Eksportowanie danych historycznych z usługi ArcSight

W tym artykule opisano sposób eksportowania danych historycznych z usługi ArcSight. Po wykonaniu kroków opisanych w tym artykule możesz wybrać platformę docelową do hostowania wyeksportowanych danych, a następnie wybrać narzędzie pozyskiwania do migracji danych.

Diagram przedstawiający kroki związane z eksportowaniem i pozyskiwaniem.

Dane z usługi ArcSight można eksportować na kilka sposobów. Wybór metody eksportu zależy od woluminów danych i wdrożonego środowiska usługi ArcSight. Dzienniki można wyeksportować do folderu lokalnego na serwerze usługi ArcSight lub na inny serwer dostępny dla usługi ArcSight.

Aby wyeksportować dane, użyj jednej z następujących metod:

Narzędzie do transferu danych zdarzeń w usłudze ArcSight

Użyj narzędzia do transferu danych zdarzeń, aby wyeksportować dane z programu ArcSight Enterprise Security Manager (ESM) w wersji 7.x. Aby wyeksportować dane z rejestratora usługi ArcSight, użyj narzędzia lacat.

Narzędzie Event Data Transfer pobiera dane o zdarzeniach z ESM. Dane te mogą być łączone z danymi niestrukturalnymi oprócz danych CEF. Narzędzie do przesyłania danych o zdarzeniach eksportuje zdarzenia ESM w trzech formatach: CEF, CSV oraz pary klucz-wartość.

Aby wyeksportować dane za pomocą narzędzia Event Data Transfer:

  1. Zainstaluj i skonfiguruj narzędzie transferu zdarzeń.

  2. Skonfiguruj eksport dzienników tak, aby używał formatu CSV. Na przykład to polecenie eksportuje dane zarejestrowane między 15:45 a 16:45 w dniu 4 maja 2016 r. do pliku CSV:

        arcsight event_transfer -dtype File -dpath <***path***> -format csv -start "05/04/2016 15:45:00" -end "05/04/2016 16:45:00"

narzędzie Lacat

Użyj narzędzia lacat, aby wyeksportować dane z rejestratora usługi ArcSight. Narzędzie lacat eksportuje rekordy CEF z pliku archiwum Loggera i wypisuje je do stdout. Możesz przekierować rekordy do pliku lub potokować plik w celu dalszego manipulowania za pomocą opcji, takich jak grep lub awk.

Aby wyeksportować dane za pomocą narzędzia lacat:

  1. Pobierz narzędzie lacat. W przypadku dużych ilości danych zalecamy zmodyfikowanie skryptu w celu zwiększenia wydajności. Pobierz narzędzie lacat zmodyfikowane przez firmę Microsoft.
  2. Postępuj zgodnie z przykładami w repozytorium lacat, aby dowiedzieć się, jak uruchomić skrypt.

Następne kroki

  • Ostatnia aktualizacja o