomocą opisu. Dozwolone są tylko znaki alfanumeryczne i następujące znaki specjalne: - . _
   3. Jeśli między klastrem a miejscem docelowym źródła danych znajduje się firewall, do udostępniania kontenerów należy użyć Edge Gateway . W polu Brama brzegowa (opcjonalnie) określ, który Edge Gateway ma być używany.
      Wybierz Edge Gateway , aby udostępnić konektory udostępniające komunikację między źródłami danych i produktem QRadar Suite Software. Wyświetlenie statusu nowo wdrożonych połączeń źródła danych w Edge Gateway może potrwać do pięciu minut.
   4. W polu Adres IP lub nazwa hosta programu rejestrującegoArcSight ustaw adres IP lub nazwę hosta ArcSight Logger , aby program QRadar Suite Software mógł się z nim komunikować. Nazwę hosta można znaleźć w konsoli ArcSight Logger w następującej sekcji: Połączenia > System > Status procesu.
   5. W polu Port hosta ustaw numer portu, który jest powiązany z hostem źródła danych. Domyślnie jest to port 443.
6. Ustaw parametry zapytania, aby kontrolować zachowanie zapytania wyszukiwania w źródle danych.
   1. W polu Limit współbieżnego wyszukiwania ustaw liczbę jednoczesnych połączeń, które można nawiązać między programem QRadar Suite Software i źródłem danych. Domyślnym limitem liczby połączeń jest 4. Wartość nie może być mniejsza niż 1 i nie może być większa niż 100.
   2. W polu Limit czasu wyszukiwania zapytania ustaw limit czasu (w minutach), przez jaki zapytanie jest uruchamiane w źródle danych. Domyślnym limitem czasu jest 30. Jeśli wartość jest ustawiona na zero, nie ma limitu czasu. Wartość nie może być mniejsza niż 1 i nie może być większa niż 120.
   3. W polu Limit wielkości wyników ustaw maksymalną liczbę pozycji lub obiektów zwracanych przez zapytanie do wyszukania. Domyślnym limitem wielkości wyniku jest 10 000. Wartość nie może być mniejsza niż 1 i nie może być większa niż 500 000.
   4. W polu Zakres czasu zapytania ustaw zakres czasu w minutach dla wyszukiwania, reprezentowany przez ostatnie X minut. Wartością domyślną jest 5 minut. Wartość nie może być mniejsza niż 1 i nie może być większa niż 10 000.
   Ważne: W przypadku zwiększenia limitu współbieżnego wyszukiwania i limitu wielkości wyników większa ilość danych może zostać wysłana z produktu QRadar Suite Software, co zwiększa obciążenie źródeł danych. Zwiększenie zakresu czasu zapytania zwiększa również ilość danych.
7. Opcjonalnie: Jeśli produkt ArcSight jest skonfigurowany z samopodpisanym certyfikatem SSL (Security Sockets Layer), dodaj certyfikat połączenia.
   1. Podaj certyfikat samopodpisany, który jest skonfigurowany w produkcie ArcSight Logger.
   2. Skopiuj szczegóły certyfikatu i wklej je w udostępnionym obszarze, a następnie kliknij przycisk Gotowe.
8. Opcjonalnie: Jeśli konieczne jest dostosowanie odwzorowania atrybutów STIX, kliknij opcję Dostosuj odwzorowanie atrybutów i zmodyfikuj obiekt JSON blob, aby odwzorować nowe lub istniejące właściwości na powiązane z nimi pola docelowego źródła danych.
9. Kliknij opcję Dodaj konfigurację.
10. Skonfiguruj tożsamość i dostęp.
    1. Kliknij opcję Edytuj dostęp i wybierz użytkowników, którzy mogą łączyć się ze źródłem danych i typ dostępu.
    2. W polu Nazwa konfiguracji wprowadź unikalną nazwę opisującą konfigurację dostępu i odróżniającą ją od innych konfiguracji dostępu dla tego połączenia źródła danych, które można skonfigurować. Dozwolone są tylko znaki alfanumeryczne i następujące znaki specjalne: - . _
    3. W polu Opis konfiguracji wprowadź unikalny opis opisujący konfigurację dostępu i odróżniający ją od innych konfiguracji dostępu dla tego połączenia źródła danych, które można skonfigurować. Dozwolone są tylko znaki alfanumeryczne i następujące znaki specjalne: - . _
    4. Wprowadź nazwę użytkownika i hasło z dostępem do produktu ArcSight Logger.
    5. Kliknij przycisk Dodaj.
    6. Aby zapisać konfigurację i nawiązać połączenie, kliknij przycisk Gotowe.
11. Aby edytować konfiguracje, wykonaj następujące kroki:
    1. Na karcie Źródła danych wybierz połączenie ze źródłem danych, które ma być edytowane.
    2. W sekcji Konfiguracje kliknij opcję Edytuj konfigurację ().
    3. Zmodyfikuj parametry tożsamości i dostępu, a następnie kliknij przycisk Zapisz.