Plugin de sécurité anormale pour Threat Exchange

This document explains how to configure the CTE Abnormal Security v1.1.1 plugin for the Threat Exchange module of the Netskope Cloud Exchange platform.This plugin is used to pull IOCs of type SHA256, MD5, URL, Domain, IPv4 and IPv6 from Threat Log page of Abnormal Security platform. This plugin supports retraction of IOCs pulled from the Abnormal Security platform. This plugin does not support sharing of indicators to the Abnormal Security platform.

Conditions préalables

Pour compléter cette configuration, vous avez besoin de :

• Un locataire Netskope (ou plusieurs, par exemple des instances de production et de développement/test).
• Un profil de fichier sur votre locataire Netskope.
• A URL List on your Netskope tenant.
• A Destination Profile on your Netskope tenant.
• A Private App on your Netskope tenant.
• A DNS Profile on your Netskope Tenant
• Une instance Netskope Cloud Exchange avec les plugins Tenant et Threat Exchange déjà configurés.
• Informations d'identification de la plate-forme de sécurité anormales.
• Connectivité avec les hôtes suivants :
  • Production Server (api.abnormalplatform.com/v1)
  • EU Production Server (eu.rest.abnormalsecurity.com/v1)
  • FedRAMP GovCloud (rest.abnormalsecurity.us)

Prise en charge des plugins de sécurité anormaux

Mises en correspondance

Mappages de traction

Retrait de l'IoC

IoC Retraction (Pull): Les indicateurs seront récupérés à partir d'Anormal et dans les cycles de traction suivants. Si certains indicateurs sont supprimés d'Anomali, ils seront marqués comme retirés dans Cloud Exchange.

IoC Retraction (Push): Les indicateurs rétractés présents dans Cloud Exchange seront supprimés d'Abnormal lors du partage.

Permissions

You will need below permissions for the API Toke:

• Threats – Read Access
• Messages – Read Sensitive Access

{
  "threats": [
    {
      "threatId": "184712ab-6d8b-47b3-89d3-a314efef79e2"
    }
  ],
  "pageNumber": 1,
  "nextPageNumber": 2
}

{
  "threatId": "184712ab-6d8b-47b3-89d3-a314efef79e2",
  "messages": [
    {
      "threatId": "184712ab-6d8b-47b3-89d3-a314efef79e2",
      "abxMessageIdStr": "4551618356913732000",
      "abxPortalUrl": "https://portal.abnormalsecurity.com/home/threat-center/remediation-history/4551618356913732076",
      "subject": "Phishing Email",
      "fromAddress": "support@secure-reply.org",
      "fromName": "Support",
      "senderDomain": "secure-reply.org",
      "toAddresses": "example@example.com, another@example.com",
      "recipientAddress": "example@example.com",
      "receivedTime": "2020-06-09T17:42:59Z",
      "sentTime": "2020-06-09T17:42:59Z",
      "internetMessageId": "<5edfca1c.1c69fb81.4b055.8fd5@mx.google.com>",
      "remediationStatus": "Auto Remediated",
      "attackType": "Extortion",
      "attackStrategy": "Name Impersonation",
      "returnPath": "support@secure-reply.org",
      "replyToEmails": [
        "reply-to@example.com"
      ],
      "ccEmails": [
        "cc@example.com"
      ],
      "senderIpAddress": "100.101.102.103",
      "impersonatedParty": "None / Others",
      "attackVector": "Text",
      "attachmentNames": [
        "attachment.pdf"
      ],
      "attachmentCount": 0,
      "urls": [
        "https://www.google.com/"
      ],
      "urlCount": 0,
      "summaryInsights": [
        "Bitcoin Topics",
        "Personal Information Theft",
        "Unusual Sender"
      ],
      "remediationTimestamp": "2020-06-09T17:42:59Z",
      "isRead": true,
      "attackedParty": "VIP",
      "autoRemediated": "True",
      "postRemediated": "False"
    }
  ],
  "pageNumber": 1,
  "nextPageNumber": 2
}

{
    "data": [
        {
            "attachmentName": "image.jpg",
            "type": "jpg",
            "md5": "d38deea567961e23059d3edd310a82d0",
            "sha1": "1caeee0cca7ac0e8f95fac59acf4d06d48884622",
            "sha256": "f2ccf68511b93832ea8dd7195fb60319de7a03b1795081aed53272d8d82268f1",
            "size": "200KB",
        }
    ]
}

Matrice de performance

Cette performance a été réalisée sur une grande instance CE avec ces spécifications en tirant 100k IoCs.

Agent utilisateur

netskope-ce-6.0.0-cte-abnormal-security-v1.1.0

Workflow

1. Obtenez le jeton API pour la sécurité anormale.
2. Configurez le plugin Abnormal Security.
3. Ajoutez une règle de gestion pour la sécurité anormale.
4. Configurer le partage pour Abnormal Security et Netskope Threat Exchange
5. Validez le plugin Abnormal Security.

Regardez une vidéo

Cliquez sur "play" pour regarder une vidéo :

Obtenir le jeton API pour la sécurité anormale

1. Connectez-vous à Abnormal Security.

   

2. Allez sur Settings > Integrations.

3. Scroll down to the API Token Management section and click Create New Token.

   

4. Select Rest API, et cliquez Next.

   

5. Select le locataire dans la liste déroulante et cliquez sur Next.

   

6. Select Custom Access pour Configurer le type d’accès, sélectionnez les permissions listées dans la section permissions , puis cliquez sur Next.

   

7. Enter a Token Name, Description and select Token Expiration Period, and provide the public IP of the instance hosting your Cloud Exchange in the IP Safelist, and then click Next.

   

8. Vérifiez la configuration du jeton et cliquez sur Create Token.

   

9. Copy the created API Token.

   

Configurer le plugin de sécurité anormale

1. In Cloud Exchange and go to Settings > Plugin Store. Search for and select the Abnormal Security v1.1.1 (CTE) plugin.

   

2. Saisissez les informations de base :

   • Configuration Name: Nom unique pour la configuration.
   • Sync Interval: Leave the default
   • Aging Criteria: Expiry time of the plugin in days. ( Default: 90 )
   • Override Reputation: Définissez une valeur pour remplacer la réputation des indicateurs reçus de cette configuration.
   • Enable SSL Validation: Activer la validation du certificat SSL.
   • Use System Proxy: Activer si le proxy est nécessaire pour la communication.

   

3. Cliquez sur Next et entrez les paramètres de configuration.

   • Base URL: Base URL of Abnormal Security API endpoint.
   • API Token: Provide the API Token from Abnormal Security.
   • Type of Threat Data to Pull: Type of Threat data to pull. Allowed values are SHA256, MD5, URL, Domain, IPv4 and IPv6.
   • Retraction Interval (in days): Intervalles de rétraction : jours pour effectuer la rétraction IoC(s) pour les indicateurs de sécurité anormale. Notez que ce paramètre ne sera pris en compte que si la rétraction IoC(s ) est activée dans les paramètres de l’échange de menaces. Ce paramètre est applicable uniquement à Netskope CE version 5.1.0 et au-dessus.
   • Enable Tagging: Activer/désactiver la fonctionnalité de marquage.
   • Initial Range (in days): Number of days Threat IoCs to pull in the initial run.

   

4. Cliquez sur Save.

   

Ajouter une règle de gestion Threat Exchange pour la sécurité anormale

To share indicators fetched from Abnormal Security to the Cloud Exchange, you need to have a business rule that will filter out the indicators that you want to share.

1. Dans Threat Exchange, allez dans Business Rules et Create New Rule.

2. Ajoutez le filtre selon vos exigences dans la règle, puis cliquez sur Save.

   

Configurer le partage pour Abnormal Security et Netskope

Partager les IoCs de la sécurité anormale avec d'autres plateformes tierces :

1. Dans Threat Exchange, allez dans Sharing et cliquez sur Add Sharing Configuration.

2. Select votre Configuration de la source (CTE Sécurité anormale), la Règle de gestion, la Configuration de la destination (CTE Netskope) et la Cible. 

3. Cliquez sur Save.

   

Valider le plugin de sécurité anormale

Valider le retrait

Pour vérifier les journaux extraits dans Cloud Exchange, allez dans Logging et recherchez les journaux depuis le plugin CTE Abnormal Security. Vous pouvez filtrer les journaux en utilisant le message de filtre: Comme «<plugin configuration name> [] »

Les données extraites seront listées sur la page des Menaces IoC . Vous pouvez filtrer les IoC extraits de la plateforme en utilisant le filtre : sources.source Comme « »<plugin configuration name>

Pour vérifier les données disponibles pour l’accès à Abnormal Security, connectez-vous à Abnormal Security et allez sur la page Journal des menaces .

Ouvrez n'importe quel journal de menaces, et vous y trouverez différents IoC qui peuvent être extraits.

• Le plugin extrait les URL de la section Liens.
• IPv4 et IPv6 de l'adresse IP de l'expéditeur.
• Domaine de l'expéditeur.
• SHA256 et MD5 des pièces jointes du contenu des courriels.

Validez la rétractation de la traction

Pour vérifier les IoC rétractés, vérifiez les journaux pour l’exemple de rétractation de l’IoC : message Comme CTE Sécurité anormale [CTE Sécurité anormale] [Rétraction].

Vous pouvez filtrer les IoC rétractées de la plateforme en utilisant le filtre : sources.source Est égal à «<plugin configuration name> » && sources.retracted Est égal à vrai

Les IoC relevant de l’intervalle de rétraction seront marqués comme Rétractés : Oui dans Cloud Exchange.

Dépannage du plugin de sécurité anormale

Erreur lors de la configuration du plugin ou de l'extraction des données

Si vous recevez l'erreur suivante lors de la configuration du plugin.

CTE Abnormal Security [CTE Abnormal Security]: Validation error occurred, Received exit code 403 (Forbidden), Verify Base URL and API Token provided in the configuration parameters.

This issue may be due to one of these reasons:

• L'URL de base et le jeton API sont invalides/supprimés.
• L'adresse IP publique où votre Cloud Exchange est hébergé n'est pas ajoutée à la liste de sécurité des IP.

What to do:

1. Vérifiez les identifiants du plugin : si l’URL de base et le jeton API sont valides, vérifiez si les identifiants que vous utilisez sont toujours disponibles sur Abnormal Security.
2. Assurez-vous d'avoir ajouté l'adresse IP publique de l'instance sur laquelle Cloud Exchange est hébergé à la liste blanche d'adresses IP, comme indiqué dans la section « Obtenir le jeton API pour une sécurité anormale » .
   • Si votre Cloud Exchange fonctionne dans un réseau privé, ajoutez l'adresse IP publique de votre machine à cette liste de sécurité.
   • Pour obtenir l'adresse IP publique de votre machine, exécutez la commande ci-dessous sur la machine où Cloud Exchange est hébergé.

   
   curl ifconfig.me
   

3. Pour Cloud Exchange hébergé sur AWS ou Azure, copiez l'adresse IP publique de votre machine depuis le portail AWS ou Azure et ajoutez-la à la liste de sécurité.

Getting the error “HTTP Error while fetching attachment data for Document-for-Payment @.pdf with Message ID -xxxxxxxxxxxxx.”

If you have configured the plugin with v1.1.0 or earlier and facing this error while pulling the indicators from Abnormal Security, it might be due to the attachment details having special characters like ‘#’. To resolve this issue, follow the steps given below.

What to do: Upgrade the plugin to the latest version, and verify the indicators pulled.

Impossible d'extraire des IoC de la plateforme Abnormal Security

Après la configuration du plugin, si les IoC ne sont pas extraits de la plateforme, cela peut être dû à l'une des raisons suivantes :

• Aucun IoC n'est disponible sur la plateforme pour tirer
• Les IoC ne sont pas disponibles pour les paramètres de configuration donnés (c.-à-d. Types de données sur les menaces à extraire).

What to do: Identifiez la cause première du problème et suivez les étapes suivantes pour le résoudre.

No IoCs are available on the platform to pull:

Vérifier si les IoC sont disponibles sur la plateforme à tirer. Si elle est disponible, vérifiez la résolution pour le point suivant.

IoCs are not available for the given time range

Si les IoC sont disponibles sur la plateforme à extraire, mais que le plugin n'a pas extrait les IoC dans Cloud Exchange, vérifiez le nombre de jours mentionné dans le paramètre de la plage initiale de la configuration du plugin. Sur la plateforme Sécurité anormale, vérifiez si vous disposez de données pour la période donnée.

Si les données sont toujours disponibles pour la période donnée, il est possible que les IoC pour le filtre fourni dans la configuration du plugin ne soient pas disponibles. Vérifiez donc les valeurs du paramètre de configuration du plugin et filtrez de la même manière sur la plateforme Abnormal Security.