corelight/corelightforsentineloneSentinel One Singularity 用 Corelight ダッシュボードとパーサー
このガイドでは、ネットワークトラフィックの監視と分析のための強力なデータインサイトを提供する SentinelOne ダッシュボードのセットアップと活用方法を説明します。セキュリティアナリスト、ネットワーク管理者、IT プロフェッショナルのいずれであっても、これらのダッシュボードを使用すると、ネットワークのセキュリティ状態を簡単に可視化して追跡できます。
-- TBD --
注: マーケットプレイス を使用する代わりに、GitHub リポジトリを使用してインストールする場合は、次の手順に従ってください。すでにパーサーをインストールしている場合は、この手順をスキップしてください。
ステップ 1: Singularity Operations Center で、左下隅にある「ポリシーと設定」セクションに移動します。
ステップ 2: 「ポリシーと設定」セクションで Parsers を検索すると、「製品」セクションに表示されます。
ステップ 3: パーサーセクションをクリックすると、組み込みパーサーと作成済みパーサーの一覧が表示されます。
ステップ 4: 次に、新しいパーサーを追加するには、右上隅にある「Add parser」ボタンをクリックします。すると、パーサー名を追加するためのプロンプトが表示されるので、「OK」をクリックするとパーサーが作成されます。
ステップ 5: ログ名を持つ新しいパーサーを追加したら、GitHub リポジトリ内の parsers フォルダーに移動し、その特定のログファイルを検索して、そのファイルからコードをコピーし、下の強調表示されたセクションに貼り付けます。
ステップ 6: GitHub リポジトリからコピーしたコードを追加したら、Save File をクリックします。するとパーサーが追加され、「Parsers」セクションで確認できます。
注: SentinelOne は現在、25 種類のログパーサーをサポートしています。既存のリストに含まれていない新しいログタイプ用のパーサーを追加する必要がある場合は、以下の手順に従って、そのログタイプ用のパーサーを設定および統合できます。
汎用パーサーの使用方法
汎用パーサーを使用するには、まず GitHub リポジトリからのパーサーのインストール セクションのステップ 1 から 4 を完了してから、次の手順に進みます。
パーサーを作成したら、corelight-generic パーサー からコードをコピーし、作成したパーサーに貼り付けて、必要に応じて詳細を追加し、パーサーを保存します。
SentinelOne Singularity Data Lake にデータを取り込むには、SentinelOne ドキュメントの (Singularity Marketplace → Marketplace Ingestion Integrations → Corelight Zeek Network Security Parser Integration with SentinelOne) に記載されている手順に従ってください。
注: GitHub リポジトリ からパーサーをインストールする場合は、sourcetype テンプレートを "corelight-$LOG-dev" に更新してください。
ダッシュボードにデータを表示するには、追加が必要ないくつかの設定ファイル（つまり、ルックアップファイル）が必要です。
ステップ 1: Singularity Operations Center で、左下隅にある「ポリシーと設定」セクションに移動します。
ステップ 2: 「ポリシーと設定」セクションで「設定ファイル」を検索すると、「製品」セクションに表示されます。
ステップ 3: 「設定ファイル」に移動すると、設定ファイルの一覧が表示されます。
ステップ 4: そこで「New File」をクリックし、GitHub リポジトリの lookups フォルダーに記載されているのと同じ名前で、すべてのファイルを作成します。
ステップ 5: GitHub リポジトリに記載されているのと同じ名前のファイルを作成したら、ルックアップファイルのコンテンツもコピーして、各ファイルを保存します。
これが完了すると、すべてのルックアップファイルが作成されます。
ログイン後、ナビゲーションメニューで「ダッシュボード」セクションを見つけます。このセクションでは、利用可能なすべてのダッシュボードを管理および表示できます。
「ダッシュボード」オプションをクリックして続行します。
接続を選択: 左上隅に「接続の選択」というラベルの付いたドロップダウンメニューがあります。ここで、監視する接続を選択します。
サイトを選択: 接続を選択すると、その接続に関連付けられたサイトの一覧が表示されます。分析するサイトを選択します。
サイトを選択したら、「カスタムダッシュボード」セクションに移動します。そこには、分析に利用できるダッシュボードの一覧が表示されます。
「新しいダッシュボード」をクリック: 新しいダッシュボードを作成するには、画面の右上隅にある「新しいダッシュボード」ボタンをクリックします。
ダッシュボードに名前を付ける: ポップアップウィンドウが表示され、新しいダッシュボードの名前を入力するよう求められます（例: "Security Posture" など）。
「作成」をクリック: ダッシュボードに名前を付けたら、「作成」をクリックして新しいダッシュボードを生成します。
ダッシュボードは空: 新しいダッシュボードは最初は空です。つまり、関連するウィジェットとデータソースを使用して設定する必要があります。
JSON 設定の編集: ダッシュボードをカスタマイズするには、ダッシュボードページの右上隅にある 3 つのドット（メニューアイコン）をクリックし、ドロップダウンメニューから「JSON の編集」を選択します。
JSON コードを置き換える: JSON 設定を変更できるウィンドウが開きます。既存のコードを、GitHub リポジトリ から提供されたダッシュボードファイルに置き換えます。これにより、ダッシュボードに正しいウィジェットとデータソースが設定されます。
ファイルを保存: 変更後、右下隅にある「ファイルを保存」をクリックして設定を適用します。
JSON ファイルが保存されると、ダッシュボードにデータが設定され、さまざまなチャート、グラフ、データの視覚化が表示されます。
