Plugin ThreatConnect pour Threat Exchange

Ce document explique comment configurer le plugin ThreatConnect v1.2.1 avec le module Threat Exchange de la plateforme Netskope Cloud Exchange. Le plugin ThreatConnect est utilisé pour extraire les informations de référence de type Fichier (MD5 et SHA256), URL, Hôte et Adresse (IPv4 et IPv6) des Indicateurs sous les Exigences de renseignement de ThreatConnect. Ce plugin permet également de partager des fichiers (MD5 et SHA256), des URL, des hôtes et des adresses (IPv4 et IPv6) avec le groupe ThreatConnect dans le cadre des exigences en matière de renseignement à l'aide de l'action Ajouter au groupe.

Conditions préalables

Pour compléter cette configuration, vous avez besoin de :

Prise en charge du plugin ThreatConnect

Ce plugin est utilisé pour extraire des IoC de types Fichier (MD5 et SHA256), URL, Hôte et Adresse (IPv4 et IPv6) des exigences Intel de ThreatConnect. Ce plugin permet également d'envoyer des fichiers (MD5 et SHA256), des URL, des hôtes et des adresses (IPv4 et IPv6) aux exigences Intel de ThreatConnect. Ce plugin permet d'effectuer des actions telles que Ajouter au groupe.

Types d'indicateurs prédéfinis	URL, hôte, adresse (IPv4, IPv6) SHA256, MD5
Types d'indicateurs partagés	URL, hôte, adresse (IPv4, IPv6) SHA256, MD5

Permissions

Pour créer un utilisateur API, assurez-vous d'avoir le rôle d'administrateur de l'organisation pour créer un utilisateur API afin d'obtenir l'ID d'accès et la clé secrète.

Pour extraire et envoyer des données de/vers ThreatConnect, assurez-vous que votre utilisateur dispose des droits suivants

Functionality	Point final de l'API	Type de demande	Permissions
Indicateurs de traction	/api/v3/indicators?	OBTENIR	Select l'un des postes suivants : - Développeur d'applications - Administrateur d'organisation - Commentateur en lecture seule - Utilisateur en lecture seule - Utilisateur de partage - Utilisateur standard
Liste des groupes	/api/v3/groups/	OBTENIR	Select l'un des postes suivants : - Développeur d'applications - Administrateur d'organisation - Commentateur en lecture seule - Utilisateur en lecture seule - Utilisateur de partage - Utilisateur standard
Créer un groupe	/api/v3/groups/	PUBLIER	Select l'un des postes suivants : - Développeur d'applications - Administrateur de l'organisation - Utilisateur de partage - Utilisateur standard
Indicateurs de poussée	/api/v3/indicators	PUBLIER	Select l'un des postes suivants : - Développeur d'applications - Administrateur de l'organisation - Utilisateur de partage - Utilisateur standard
Obtenir un propriétaire	/api/v2/owners/mine	OBTENIR	Select l'un des postes suivants : - Développeur d'applications - Administrateur d'organisation - Commentateur en lecture seule - Utilisateur en lecture seule - Utilisateur de partage - Utilisateur standard

Détails de l'API

Liste des API utilisées

API Name	Méthode	Point final de l'API
Indicateurs de traction	OBTENIR	/api/v3/indicators?
Liste des groupes	OBTENIR	/api/v3/groups/
Créer un groupe	PUBLIER	/api/v3/groups/
Indicateurs de poussée	PUBLIER	/api/v3/indicators
Obtenir des propriétaires Mine	OBTENIR	/api/v2/owners/mine
Obtenir des propriétaires	OBTENIR	/api/v3/security/owners
Mise à jour des indicateurs	PUT	/api/v3/indicators/{value}

Indicateurs de traction

API Endpoint: /api/v3/indicators

Method: OBTENIR

Headers:

Clé	Value
User-Agent	netskope-ce-5.0.1-cte-threatconnect-v1.2.1
Authorization	TC <Token>
Timestamp	Époque Unix de la date et de l'heure actuelles.

Query Parameters:

Paramètres	Value
typeName IN	("Fichier", "URL", "Hôte", "Adresse",)
lastModified	Représentation sous forme de chaîne de la date en %Y-%m-%dT%H :%M :%SZ Format.
sorting	lastModified asc
champs	tags, associatedGroups, associatedArtifacts, associatedCases, securityLabels
resultStart	0
resultLimit	1000

Sample API Response:

{
    "data": [
        {
            "id": 152710117,
            "dateAdded": "2024-08-08T06:27:09Z",
            "securityLabels": {
                "data": [
                    {
                        "id": 1,
                        "name": "TLP:WHITE",
                        "description": "This security label is used for information that carries minimal or no foreseeable risk of misuse, in accordance with applicable rules and procedures for public release.",
                        "color": "FFFFFF",
                        "owner": "System",
                        "dateAdded": "2016-08-31T00:00:00Z"
                    }
                ]
            },
            "ownerId": 252,
            "ownerName": "Netskope",
            "webLink": "https://partnerstage.threatconnect.com/#/details/indicators/152710117/overview",
            "tags": {
                "data": [
                    {
                        "id": 847399,
                        "name": "ABC",
                        "lastUsed": "2024-09-02T06:55:38Z"
                    }
                ]
            },
            "type": "Address",
            "lastModified": "2024-08-08T07:18:07Z",
            "rating": 4.00,
            "confidence": 84,
            "summary": "199.236.195.220",
            "privateFlag": false,
            "active": true,
            "activeLocked": false,
            "associatedGroups": {
                "data": [
                    {
                        "id": 21946425,
                        "dateAdded": "2023-11-07T13:21:08Z",
                        "ownerId": 252,
                        "ownerName": "Netskope",
                        "webLink": "https://partnerstage.threatconnect.com/#/details/groups/21946425/overview",
                        "type": "Incident",
                        "name": "Netskope07112023",
                        "createdBy": {
                            "id": 781,
                            "userName": "02719309203714980821",
                            "firstName": "tco110",
                            "lastName": "netskopce",
                            "pseudonym": "APIUser9zYN7",
                            "owner": "Netskope"
                        },
                        "upVoteCount": "0",
                        "downVoteCount": "0",
                        "status": "None",
                        "lastModified": "2024-08-08T07:18:07Z",
                        "legacyLink": "https://partnerstage.threatconnect.com/auth/incident/incident.xhtml?incident=21946425"
                    }
                ]
            },
            "associatedCases": {
                "data": [
                    {
                        "id": 55,
                        "xid": "9b7789f5-f028-4972-977d-67051f3795ac",
                        "name": "yASdg",
                        "description": "sdfsdfs",
                        "dateAdded": "2022-04-20T08:20:37Z",
                        "lastUpdated": "2024-09-02T06:53:30Z",
                        "caseOpenTime": "2022-04-20T08:20:37Z",
                        "caseOpenUser": {
                            "id": 484,
                            "userName": "milan.thummar@crestdatasys.com (deleted 2023-05-31)",
                            "firstName": "Milan",
                            "lastName": "Thummar (deleted 2023-05-31)",
                            "pseudonym": "Milan Thummar (deleted 2023-05-31)",
                            "owner": "Netskope"
                        },
                        "status": "Open",
                        "severity": "Critical",
                        "resolution": "Not Specified",
                        "assignee": {
                            "type": "User",
                            "data": {
                                "id": 484,
                                "userName": "milan.thummar@crestdatasys.com (deleted 2023-05-31)",
                                "firstName": "Milan",
                                "lastName": "Thummar (deleted 2023-05-31)",
                                "pseudonym": "Milan Thummar (deleted 2023-05-31)",
                                "owner": "Netskope"
                            }
                        },
                        "createdBy": {
                            "id": 484,
                            "userName": "milan.thummar@crestdatasys.com (deleted 2023-05-31)",
                            "firstName": "Milan",
                            "lastName": "Thummar (deleted 2023-05-31)",
                            "pseudonym": "Milan Thummar (deleted 2023-05-31)",
                            "owner": "Netskope"
                        },
                        "owner": "Netskope",
                        "ownerId": 252
                    }
                ]
            },
            "associatedArtifacts": {
                "data": [
                    {
                        "id": 321,
                        "summary": "B055B13ACDCBD47240B9AA69DA6EB084B773DBAC344116ED0D2207FF558027B6",
                        "type": "File Hash",
                        "intelType": "indicator-File",
                        "source": "netskope",
                        "dateAdded": "2024-08-08T09:34:48Z",
                        "derivedLink": true,
                        "hashCode": "cF1Sl9pTga5xf2DhpM3wln447ZolLJ0As5e2W6i5Wmc="
                    },
                    {
                        "id": 320,
                        "summary": "Test Artifact",
                        "type": "User Agent",
                        "intelType": "indicator-User Agent",
                        "source": "netskope",
                        "dateAdded": "2024-08-08T09:28:50Z",
                        "derivedLink": true,
                        "hashCode": "XwI5ZkkEBvqtP5mY8ZovSaQwamZsL8LGR4eiKc4cNsA="
                    }
                ]
            },
            "ip": "199.236.195.220",
            "legacyLink": "https://partnerstage.threatconnect.com/auth/indicators/details/address.xhtml?address=199.236.195.220&owner=Netskope"
        }
    ],
    "status": "Success"
}

Liste des groupes

API Endpoint: /api/v3/groups

Method: OBTENIR

Headers:

Clé	Value
User-Agent	netskope-ce-5.0.1-cte-threatconnect-v1.2.1
Authorization	TC <Token>
Timestamp	Époque Unix de la date et de l'heure actuelles.

Query Parameters:

Paramètres	Value
tql	Nom du propriétaire == <nom du propriétaire><ownerName>
resultLimit	1000

Sample API Response:

{
    "data": [
        {
            "id": 10,
            "ownerId": 1,
            "ownerName": "Demo Organization",
            "dateAdded": "2021-10-21T19:54:59Z",
            "webLink": "https://app.threatconnect.com/auth/document/document.xhtml?document=10",
            "type": "Document",
            "name": "Bad Document",
            "createdBy": {
                "id": 3,
                "userName": "11112222333344445555",
                "firstName": "John",
                "lastName": "Smith",
                "pseudonym": "jsmithOTI",
                "owner": "Demo Organization"
            },
            "upVoteCount":"0",
            "downVoteCount":"0",
            "fileName": "indicators.txt",
            "fileSize": 36,
            "status": "Success",
            "documentType": "Text",
            "documentDateAdded": "2021-10-21T19:54:59Z",
            "lastModified": "2022-03-09T12:44:04Z",
            "legacyLink": "https://app.threatconnect.com/auth/document/document.xhtml?document=10"
        },
	]
}

Créer un groupe

API Endpoint: /api/v3/groups

Method: PUBLIER

Headers:

Clé	Value
User-Agent	netskope-ce-5.0.1-cte-threatconnect-v1.2.1
Authorization	TC <Token>
Timestamp	Époque Unix de la date et de l'heure actuelles.

Payload:

{
    "type": "Incident",
    "name": "Bad Incident",
    "tags": {
        "data": [
            {
                "name": "Netskope CEa"
            }
        ]
    }
}

Sample API Response:

{
    "data": {
        "id": 3,
        "ownerId": 1,
        "ownerName": "Demo Organization",
        "dateAdded": "2021-11-03T14:57:45Z",
        "webLink": "https://app.threatconnect.com/#/details/groups/3/overview",
        "type": "Incident",
        "name": "Bad Incident",
        "createdBy": {
            "id": 3,
            "userName": "11112222333344445555",
            "firstName": "John",
            "lastName": "Smith",
            "pseudonym": "jsmithAPI",
            "owner": "Demo Organization"
        },
        "upVoteCount":"0",
        "downVoteCount":"0",
        "status": "New",
        "eventDate": "2021-11-03T00:00:00Z",
        "lastModified": "2021-11-03T14:57:4511:04:12Z",
        "legacyLink": "https://app.threatconnect.com/auth/incident/incident.xhtml?incident=3"
    },
    "message": "Created",
    "status": "Success"
}

Indicateurs de poussée

API Endpoint: /api/v3/indicators

Method: PUBLIER

Headers:

Clé	Value
User-Agent	netskope-ce-5.0.1-cte-threatconnect-v1.2.1
Authorization	TC <Token>
Timestamp	Époque Unix de la date et de l'heure actuelles.

Payload:

{
    "type": "Host",
    "hostName": "ultrabadguy.com",
    "associatedGroups": {
        "data": [
            {
                "id": 12
            }
        ]
    },
    "confidence": 85,
    "rating": 5,
    "tags": {
        "data": [
            {
                "name": "Netskope CE"
            }
        ]
    }
}

Sample API Response:

{
    "data": {
        "id": 4,
        "ownerId": 1,
        "ownerName": "Demo Organization",
        "dateAdded": "2021-11-05T16:43:17Z",
        "webLink": "https://app.threatconnect.com/#/details/indicators/4/overview",
        "type": "Host",
        "lastModified": "2021-11-05T16:43:17Z",
        "rating": 5.00,
        "confidence": 85,
        "description": "This host is very dangerous",
        "summary": "ultrabadguy.com",
        "privateFlag": false,
        "active": true,
        "activeLocked": false,
        "hostName": "ultrabadguy.com",
        "dnsActive": true,
        "whoisActive": true,
        "legacyLink": "https://app.threatconnect.com/auth/indicators/details/host.xhtml?host=ultrabadguy.com&owner=Demo+Organization"
    },
    "message": "Created",
    "status": "Success"
}

Obtenir des propriétaires Mine

API Endpoint: /api/v2/owners/mine

Method: OBTENIR

Headers:

Clé	Value
User-Agent	netskope-ce-5.0.1-cte-threatconnect-v1.2.1
Authorization	TC <Token>
Timestamp	Époque Unix de la date et de l'heure actuelles.

Sample API Response

{
  "status": "Success",
  "data": {
    "resultCount": 1,
    "owner": {
      "id": 1,
      "name": "Demo Organization",
      "type": "Organization"
    }
  }
}

Obtenir des propriétaires

API Endpoint: /api/v3/security/owners

Method: OBTENIR

Headers: 

Clé	Value
User-Agent	netskope-ce-5.0.1-cte-threatconnect-v1.2.1
Authorization	TC <Token>
Timestamp	Époque Unix de la date et de l'heure actuelles.

Sample API Response:

{
	"data": [
		{
            "id": 1,
            "name": "Demo Organization",
            "type": "Organization",
            "ownerRole": "Organization Administrator",
            "permIndicator": "FULL",
            "permGroup": "FULL",
            "permPost": "FULL",
            "permTrack": "FULL",
            "permVictim": "FULL",
            "permAttribute": "FULL",
            "permApps": "BUILD",
            "permUsers": "FULL",
            "permSecurityLabel": "FULL",
            "permTag": "FULL",
            "permAttributeType": "FULL",
            "permSettings": "FULL",
            "permMembers": "READ",
            "permCopyData": "FULL",
            "permInvite": "FULL",
            "permTask": "FULL",
            "permCaseTag": "FULL",
            "permArtifact": "FULL",
            "permComment": "FULL",
            "permTimeline": "FULL",
            "permWorkflowTemplate": "FULL",
            "permPublish": "FULL",
            "permPlaybooksExecute": "FULL",
            "permPlaybooks": "FULL"
        },
	]
}

Update Indicator

API Endpoint: /api/v3/indicators/{value}

Method: PUT

Headers

Clé	Value
User-Agent	netskope-ce-5.0.1-cte-threatconnect-v1.2.1
Authorization	TC <Token>
Timestamp	Époque Unix de la date et de l'heure actuelles.

Payload:

{
	"associatedGroups": {
		"data": [
			{"id": group_id},
		],
		"mode": "append",
	},
}

Sample API Response:

{
    "data": {
        "id": 4,
        "ownerId": 1,
        "ownerName": "Demo Organization",
        "dateAdded": "2021-11-05T16:43:17Z",
        "webLink": "https://app.threatconnect.com/#/details/indicators/4/overview",
        "type": "Host",
        "lastModified": "2021-11-05T17:21:06Z",
        "rating": 5.00,
        "confidence": 92,
        "description": "This host is very dangerous",
        "summary": "ultrabadguy.com",
        "privateFlag": false,
        "active": true,
        "activeLocked": false,
        "hostName": "ultrabadguy.com",
        "dnsActive": false,
        "whoisActive": true,
        "legacyLink": "https://app.threatconnect.com/auth/indicators/details/host.xhtml?host=ultrabadguy.com&owner=Demo+Organization"
    },
    "message": "Updated",
    "status": "Success"
}

Matrice de performance

Voici la lecture des performances réalisée pour récupérer et partager 100K IoCs dans chaque cycle de vie de plugin sur une instance Large CE avec ces spécifications. Les relevés de traction sont effectués en gardant la mention "Enable Tagging" (activer le marquage) sur "No" (non). Les relevés pour la poussée ont été effectués lorsque les indicateurs poussés étaient déjà présents dans la plateforme ThreatConnect et ont été mis à jour avec la poussée. Si les indicateurs New sont poussés, la performance peut avoir un impact positif.

Détails de la pile	Taille : Grande RAM : 32 GB CPU : 16 cœurs
Indicateurs extraits de ThreatConnect	~10K per minute
Indicateurs partagés avec ThreatConnect	~150 per minute

Agent utilisateur

L'agent utilisateur ajouté pour ce plugin est au format suivant : netskope-ce-<CE VERSION>-<MODULE NAME>-<PLUGIN NAME>-v<PLUGIN VERSION>.

Par exemple : netskope-ce-5.0.1-cte-threatconnect-v1.2.1.

Mises en correspondance

Mappage des balises par défaut pour les indicateurs provenant de la plateforme ThreatConnect.

Tag Mapping in Cloud Exchange based on IoC Type (mappage de balises dans Cloud Exchange basé sur le type d'IoC)

Type of Indicator pulled from ThreatConnect	Tag added in Netskope CE for each type of indicator
URL	ThreatConnect-URL
Adresse (IPV4)	ThreatConnect-Address-IPV4
Adresse (IPV6)	ThreatConnect-Address-IPV6
Host	ThreatConnect-Host
Fichier(MD5)	ThreatConnect-File-MD5
Fichier(SHA256)	ThreatConnect-File-SHA256

Mappages de traction

Netskope CE Fields	ThreatConnect Fields
Value	md5, sha256, text(URL), ip(Adresse), hostName(hôte)
Actif	active
Sévérité	rating
Reputation	confidence
Comments	description
Firstseen	dateAdded
Lastseen	lastModified
Tags	Étiquette de sécurité + Groupe associé + AssociateCases.données.name + Artefacts associés- + Propriétaire - + Privé si privateFlag est vrai, sinon public + balises Note Pour chaque valeur contenue, des balises de liste de données seront créées.

Mappages de poussée

Netskope CE Fields	ThreatConnect Fields
value	md5, sha256, text (URL), ip (adresse), hostName (hôte)
type	url, fichier, hôte, adresse
Recherche de l'identifiant du groupe existant (existing_group_id)	associatedGroups
Netskope CE	tags
sévérité	rating
reputation	confidence

Correspondance des sévérités

Sévérité de l'EC Netskope	ThreatConnect Gravité
Inconnu	0
Faible	1
Faible	2
Moyen	3
Haut	4
Critique	5

Workflow

Cliquer sur « play » pour regarder une vidéo.

Valider le plugin ThreatConnect

Valider le retrait

Threat Exchange extrait les adresses (IPv4, IPv6), les fichiers (SHA256, MD5), les URLs et les hôtes depuis Browse > Indicators dans le plugin ThreatConnect.

Accédez à Threat Exchange > Threat IoCs et recherchez les indicateurs de compromission (IoC) extraits du plugin ThreatConnect.


Les valeurs d'hôte ou de domaine seront considérées comme l'hôte sur ThreatConnect et seront stockées comme nom d'hôte dans Cloud Exchange.

Observez les étiquettes créées :

Allez sur Logging et cherchez les IoC extraits du plugin ThreatConnect.

Valider le push

Pour vérifier les IoC envoyés dans ThreatConnect, accédez ThreatConnect Platform > Browse > Indicators à
. Les IoC envoyés depuis Netskope seront marqués avec Netskope .

Allez à Browse > Groups. Select le type de groupe sous lequel votre groupe a été ajouté. Select le nom de votre groupe et vérifiez les données partagées.

Les données partagées au sein du groupe seront ajoutées et ne seront pas remplacées.
Pour valider les indicateurs transmis sur Threat Exchange, accédez à Threat IoCs et recherchez les IoC partagés avec ThreatConnect.

Dépannage du plugin ThreatConnect

Impossible d'extraire des données de la plateforme ThreatConnect

Si vous ne parvenez pas à extraire des données de la plateforme ThreatConnect, cela peut être dû à l'un des éléments suivants.

• Les données ne sont pas disponibles sur la plateforme.
• Les données sont disponibles sur la plateforme, mais pas dans l'intervalle de temps indiqué dans la configuration du plugin.

What to do: Si les données ne sont pas extraites du plugin, vérifiez d’abord si vous avez des données disponibles sur la plateforme ThreatConnect. Si vous avez des données à extraire, vérifiez la date des données disponibles et vérifiez si elles correspondent à l’intervalle de temps indiqué dans la configuration du plugin.

Impossible d'envoyer des IoC à ThreatConnect

Lorsque vous partagez des IoC avec ThreatConnect, si vous recevez des messages d'erreur, vérifiez les journaux d'erreurs.

CTE ThreatConnect [CTE ThreatConnect]: Received exit code 400, Bad Request while Pushing indicator on ThreatConnect platform having indicator value: 1bfbefa4ff4d0df3ee0090b5079cf84ed2e8d5377ba5b7a30afd88367d57b9ff.

What to do: Les indicateurs de compromission (IoC) qui n'ont pas été partagés seront ajoutés au journal des erreurs, comme indiqué ci-dessus. Les indicateurs de compromission (IoC) déjà présents sur la plateforme ThreatConnect ne seront pas partagés. Pour confirmer si l'IoC n'est pas partagé parce qu'il est déjà présent, allez à ThreatConnect > Create. Select le type d'IoC qui n'a pas pu être poussé et essayez de l'ajouter. Si une valeur existe déjà, elle ne sera pas transmise à ThreatConnect via la fonction push.

CTE ThreatConnect [CTE ThreatConnect]: Received exit code 403, Forbidden while Pushing indicator on ThreatConnect platform having indicator value: 10.50.5.63. {"errCode":"0x1003","message":"This Indicator is contained on a system-wide exclusion list.","status":"Error"}

What to do: Les indicateurs de compromission (IoC) qui n'ont pas été partagés seront ajoutés au journal des erreurs, comme indiqué ci-dessus. Tous les indicateurs de compromission (IoC) qui figureront sur la liste d'exclusion de ThreatConnect ne seront pas partagés sur la plateforme ThreatConnect. Pour confirmer si l'IoC n'est pas partagé en raison de la liste d'exclusion, allez à ThreatConnect > Create. Select le type d'IoC qui n'a pas pu être poussé et essayez de l'ajouter. Si une valeur figure dans la liste d'exclusion système, elle ne sera pas transmise à ThreatConnect par la méthode push.

Réception de l'erreur 400 Client dans les logs lors de l'exécution du cycle de vie du plugin

Si vous recevez l'erreur susmentionnée dans les journaux lors de l'extraction d'indicateurs de la plateforme ThreatConnect, essayez d'augmenter la valeur du délai d'attente TQL personnalisé.

Vous pouvez augmenter la valeur du délai d'attente TQL en procédant comme suit :

1. Connectez-vous à votre compte ThreatConnect.
2. Allez sur Settings > Org Settings.

   

3. Modifiez le compte que vous utilisez pour générer les paramètres de configuration et augmentez la valeur de Custom TQL Timeout.

   

Réception d'une erreur lors de la mise à jour du plugin à l'aide du dépôt de plugin

Si vous rencontrez un problème lors de la mise à jour du plugin ThreatConnect configuré, procédez comme suit :

1. Fermez la page du dépôt de plugins une fois que vous avez téléchargé les mises à jour des plugins.
2. Allez sur Threat Exchange > Plugins.
3. Modifiez le plugin, sur la page Paramètres de configuration. Supprimez la valeur sélectionnée dans le champ Type d'indicateur de menace et sélectionnez à nouveau le type d'interface de communication que vous souhaitez extraire.
4. Cliquez sur Save.
5. Cliquez sur l'icône d'activation du plugin et activez le plugin. Le plugin sera mis à jour avec les dernières modifications et devrait commencer à fonctionner comme prévu.