ArcSight Forwarderコネクタ。 どこへでも行きましょう

こんにちは、habrasociety！

この記事では、ArcSight ESMからイベントをアップロードした経験を紹介します。 機能の詳細を検討し、ArcSight Forwarder Connectorをセットアップするための段階的な手順を提供し、興味深いライフハックについて説明します。



はじめに、イベントが一般にArcsight ESMから送信される理由を把握しましょう（結局、イベントはデータベース内で正常に動作します）。

• 会社には複数のESMサーバーがあり、タスクはグローバル相関のためにイベントを中央のArcSight ESMに送信することです
  
  
  
  
• ArcSightからイベントを送信する必要があるサードパーティシステム（ELKなど）がある
  
  
  
  
• CEF形式で送信するsyslogイベント
• さらなる作業のためにイベントをCSVファイルにアップロードする

ArcSight Forwarder Connectorを使用してこれらすべてのポイントを実装できますが、初期構成はArcSight ESM自体で開始されます。


アカウントを作成し、Arcsight ESMでフィルタリングしたら、Arcsight Forwarder Connectorのインストールと構成を開始できます


宛先タイプの設定：






Arcsight Forwarder Connectorを使用するためのコツ




その結果、システムと外部ソースの両方で、ArcSightに統合の多くの可能性があることがわかります。 しかし、真実のために、イベントの流れが徐々に増加し、同じイベントが複数のソースに送信され、異なるシステムの絶え間ない相互作用がなければならないこと、そしてここで通常のコネクタ終了の可能性があることを言う価値があります。

そのため、Micro Focusのエンジニアは、ArcSight Data Platformと呼ばれる新しいアーキテクチャを開発しました。 このアーキテクチャの特徴は、ArcSight Event Broker製品です。これは、さまざまなシステム（ESM、Logger、UEBA、Investigate、Hadoopなど）に大量のイベントをルーティングし、 500,000 EPS以上を処理できます !!!