Plugin AWS GuardDuty pour Threat Exchange

Ce document explique comment configurer l'intégration d'AWS GuardDuty avec le module Cloud Threat Exchange de la plateforme Netskope Cloud Exchange. Ce plugin récupère les URL (IPv4 et domaine) et le hachage (SHA256) de la plateforme AWS GuardDuty. Ce plugin ne permet pas d'envoyer des indicateurs à AWS GuardDuty.

Conditions préalables

Pour compléter cette configuration, vous avez besoin de :

Support du plugin AWS GuardDuty

Mises en correspondance

Cartographie de la gravité

Sévérité de Netskope	AWS GuardDuty Severity
<1	Inconnu
1.0 – 3.9	Faible
4.0 – 6.9	Moyen
7.0 – 8.9	Haut
9.0 – 10.0	Critique

Mappings for Pull (champs Netskope - champs AWS GuardDuty)

Champ de l'indicateur Netskope Cloud Exchange	AWS GuardDuty Field
value	EbsVolumeScanDetails Mapping Service.EbsVolumeScanDetails.ScanDetections.ThreatDetectedByName.ThreatNames.FilePaths.FileName.Hash NetworkConnectionAction Mapping Service.Action.NetworkConnectionAction.RemoteIpDetails.IpAddressV4 PortProbeAction Mapping Service.Action.PortProbeAction.PortProbeDetails.RemoteIpDetails.IpAddressV4 DnsRequestAction Mapping Service.Action.DnsRequestAction.Domain
type	EbsVolumeScanDetails Mapping SHA256 NetworkConnectionAction Mapping URL PortProbeAction Mapping URL DnsRequestAction Mapping URL
firstSeen	EbsVolumeScanDetails Mapping Service.EventFirstSeen NetworkConnectionAction Mapping Service.Action.EventFirstSeen PortProbeAction Mapping Service.Action.EventFirstSeen DnsRequestAction Mapping Service.Action.EventFirstSeen
lastSeen	EbsVolumeScanDetails Mapping Service.EventLastSeen NetworkConnectionAction Mapping Service.Action.EventLastSeen PortProbeAction Mapping Service.Action.EventLastSeen DnsRequestAction Mapping Service.Action.EventLastSeen
sévérité	EbsVolumeScanDetails Mapping Service.EbsVolumeScanDetails.ScanDetections.HighestSeverityThreatDetails.Severity NetworkConnectionAction Mapping Sévérité PortProbeAction Mapping Sévérité DnsRequestAction Mapping Sévérité
tags	EbsVolumeScanDetails Mapping Service.EbsVolumeScanDetails.Sources }}+ {{GuardDuty-public if PublicIp is present in NetworkInterfaces + GuardDuty-private si PrivateIpAddress est présent dans NetworkInterfaces NetworkConnectionAction Mapping Resource.InstanceDetails.Tags + NetworkConnectionAction.Blocked=<value> + GuardDuty-public si PublicIp est présent dans NetworkInterfaces + GuardDuty-private si PrivateIpAddress est présent dans NetworkInterfaces PortProbeAction Mapping portProbeAction.Blocked = <value> + Resource.InstanceDetails.Tags + GuardDuty-public si PublicIp est présent dans NetworkInterfaces + GuardDuty-private si PrivateIpAddress est présent dans NetworkInterfaces DnsRequestAction Mapping DnsRequestAction :Blocked : <value> +Resource.InstanceDetails.Tags +GuardDuty-public si PublicIp est présent dans NetworkInterfaces +GuardDuty-privé si PrivateIpAddress est présent dans NetworkInterfaces
commentaires	EbsVolumeScanDetails Mapping Trouver Arn : Arn,TriggerFindingId:Service.EbsVolumeScanDetails.TriggerFindingId,Name:Service.EbsVolumeScanDetails.ScanDetections.ThreatDetectedByName.ThreatNames.FilePaths.FileName.Hash.Filename  Chemin d'accès:Service.EbsVolumeScanDetails.ScanDetections.ThreatDetectedByName.ThreatNames.FilePaths.Chemind'accès,Description:Description NetworkConnectionAction Mapping Recherche ARN : Arn, Type de recherche : Type, Description : Description PortProbeAction Mapping Recherche ARN : Arn, Type de recherche : Type, Description : Description DnsRequestAction Mapping Recherche ARN : Arn, Type de recherche : Type, Description : Description,

 

Permissions

Vous trouverez ci-dessous les permissions nécessaires à l'utilisateur IAM pour le plugin workflow.

• GetFindings
• ListFindings

Détails de l'API

Liste des API utilisées

Ce plugin utilise la bibliothèque python (Boto3 v1.34.44) pour obtenir les résultats de la plateforme AWS GuardDuty.
Bibliothèque : Le SDK AWS pour python (Boto3 v1.34.44)
Utilisation : Le SDK AWS pour python (Boto3) pour créer, configurer et gérer les services AWS,
tels que Amazon Elastic Compute Cloud (Amazon EC2) et Amazon Simple Storage Service.

Création d'un objet client GuardDuty

guardduty_client = boto3.Session(
    aws_access_key_id=self.aws_public_key,
    aws_secret_access_key=self.aws_private_key,
    region_name=self.configuration["region_name"].strip()
    config=Config(proxies=self.proxy, user_agent=self.useragent),
).client("guardduty")

Liste des résultats

findings = guardduty_client.list_findings(
     DetectorId=detection_id,
     MaxResults=1,
     SortCriteria={"AttributeName": "updatedAt", "OrderBy": "ASC"},
  )

Liste des résultats avec pagination

paginator = guardduty_client.get_paginator("list_findings")
    page_iterator = paginator.paginate(
      DetectorId=self.configuration["aws_detector_id"].strip(),
      FindingCriteria={
        "Criterion": {
          "updatedAt": {
            "Gte": int(checkpoint.timestamp() * 1000),
          }
        }
      },
       SortCriteria={"AttributeName": "updatedAt", "OrderBy": "ASC"},
    )

Obtenir des résultats

guardduty_client.get_findings(
         DetectorId=detection_id,
         FindingIds=finding_ids,
)

Matrice de performance

Ce plugin a été testé en récupérant 288 résultats de la plateforme AWS GuardDuty. Il faut environ 15 secondes pour récupérer et stocker les indicateurs de ces résultats dans Netskope CE.

Détails de la pile	Taille : Grand RAM : 32 GO CPU : 16 cœurs
Indicateurs extraits de AWS GuardDuty	~ 1K per minute
Indicateurs partagés avec AWS GuardDuty	NA

Agent utilisateur

• netskope-ce-5.0.0-cte-aws-guardduty-v1.1.0

Workflow

Cliquer sur « play » pour regarder une vidéo.

Créer une politique pour AWS GuardDuty

1. Allez sur IAM Services dans la console AWS.
2. Cliquez sur Create policies.
3. Select Le service de garde dans les services.
   
4. Select GetFindings et ListFindings.
5. Cliquez sur Next.
6. Ajoutez un nom de police.
   
7. Cliquez sur Create Policy.
   

Méthodes d'authentification des plugins

Configuration de IAM Role Anywhere

Conditions préalables

Le service AWS Certificate Manager doit être activé pour authentifier le plugin à l'aide de la méthode d'authentification AWS IAM Roles Anywhere.

Remarque : veillez à créer l'autorité de certification privée, l'ancre de confiance et le profil dans la même région que celle où se trouve votre AWS S3 Source Bucket.

Créer une politique IAM

Cette politique contient les autorisations requises pour la création d'un certificat d'autorité de certification privé (y compris les autorisations pour la création d'une ancre de confiance et d'un profil) et l'utilisation des rôles IAM Anywhere.

1. Accédez au générateur de politiques et cliquez sur Add Statement pour générer une politique.
   • Select Type de politique : Politique IAM
   • Effet : Autoriser
   • Service AWS : Autorité de certification privée AWS
   • Actions :
     • Créer une autorité de certification
     • DescribeCertificateAuthority
     • Obtenir un certificat
     • Obtenir un certificat d'autorité
     • Obtenir l'autorité de certification (GetCertificateAuthorityCsr)
     • ImportCertificateAuthorityCertificate
     • Délivrer un certificat
     • Liste des autorités de certification
   • ARN : *
2. Cliquez Add Statement.
   • Select Type de politique : Politique IAM
   • Effet : Autoriser
   • Service AWS : Gestion des identités et des accès (IAM) d'AWS
   • Actions :
     • Politique de rattachement des rôles
     • Créer une clé d'accès
     • Créer un rôle
     • Supprimer un rôle
     • PassRole
   • ARN : *
3. Cliquez Add Statement.
   
   • Select Type de politique : Politique IAM
   • Effet : Autoriser
   • Service AWS : Gestionnaire de certificats AWS
   • Actions :
     • Décrire le certificat
     • Certificat d'exportation
     • Obtenir un certificat
     • Liste des certificats
     • ListTagsForCertificate
     • Demande de certificat
   • ARN : *
4. Cliquez Add Statement.
   • Select Type de politique : Politique IAM
   • Effet : Autoriser
   • Service AWS : Gestion des identités et des accès AWS Rôles en tout lieu
   • Actions :
     • Créer un profil
     • CreateTrustAnchor
     • Obtenir un profil
     • GetTrustAnchor
     • Liste des profils
     • ListTrustAnchors
   • ARN : *
5. Cliquez sur Add Statement.
6. Cliquez sur Generate Policy.
7. Copiez la politique car elle sera utilisée dans l'étape suivante pour créer la politique nécessaire à la création des certificats de l'AC privée.
8. Accédez à la console AWS et sélectionnez IAM parmi All Services. Cliquez sur Policies dans le panneau de gauche, puis sur Create Policy.
   
9. Copiez la politique dans l'onglet JSON, puis cliquez sur Next: Tags et sur Next: Review.
10. Entrez un nom, comme Netskope-ce-rolesAnywhere-policy, et cliquez sur Save Changes.

Créer une autorité de certification privée

1. Connectez-vous à la console AWS.
2. Cherche Certificate Manager.
3. Cliquez sur AWS Private CA.
4. Cliquez Create a private CA.
5. Select General-purpose pour Mode Options.
6. Select Root pour CA type options.
7. Saisissez l'organisation (O).
8. Select RSA 2048 pour Key algorithm options.
9. Add tags if any (optional).
10. Activez la case à cocher dans la section CA permissions options.
11. Activez la case à cocher dans la section Pricing.
12. Cliquez sur Create pour créer le certificat CA.
13. À partir de Actions, sélectionnez Install.
14. Cliquez Confirm and Install.

Créer un ancrage de confiance

1. Recherchez le service IAM et accédez à Roles sous Gestion des accès. Faites défiler vers le bas jusqu'à Rôles Anywhere et sélectionnez Manage.
2. Cliquez Create a Trust anchor.
3. Enter the Trust anchor name, like netskope-ce-trust-anchor.
4. Select AWS Certificate Manager Private CA (créé dans les étapes précédentes) en tant que Certificate authority (CA) source
5. Ajoutez des étiquettes si nécessaire.
6. Cliquez Create a trust anchor.
7. Cliquez sur le Trust Anchor créé et copiez le Trust Anchor ARN.

Créer un rôle IAM

1. Accédez aux services IAM dans la console AWS.
2. Click Role under Access management.
3. Cliquez Create Role.
4. Pour le type d’entité de confiance, sélectionnez Custom Trust Policy.
5. Accédez au générateur de politiques.
6. Remplacez la politique de confiance personnalisée par la politique de confiance ci-dessous ; cette politique contient les autorisations d'utilisation du service Rôles n'importe où :

   {
       "Version": "2012-10-17",
       "Statement": [
           {
               "Effect": "Allow",
               "Principal": {
                   "Service": [
                       "rolesanywhere.amazonaws.com"
                   ]
               },
               "Action": [
                   "sts:AssumeRole",
                   "sts:TagSession",
                   "sts:SetSourceIdentity"
               ]
           }
       ]
   }


7. Cliquez sur Next.
8. Dans les stratégies d'autorisation , sélectionnez la stratégie de compartiment créée précédemment.
9. Cliquez sur Next.
10. Donnez un nom de rôle, comme Netskope-ce-roleAnywhere, et ajoutez une description pour le rôle. 
11. Cliquez Create role.
12. Notez la Role ARN car elle sera requise dans le paramètre de configuration Plugin : Role ARN pour la méthode d’authentification AWS IAM Roles Anywhere.

Créer un profil

1. Select Roles under Access management.
2. Faites défiler vers le bas jusqu'à Roles Anywhere et cliquez sur Manage.
3. Développez le Setup steps.
4. Cliquez sur Step 2: Configure roles.
5. Cliquez Configure a profile.
6. Entrez un nom de profil, comme Netskope-ce-profile.
7. Select le rôle créé dans la section Create IAM Role : Netskope-ce-roleAnywhere.
8. Supprimez le Inline Policy.
9. Cliquez Create profile.
10. Cliquez sur le Profile créé et copiez le Profile ARN.

Demander un certificat privé

1. Allez sur AWS Certificate Manager > Request certificate.
2. Select Request a private certificate.
3. Cliquez sur Next.
4. Select l'autorité de certification créée dans les étapes précédentes.
5. Indiquez un nom de domaine dans le champ Fully qualified domain name, comme Netskope-ce.com.
6. Select RSA 2048 pour le Key algorithm.
7. Ajoutez des étiquettes si nécessaire.
8. Confirmez les autorisations de renouvellement du certificat.
9. Cliquez Request.
10. Allez sur List certificates dans le volet de navigation d'AWS Certificate Manager.
11. Select le certificat créé précédemment.
12. Cliquez Export.
13. Saisissez le passphrase. Notez la phrase d'authentification car elle sera nécessaire pour la configuration du plugin AWS S3 à l'aide de la méthode d'authentification AWS IAM Roles Anywhere.
14. Cliquez Generate PEM Encoding.
15. Téléchargez tous les Certificates car ils ne seront plus visibles. Pour New certificats, il faudra l’exporter à nouveau. Pour plus d’informations, rendez-vous sur AWS IAM Role Anywhere

Déployé sur AWS Configuration

Créer un rôle

1. Allez sur IAM services dans la console AWS.
2. Cliquez Create role.
3. Select le AWS Service.
4. Pour le cas d'utilisation, sélectionnez EC2.
5. Cliquez Next.
6. Select la politique de permission créée dans votre Bucket Policy.
7. Cliquez Next.
8. Saisissez un nom de rôle, comme Netskope-ce-instance-role, et ajoutez une description. 
9. Cliquez Create Role. Note: Pour cette configuration, l’instance Netskope et le bucket S3 doivent être dans la même région.

Attribuer un rôle à une instance EC2

1. Ouvrez la console de votre instance EC2.
2. Click Instances under Instances.
3. Allez à Action > Security > Modify IAM Role.
4. Select le rôle que vous avez créé précédemment (comme Netskope-ce-instance-role).
5. Cliquez Update IAM Role.

Configurer le plugin AWS GuardDuty

1. Connectez-vous à votre instance CE et allez sur Settings > Plugins.
2. Recherchez et sélectionnez la boîte du plugin AWS GuardDuty pour configurer le plugin.
   
3. Entrez ces valeurs :
   • Nom de la configuration : Nom unique de la configuration.
   • Intervalle de synchronisation : Laissez la valeur par défaut.
   • Critères de vieillissement : Durée d'expiration du plugin en jours. (Valeur par défaut : 90)
   • Ignorer la réputation : Définissez une valeur pour remplacer la réputation des indicateurs reçus de cette configuration.
   • Activer la validation SSL : Activez la validation du certificat SSL.
   • Utiliser le proxy du système : Activez cette option si le proxy est nécessaire pour la communication.
     
4. Cliquez sur Next.
5. Entrez ces valeurs :
   • Méthode d'authentification : Select la méthode à utiliser pour l'authentification (déployé sur AWS/AWS IAM Roles Anywhere)
   • Private Key (Clé privée) : Clé privée pour le décryptage du certificat privé de l'autorité de certification AWS. Requis pour le type d'authentification AWS IAM Roles Anywhere.
   • Organisme de certification : Organisme de certification pour le certificat de l'autorité de certification publique/privée d'AWS. Requis pour le type d'authentification AWS IAM Roles Anywhere.
   • Password Phrase : Phrase de mot de passe pour décrypter le certificat CA. Requis pour le type d'authentification AWS IAM Roles Anywhere.
   • Profil ARN : ARN du profil AWS pour l'authentification du client AWS. Requis pour le type d'authentification AWS IAM Roles Anywhere .
   • ARN de rôle : ARN du rôle AWS pour l'authentification du client AWS. Requis pour le type d'authentification AWS IAM Roles Anywhere.
   • Trust Anchor ARN : ARN de l'ancre de confiance AWS pour l'authentification du client AWS. Requis pour le type d'authentification AWS IAM Roles Anywhere.
   • Nom de la région : Région dans laquelle le service GuardDuty fonctionne. Assurez-vous que le nom de la région correspond à celui de l'ARN du profil et de l'ARN de l'ancre de confiance.
   • ID du détecteur : L'identifiant unique du détecteur.
   • Initial Range (in days) : Nombre de jours pour extraire les données pour l'exécution initiale.
     
6. Cliquez sur Save.

Ajouter une règle de gestion pour AWS GuardDuty

Pour partager les indicateurs extraits de AWS GuardDuty avec Netskope CE, vous devez disposer d'une règle de gestion qui filtre les indicateurs que vous souhaitez partager. Pour configurer une règle de gestion, suivez les étapes ci-dessous :

1. Allez à Threat Exchange > Business Rule et cliquez sur Create New Rule.
2. Ajoutez le filtre selon vos besoins dans la règle.

Validate the AWS Guardduty Plugin

Valider le retrait

Les données extraites seront répertoriées sur la page IoCs de la menace. Vous pouvez filtrer les IoCs extraits de la plateforme en utilisant le filtre: sources.source Like "<plugin name>". Vous pouvez également filtrer les logs de CE avec le nom du plugin.

Sur la plateforme AWS GuardDuty, les indicateurs sont tirés de GuardDuty > Findings.

Valider le push

Pour valider le push dans Cloud Exchange, allez sur Threat Exchange > Logging et filtrez les logs partagés pour Netskope.

Pour vérifier à partir du locataire Netskope :

1. Connectez-vous à votre locataire Netskope.
2. Cliquez sur Policies.
3. Cliquez sur File (pour Sha256).
4. Saisissez le nom de fichier que vous avez utilisé lors de la configuration du partage.
   
5. Pour les URL : (IPv4 et domaine).
6. Cliquez sur Web > URL Lists.
7. Cliquez sur la liste d'URL qui a été utilisée lors de la configuration du partage.
   

Dépannage

Si vous rencontrez un problème lors de la configuration du plugin avec Deployed on AWS

Vérifiez le rôle IAM attaché à votre machine EC2.