Plugin Forescout eyeFocus pour Risk Exchange

Ce document explique comment configurer le plugin Forescout eyeFocus v1.0.0 dans la plateforme Netskope Cloud Exchange. Ce plugin récupère les ressources depuis la page Ressources de la plateforme Forescout eyeFocus Cloud. Ce plugin ne prend en charge aucune action sur les ressources.

Conditions préalables

Pour compléter cette configuration, vous avez besoin de :

• Un locataire Netskope (ou plusieurs, par exemple des instances de production et de développement/test).
• Un locataire Netskope Cloud Exchange avec le plugin Tenant et le plugin Risk Exchange déjà configurés.
• Connectivité à l'instance Forescout eyeFocus. Exemple : https://<instance>.cloud.forescout.com.

Prise en charge du plugin Forescout eyeFocus

Ce plugin est utilisé pour récupérer les actifs à partir de la page Actifs de la plateforme Cloud Forescout eyeFocus. Ce plugin ne prend en charge aucune action sur les actifs.

Mises en correspondance

Les mappages sont utilisés pour visualiser les actifs récupérés ainsi que leurs détails respectifs. Les champs mappés lors de la configuration du plugin seront visibles sur la page Enregistrements une fois que les données auront été récupérées. Voici les mappages suggérés à utiliser lors de la configuration du plugin.

Cartographie des actifs

Permissions

Contactez votre équipe d'assistance Forescout eyeFocus.

{
    "total_hits": 15451,
    "entities": [
        {
            "id": "7febb171-a8b5-493a-89ae-456c70c72ba9",
            "mac_addresses": [
                "08:00:19:b4:40:a0"
            ],
            "ip_addresses": [
                "10.22.16.140"
            ],
            "hostname": "hosp-rad-cts01",
            "last_seen": "2026-05-06T08:55:23.777Z",
            "rem_function": "CT Scanner",
            "rem_vendor": "GE Healthcare",
            "rem_os": "Linux",
            "rem_model": "Revolution EVO / Optima CT660",
            "rem_firmware": "19BW15.42",
            "rem_category": "Medical Device",
            "risk_score": 7.7,
            "risk_severity": "high",
            "risk_exposed_service_list": [
                {
                    "port_protocol": "22_tcp",
                    "service_name": "SSH",
                    "impact_level": "Control"
                },
                {
                    "port_protocol": "23_tcp",
                    "service_name": "Telnet",
                    "impact_level": "Control"
                }
            ],
            "open_ports": [
                {
                    "port": 60313,
                    "protocol": "tcp",
                    "service_name": "SSL"
                },
                {
                    "port": 23,
                    "protocol": "tcp",
                    "service_name": "Telnet"
                },
                {
                    "port": 22,
                    "protocol": "tcp"
                }
            ],
            "risk_device_criticality": "critical",
            "risk_matched_cves": [
                {
                    "cve_id": "CVE-2020-25175"
                },
                {
                    "cve_id": "CVE-2020-25179"
                }
            ],
            "medical_mds_has_document": false,
            "last_seen_online": "2026-05-06T06:05:54.000Z"
        }
}

Matrice de performance

Voici la matrice de performance réalisée sur une grande pile CE avec ces spécifications en retirant 500k ressources.

Agent utilisateur

netskope-ce-v6.1.0-cre-forescout-eyefocus-v1.0.0

Workflow

1. Generate a API Token.
2. Configurer le plugin Forescout eyeFocus.
3. Configurez une règle de gestion.
4. Configurer les actions Risk Exchange.
5. Validez le plugin.

Regardez une vidéo

Cliquez sur "play" pour regarder une vidéo :

Obtenir votre jeton API Forescout eyeFocus

Reportez-vous à cette documentation pour la génération de jetons API : https://docs.forescout.com/fs-cloud/eyefocus/cloud-data-exchange-plugin/generate-an-api-key-for-application-integration.htm

Configurer le plugin Forescout eyeFocus

1. Dans Cloud Exchange, allez sur Settings > Plugin Store. Recherchez et sélectionnez le plugin Forescout eyeFocus v1.0.0 (CRE).

   

2. Saisissez un nom de configuration du plugin et modifiez l'intervalle de synchronisation si nécessaire.

   

3. Cliquez sur Next et entrez les paramètres de configuration :

   • Base URL: URL de base de votre instance cloud Forescout eyeFocus. ex. https://demo.cloud.forescout.com.
   • API Token: Jeton API Bearer utilisé pour s'authentifier auprès de l'API Forescout eyeFocus REM Asset Search.
   • Asset Categories: Catégories d'actifs à extraire. Seuls les actifs dont la catégorie Forescout est sélectionnée ici sont extraits ; le filtre est appliqué par le plugin après chaque appel API. Toutes les catégories sont sélectionnées par défaut. Laisser vide pour extraire des actifs de toutes les catégories. Désélectionnez « IT » pour exclure les hôtes compatibles avec Netskope-Client (ordinateurs portables / de bureau / téléphones) et n'extraire que les actifs non-hôtes / sans tête.
   • Pull Strategy: Comment chaque cycle de récupération détermine sa plage de date/heure.
     Incrémentiel: la première récupération utilise la plage initiale et chaque récupération ultérieure ne récupère que les actifs observés depuis la dernière exécution réussie.
     Fenêtre complète: chaque récupération récupère tous les actifs dans la plage initiale, de sorte que les actifs existants sont actualisés à chaque cycle.
   • Initial Range (in days): Nombre de jours à examiner. Avec la stratégie de retrait « Incrémentale », cela s'applique uniquement au premier retrait ; avec la stratégie de retrait « Fenêtre complète », cela s'applique à chaque retrait. Plage valide : 1 à 365.
   • Pagination Window (in days): Taille de chaque fenêtre de date/heure en laquelle le retrait est divisé (l'API REM est paginée en réduisant la fenêtre de temps, et non par numéro de page). Une fenêtre qui dépasse encore la limite de 1 000 ressources de l'API est automatiquement divisée en sous-fenêtres plus petites. Plage valide : 1 à 30.
   • Apply Risk Score Filter: Select Yes pour filtrer les actifs récupérés par leur score de risque Forescout. Des champs supplémentaires Score de risque minimum et Score de risque maximum sont alors affichés et sont appliqués côté serveur par l'API de recherche d'actifs REM. Select No pour récupérer les actifs de chaque score de risque.
   • Minimum Risk Score: Récupérer uniquement les actifs dont le score de risque Forescout est supérieur ou égal à cette valeur (échelle 0-10, décimales autorisées, par ex. 1,2). Appliqué côté serveur par l'API REM Asset Search. Laisser vide pour aucune limite inférieure. Remarque : la définition d'une limite de risque fait que l'API exclut les actifs dont le score de risque est exactement 0.
   • Maximum Risk Score: Récupérez uniquement les actifs dont le score de risque Forescout est inférieur ou égal à cette valeur (échelle 0-10, décimales autorisées, comme 3). Appliqué côté serveur par l'API REM Asset Search. Laissez vide pour aucune limite supérieure.

   

4. Cliquez sur Next et sélectionnez l'entité requise dans la liste déroulante Entité. Indiquez le mappage des champs selon vos besoins. Vous pouvez en créer un New en cliquant sur Add New Entity.

   

   Pour créer un champ New, cliquez sur Add Field.

   

   Saisissez l'étiquette de champ, le type de données, la normalisation et la stratégie d'agrégation selon vos besoins, puis cliquez sur Save.

   

   Map the created fields:

   

   

   Veuillez lire la section Mappages avant de configurer le plugin.

5. Click Save. Your plugin appears on the Plugins page.

   

Configurer une règle de gestion de Risk Exchange pour le plugin Forescout eyeFocus

1. Dans Risk Exchange, allez à Business Rules.

2. Cliquez sur Create New Rule dans le coin supérieur droit.

3. Saisir un nom de règle. Select l'entité pour les champs que vous avez configurés pour le plugin Forescout eyeFocus, et configurez la requête en fonction de vos besoins.

   

4. Cliquer sur Save. Cet exemple filtre les données récupérées à partir du plugin.

   

Configurer les actions d'échange de risques pour le plugin Forescout eyeFocus

CRE Forescout eyeFocus prend en charge le type d'action suivant :

Aucune action : Aucune action ne sera effectuée pour cette action. Vous pouvez générer des alertes UBA dans Ticket Orchestrator en utilisant cette action et en activant le bouton de bascule Générer des alertes.

No Action

1. Dans Risk Exchange, allez à Actions et cliquez sur Add Action Configuration.
2. Select la règle métier, la configuration et l'action (Aucune action) requises dans leurs menus déroulants respectifs.
3. Enable the Generate Alert toggle.
4. Activez la case à cocher Exiger l' approbation si une approbation est nécessaire avant d'effectuer une action sur les enregistrements tirés.
5. Cliquez sur Save.

Valider le plugin Forescout eyeFocus

Valider dans Cloud Exchange

Dans Risk Exchange, allez à Records. Select l'entité qui a été sélectionnée lors de la configuration du mappage de champ pour afficher les enregistrements retirés.

Pour vérifier les journaux liés aux enregistrements récupérés, allez dans le Settings > Logging et appliquez un filtre avec le nom du plugin ou le nom de la configuration du plugin.

Journaux pour l'action No action effectuée :

Lorsqu’un enregistrement extrait correspond à l’une des règles de gestion configurées, l’action configurée est exécutée sur l’enregistrement. Cela peut être consulté à l’adresse Risk Exchange > Action Logs.

Valider dans Forescout eyeFocus

Pour afficher les actifs disponibles sur Forescout eyeFocus, connectez-vous à votre instance Forescout eyeFocus.

Aller à Assets. Il s'agit de la page à partir de laquelle les enregistrements d'actifs seront récupérés vers Cloud Exchange.

Dépannage du plugin Forescout eyeFocus

Impossible de configurer le plugin Forescout eyeFocus

Si le plugin ne s'enregistre pas et renvoie une erreur, cela peut être dû à l'une des raisons suivantes :

• L'URL de base est incorrecte, il manque le schéma d'URL ou elle n'est pas accessible depuis l'instance CE.
• Le jeton d'API n'est pas valide, a expiré ou ne dispose pas des autorisations suffisantes.

What to do:

1. Vérifiez que l'URL de base est la bonne URL d'instance Forescout eyeFocus Cloud, y compris le schéma (comme https://demo.cloud.forescout.com).
2. Contactez l'équipe de support Forescout eyeFocus et régénérez le jeton d'API depuis la console Forescout eyeFocus Cloud, puis mettez à jour la configuration du plugin.

Impossible de récupérer les ressources à partir du plugin Forescout eyeFocus

Si vous ne pouvez pas récupérer les enregistrements de ressources, cela peut être dû au fait que les enregistrements de ressources ne sont pas disponibles sur la plateforme Forescout eyeFocus.

What to do: Vérifiez si les enregistrements d'actifs sont présents sur la plateforme Forescout eyeFocus pendant la plage de temps initiale utilisée dans la configuration du plugin. Reportez-vous à la section Valider dans Forescout eyeFocus.

Comportements connus

• Le service Forescout eyeFocus peut renvoyer un maximum de 1 000 ressources dans une seule requête. Pour récupérer toutes les ressources correspondantes, le plugin divise automatiquement la requête en lots plus petits en fonction de la plage horaire et du score de risque. Dans de rares cas, si plus de 1 000 ressources correspondent encore au plus petit lot possible, certaines ressources peuvent ne pas être récupérées. Chaque fois que cela se produit, un message est enregistré dans les journaux CE.
• L'envoi d'un score de risque minimal ou maximal amène l'API Forescout à exclure silencieusement les actifs dont le score de risque est exactement égal à 0. Le plugin vérifie d'abord tous les actifs avant d'appliquer la plage de score de risque sélectionnée, garantissant ainsi que les actifs avec un score de risque de 0 sont également inclus.