На первой стадии события обрабатываются с помощью компонента ArcSight SmartConnectors.

Сбор данных осуществляется ArcSight SmartConnectors различными способами с поддерживаемых системой источников событий. При этом возможны следующие варианты взаимодействия с источниками:

  •       коннектор получает события от источника по одному из протоколов, таких как Syslog или SNMP. SmartConnector выступает в роли сервера, а источник в роли клиента, при этом требуется конфигурация источника для взаимодействия с SmartConnectors.
  •       коннектор самостоятельно собирает события с источника. Для этого могут использоваться протоколы удаленного доступа к данным, такие как ODBC/JDBC, OPSEC , SMB/CIFS и другие.

Фильтрация событий позволяет отсеивать малозначительные события еще на уровне SmartConnector, при этом в Manager попадают только значимые и нужные для учета события. Для фильтрации событий используются пользовательские фильтры, которые могут быть составлены по любым полям события, кроме полей, которые присваиваются компонентом Manager в процессе обработки. Предварительная фильтрация возможна только на основе тех данных, которые имеются непосредственно в событии и доступны для компонента ArcSight SmartConnector.

Все коннекторы имеют возможность агрегации событий. При этом несколько событий, имеющих общие параметры, объединяются коннектором в одно событие, у которого указано общее количество исходных событий. Например, 10 событий от МЭ с одним и тем же адресом источника и назначения и результатом обработки (drop/accept) могут быть объединены в одно событие, с количеством повторений равным 10:

Использование механизма агрегации событий позволяет минимизировать количество событий, обрабатываемых компонентом Manager, тем самым увеличивая производительность системы.

Процесс нормализации представляет собой приведение всех событий к одному виду (схеме события), включающего в себя стандартные поля для данных события. В процессе нормализации также происходит конвертация всех временных меток к формату времени, относительно UMC (GMT).

Всем событиям, обрабатываемым компонентом ArcSight SmartConnectors, присваиваются категории. Категории не зависят от производителя продукта — источника событий, версии ПО источника событий, и позволяют создавать правила, фильтры и прочий контент, не привязанный к конкретному источнику, работающий для всех источников, как существующих в системе, так и добавленных позднее.

В качестве примера на рисунке представлены исходные события, которые были зафиксированы на межсетевом экране, и их отображение в системе ArcSight после категоризации и нормализации:

Перечень используемых в ArcSight ESM категорий и их описания приведены в Таблице:

Наименование категории Описание Примеры значений
1 Object Объект указывает на сущность, относительно которой происходит событие ―    Application―    Operating system

―    Resource

―    Router

―    User

2 Behavior Behavior (поведение) указывает на то, что именно происходит с объектом ―    Access―    Authentication

―    Authorization

―    Execute

―    Modify

3 Outcome Outcome (результат) описывает, было ли действие с объектом успешным или нет. Результат действия может быть успешным (success), неуспешным (failure) или может быть зафиксирована попытка (attempt). Регистрация попытки означает, что действие не было ни успешным, ни неуспешным, и что результат выполнения действия неясен, то есть нельзя сделать однозначного вывода о результате действия. ―    Attempt―    Failure

―    Success

4 Technique Technique (техника) описывает сущность действия, которое описывает событие. Если событие описывает атаку, то это поле описывает метод атаки. ―    Exploit―    Brute force

―    Code execution

―    Scan

―    Denial of service

5 Device Group Многие устройства выполняют несколько задач, например, IPS-система может генерировать события, аналогичные событиям от МСЭ, так же как и собственно IPS-события.Категория DeviceGroup указывает на тип события. Это позволяет искать все события одного типа, такие как события МСЭ. Например, в случае запроса всех МСЭ-событий могут быть  найдены события от IPS и от операционных систем (такие как события iptables). ―    Assessment tool―    Security info manager

―    Firewall

―    IDS

―    Identity Management

―    Operating System

―    Network equipment

―    VPN

6 Significance Significance (значимость) указывает на относительную величину риска информационной безопасности, связанного с событием. Данное значение основывается на различных данных, таких как данные самого устройства о событии, данные о сетевой модели в ESM и значения других категорий.Значения в этой категории могут быть использованы операторами системы для понимания сути события, для того чтобы определить, какие из событий следует расследовать в первую очередь. Если событие представляет нормальную активность, вероятно, его не следует расследовать. Если же событие считается подозрительным (suspicious), враждебным (hostile) или компрометирующим информационную систему (compromise), оно скорее всего потребует расследования. ―    Normal―    Informational

―    Reconnaissance

―    Suspicious

―    Hostile

―    Compromise