Utilisation de Concepteur de flux avec ArcSight ESM intégration d’ingestion d’événements

À l’aide du concentrateur d’intégration et de Concepteur de flux, plusieurs flux, flux secondaires et actions sont disponibles avec l’intégration ArcSight ESM .

Pour afficher ces flux secondaires, accédez à Concepteur de flux > Concepteur et cliquez sur l’onglet Flux secondaires . La figure ci-dessous montre les flux secondaires importants utilisés lors de la création du profil et de la tâche d’ingestion planifiée.

Ces flux secondaires sont répertoriés dans l’ordre dans lequel ils sont exécutés ci-dessous :

• Validation de connexion et d’informations d’identification : ce flux secondaire valide ServiceNow la connectivité avec le ArcSight ESM serveur et les informations d’identification spécifiées. Ce flux secondaire est utilisé lorsque vous cliquez sur le bouton Configurer dans la vignette ArcSight ESM - Ingestion d’événementsdans le Security Operations > Intégrations > Configuration des intégrations la page.
• Obtenir un jeton d’authentification ArcSight : ce flux secondaire génère le jeton d’authentification ArcSight ESM à partir du nom d’utilisateur et du mot de passe à l’aide du ArcSight ESM service de connexion. Le service de connexion fournit le jeton d’authentification qui peut être utilisé pour appeler n’importe quel autre ArcSight ESM point de terminaison. Ce flux secondaire est utilisé dans tous les autres flux secondaires.
• Validation de l’ID de la visionneuse de requêtes : ce flux secondaire vérifie si l’ID de la visionneuse de requêtes spécifié lors de la création du profil est présent sur le ArcSight ESM serveur.
• Récupération de règle de corrélation : ce flux secondaire récupère les règles de corrélation en fonction de l’ID de la visionneuse de requêtes.
• Obtenir un exemple d’événement : ce flux secondaire extrait les échantillons d’événements de corrélation à partir ArcSight ESM du serveur. Ces exemples d’événements sont ensuite mappés aux champs d’incident de sécurité dans la section Mappage du profil.
• Validation de l’ID de ressource d’étape : ce flux secondaire valide l’ID de ressource d’étape spécifié dans la ArcSight ESM console et récupère le nom de la ressource.
• Mettre à jour les commentaires sur les événements corrélés : ce flux secondaire met à jour les commentaires sur les événements corrélés dans les sections Initial et Fermeture de l’incident de la page Options supplémentaires du profil.
• Récupérer les événements corrélés en fonction du calendrier d’interrogation : ce flux secondaire exécute la tâche planifiée qui extrait les événements corrélés en fonction de l’intervalle d’interrogation.

Au cours de l’exécution, les flux secondaires ci-dessus déclenchent également plusieurs autres flux secondaires et actions, directement ou indirectement, comme indiqué ci-dessous.