Plugin TrendAI Vision One pour Threat Exchange

Ce document explique comment configurer le plugin TrendAI Vision One v2.0.0 avec le module Threat Exchange de la plate-forme Netskope Cloud Exchange. Ce plugin est utilisé pour extraire des domaines, SHA-256 de fichier, adresse IP (IPv4, IPv6) et URL de la TrendAI Vision One > Threat Intelligence > Suspicious Object Management > Suspicious Object List. Ce plugin permet de partager des domaines, SHA-256 de fichier, adresse IP (IPv4, IPv6) et URL vers la liste des objets suspects ou la liste des exceptions de TrendAI Vision One. Ce plugin prend en charge la rétraction par extraction d'indicateurs de la liste des objets suspects, ainsi que la rétraction par envoi d'indicateurs partagés de la liste des objets suspects et de la liste des exceptions.

Conditions préalables

Pour compléter cette configuration, vous avez besoin de :

• Un locataire Netskope (ou plusieurs, par exemple des instances de production et de développement/test).
• Un locataire Netskope Cloud Exchange avec les plugins Tenant et Threat Exchange déjà configurés.
• Une instance TrendAI Vision One avec un compte.
• Un profil de fichier sur votre locataire Netskope.
• A URL List on your Netskope tenant.
• A Destination Profile on your Netskope tenant.
• A Private App on your Netskope tenant.
• A DNS Profile on your Netskope Tenant.
• Portail Trend Vision One
  • Australie (api.au.xdr.trendmicro.com)
  • Canada (api.ca.xdr.trendmicro.com)
  • Union européenne (api.eu.xdr.trendmicro.com)
  • Inde (api.in.xdr.trendmicro.com)
  • Indonésie (api.id.xdr.trendmicro.com)
  • Japon (api.jp.xdr.trendmicro.com)
  • Moyen-Orient et Afrique (api.mea.xdr.trendmicro.com)
  • Singapour (api.sg.xdr.trendmicro.com)
  • Afrique du Sud (api.za.xdr.trendmicro.com)
  • Royaume-Uni (api.uk.xdr.trendmicro.com)
  • États-Unis (api.xdr.trendmicro.com)
  • Custom Region

Prise en charge du plugin TrendAI Vision One

Ce plug-in sert à récupérer les domaines, les empreintes SHA-256 de fichiers, les adresses IP (IPv4, IPv6) et les URL depuis TrendAI Vision One > Threat Intelligence > Suspicious Object Management > Suspicious Object List. Ce plugin permet de partager des domaines, SHA-256 de fichier, adresses IP (IPv4, IPv6) et URL vers la Liste d’objets suspects ou la Liste d’exceptions de TrendAI Vision One. Ce plug-in prend en charge le retrait par extraction des indicateurs de la Suspicious Object List, ainsi que le retrait par envoi des indicateurs partagés depuis la Suspicious Object List et l’ Exception List.

Retrait de l'IoC

Ce plugin prend en charge la rétractation par tirage des indicateurs de la liste d'objets suspects qui ne sont plus actifs dans TrendAI Vision One, et la rétractation par poussée des indicateurs rétractés par CE de la liste d'objets suspects et de la liste d'exceptions.

Étiquetage des sources IoC

Le plugin ajoute le label Shared by Netskope Cloud Exchange dans le champ de description de tous les indicateurs provenant de CE, empêchant ainsi ces indicateurs d’être réimportés comme de New renseignements sur les menaces lors des cycles de récupération suivants.

Mises en correspondance

Correspondance des sévérités

Cartographies des indicateurs de traction

Mappages des indicateurs de pression

Permissions

Vous trouverez ci-dessous les autorisations nécessaires pour le plugin.

Renseignements sur les menaces > Gestion des objets suspects.

{
  "items": [
    {
      "type": "url",
      "url": "https://example.com/malicious",
      "description": "Detected by Trend Vision One",
      "riskLevel": "high",
      "lastModifiedDateTime": "2026-08-30T09:12:44Z"
    }
  ],
  "nextLink": "https://api.xdr.trendmicro.com/v3.0/threatintel/suspiciousObjects?..."
}

[
  {
    "url": "https://example.com/malicious",
    "description": "Shared by Netskope Cloud Exchange",
    "riskLevel": "high"
  }
]

[
  {
    "status": 201
  }
]

[
  {
    "url": "https://example.com/exception",
    "description": "Shared by Netskope Cloud Exchange"
  }
]

[
  {
    "status": 201
  }
]

[
  {
    "url": "https://example.com/malicious"
  }
]

[
  {
    "status": 204
  }
]

[
  {
    "url": "https://example.com/exception"
  }
]

[
  {
    "status": 204
  }
]

Matrice de performance

Cette lecture est effectuée sur une grande pile CE avec ces spécifications en tirant et en poussant 100k IoCs.

Agent utilisateur

netskope-ce-7.0.0-cte-trendai-vision-one-v2.0.0

Workflow

1. Configurez un rôle et générez un jeton API dans TrendAI Vision One.
2. Configurer le plugin TrendAI Vision One.
3. Configurer une règle de gestion pour TrendAI Vision One.
4. Configurer le partage pour TrendAI Vision One.
5. Valider le plugin TrendAI Vision One.

Regardez une vidéo

Cliquer sur « play » pour regarder une vidéo.

Configurez un rôle et générez un jeton API dans TrendAI Vision One

1. Connectez-vous au portail Trend Vision One.

   

2. Aller à Administration > User Roles.

   

3. Cliquez sur Add role,, saisissez un nom de rôle et sélectionnez Yes pour les deux options des indicateurs de contrôle.

   

4. Allez dans l'onglet Permissions, sélectionnez les autorisations nécessaires et cliquez sur Save.

   

   

5. Allez sur Administration > API Keys.

   

6. Cliquez sur Add API Key, saisissez un Name (Nom), le Role (Rôle) que vous venez de créer et un Expiration Time (Délai d’expiration) pour la clé API.

   

7. Cliquez sur Add, et copiez le jeton d'authentification à utiliser dans la configuration du plugin.

   

Configurer le plugin TrendAI Vision One

1. Dans Cloud Exchange, allez sur Settings > Plugin Store. Recherchez et sélectionnez le plugin TrendAI Vision One v2.0.0 (CTE).

   

2. Saisissez les informations de base :

   • Configuration Name: Nom de la configuration du plugin.
   • Sync Interval: Intervalle pour récupérer les données de ce plugin et partager les données avec ce plugin depuis d'autres sources.
   • Aging Criteria: Indicateurs de péremption après une période précise.
   • Override Reputation: Définissez une valeur pour remplacer la réputation des indicateurs reçus de cette configuration. Laissez vide pour conserver la valeur par défaut.
   • Tags Aggregate Strategy: Choisissez d'ajouter les balises New aux IoC existants ou de les écraser. Ce paramètre de configuration détermine la manière dont les étiquettes sont stockées pour les indicateurs tirés dans le cadre de cette configuration.
   • Enable SSL Validation: Activez la vérification des certificats SSL.

   

3. Cliquez sur Next et entrez les paramètres de configuration :

   • Data Region: Select la région de données à partir de laquelle vous souhaitez extraire vos données. Select Custom Region pour fournir votre propre URL de base.
   • Base URL: URL de base de votre hôte API TrendAI Vision One, par exemple https://api.xdr.trendmicro.com.
   • Authentication Token: Jeton d’authentification pour accéder aux API de TrendAI Vision One.
   • Enable Polling: Activer/Désactiver l’interrogation des données depuis TrendAI Vision One. Désactivez cette option si vous souhaitez uniquement envoyer des indicateurs à TrendAI Vision One.
   • Enable Push Retraction: Activer/Désactiver la rétraction push de(s) indicateur(s) pour Trend Vision One. Lorsque cette option est activée, le(s) indicateur(s) marqué(s) comme rétracté(s) dans Netskope Cloud Exchange qui ont été précédemment partagés avec TrendAI Vision One seront supprimés à la fois de la liste des objets suspects et de la liste des exceptions.
   • Retraction Interval (in days): Nombre de jours de nouvelle requête pour la rétractation par tirage des indicateurs de la liste d'objets suspects (1–365). Nombre de jours à utiliser comme intervalle de rétractation pour la rétractation par tirage de l'indicateur (ou des indicateurs) Trend Vision One. Ce paramètre ne s'applique que lorsque la rétractation des IoC est activée dans les paramètres de Threat Exchange. La valeur doit être comprise entre 1 et 365.
   • Initial Range (in days): Nombre de jours pendant lesquels extraire les données pour l’exécution initiale. La valeur doit être comprise entre 1 et 365.

   

   

   

4. Cliquez sur Save.

   

Configurer une règle de gestion de Threat Exchange pour TrendAI Vision One

Pour partager des indicateurs récupérés de TrendAI Vision One avec la plateforme Cloud Exchange, vous devez disposer d’une règle métier qui filtrera les indicateurs que vous souhaitez partager. Pour configurer une règle métier :

1. Dans Threat Exchange, allez à Business Rules et cliquez sur Create New Rule.

   

2. Ajoutez le ou les filtres selon vos besoins dans la règle, puis cliquez sur Save.

   

   

Configurer le partage pour Netskope et TrendAI Vision One

Pour partager des IoC de TrendAI Vision One vers la plateforme Cloud Exchange :

1. Dans Threat Exchange, allez à Sharing et cliquez sur Add Sharing Configuration.

   

2. Select votre configuration source (CTE Netskope), votre règle métier, votre configuration de destination (CTE TrendAI Vision One) et votre cible.

   

   

3. Cliquez sur Save.

   

Activer la rétractation de l'IoC

1. Dans Cloud Exchange, accédez à Settings > Threat Exchange.

2. Enable IoC Retraction.

   

3. Assurez-vous que le paramètre Intervalle de rétractation (en jours) est configuré dans la configuration du plugin TrendAI Vision One pour la rétractation par extraction, et sélectionnez Yes dans Activer la rétractation par push pour la rétractation par push.

   

Valider le plugin TrendAI Vision One

Valider le retrait

Les données de Trend Vision One sont extraites de Threat Intelligence > Suspicious Object Management > Suspicious Object List.

Pour vérifier les journaux extraits sur Cloud Exchange, accédez à Logging et recherchez les journaux provenant du plugin TrendAI Vision One.

Les données extraites seront répertoriées sur la page IoCs de la menace. Vous pouvez filtrer les IoCs extraits de la plateforme en utilisant le filtre : sources.source Like "<plugin configuration name>".

Validez la rétractation de la traction

Vous pouvez filtrer les journaux liés à la rétractation en utilisant le filtre : message Contains « [Rétraction] « .

Pour valider les IoC rétractés sur la page Menace IoCs, appliquez le filtre : Rétracté est égal à Oui, ainsi que le filtre source pour le nom de configuration du plugin.

Valider le push

Les indicateurs poussés à partir de Cloud Exchange peuvent être vérifiés à partir de Logging. Filtre de recherche pour vérifier les IoC poussés vers la plateforme Trend Vision One.

Connectez-vous au portail Trend Vision One et accédez à Threat Intelligence > Suspicious Object Management pour vérifier que les indicateurs envoyés apparaissent dans la liste des objets suspects avec la description et le niveau de risque corrects.

Si la poussée vers la liste d'exceptions est configurée, vérifiez que les indicateurs poussés apparaissent dans la liste d'exceptions avec la description correcte.

Valider la rétractation de la poussée

Confirmez que Enable Push Retraction est défini sur Yes dans la configuration du plugin TrendAI Vision One.

Vérifiez les journaux des indicateurs rétractés sur la liste des objets suspects et la liste des exceptions.

Vérifiez que l'indicateur rétracté a été supprimé de la liste des objets suspects.

Vérifiez que l'indicateur rétracté a également été supprimé de la liste des exceptions.

Dépannage du plugin TrendAI Vision One

Les indicateurs ne sont pas tirés de la plateforme Trend Vision One.

Après la configuration du plugin, si les IoC ne sont pas extraits de la plateforme, cela peut être dû à l'une des raisons suivantes.

• Les IOC ne sont pas disponibles sur la plateforme pour l'extraction
• Les COI ne sont pas disponibles pour la période donnée.
• Autorisation insuffisante fournie pour le jeton API
• Les IOC disponibles sont poussés depuis CE

What to do: Identifiez la cause première du problème et suivez les étapes ci-dessous pour résoudre le problème.

Aucun IoC n'est disponible sur la plateforme pour tirer

Vérifier si les IoC sont disponibles sur la plateforme à tirer. Si elle est disponible, vérifiez la résolution pour le point suivant.

Les IoC ne sont pas disponibles pour l'intervalle de temps donné

Si les IoC sont disponibles sur la plateforme pour être récupérés, mais que le plugin n’a pas récupéré les IoC dans Cloud Exchange, vérifiez le nombre de jours mentionné dans le paramètre de plage initiale de la configuration du plugin. Sur la plateforme Trend Vision One, vérifiez si vous disposez de données pour l'intervalle de temps donné.

Les IoC disponibles sont envoyés depuis Cloud Exchange

Si les IoC sont disponibles sur la plateforme et ne sont toujours pas récupérés, vérifiez leur description. Les IoC partagés depuis Cloud Exchange auront une description par défaut, comme Créé à partir de Netskope CTE.

Ces IoC ne seront pas rapatriés dans Cloud Exchange.

Impossible d'envoyer les IOC à Trend Vision One

Si vous n'êtes pas en mesure de pousser les IoC sur la plateforme et que vous recevez une erreur lors de la poussée, cela peut être dû à l'une ou l'autre des causes suivantes :

• Permission insuffisante pour la clé API (jeton d'authentification)
• La plateforme a atteint sa limite pour les IoCs

What to do: Identifiez la raison pour laquelle les IoC ne sont pas poussés. Vérifiez si l'utilisateur dispose de droits suffisants. Si des autorisations suffisantes ont été ajoutées et que les IoC ne sont toujours pas poussés, vérifiez le nombre de chaque type d'IoC que vous essayez de pousser sur Trend Vision One afin de vérifier si la limite a été dépassée pour les IoC.

Le jeton d'authentification est non valide ou non autorisé

Si le plug-in ne parvient pas à se connecter à TrendAI Vision One lors de la validation, cela peut être dû aux raisons suivantes :

• Le jeton d’authentification est non valide ou a expiré.
• Le jeton d'authentification ne dispose pas des autorisations requises pour la liste des objets suspects ou la liste des exceptions.

What to do:

1. Accédez à Administration > API Keys sur le portail Trend Vision One.
2. Vérifiez que la clé API est active et qu'elle n'a pas expiré.
3. Assurez-vous que la clé dispose des autorisations requises Renseignements sur les menaces — Liste des objets suspects (Lecture) et Liste des objets suspects (Écriture/Suppression), ainsi que des autorisations Liste d'exceptions (Écriture/Suppression) si le push ou la rétractation du push est configuré.

La région de données ou l’URL de base est incorrecte

Si le plugin renvoie une erreur indiquant que la région de données ou l'URL de base n'a pas pu être atteinte lors de la validation, cela peut être dû à l'une des raisons suivantes :

• La région de données sélectionnée ne correspond pas à la région de votre compte TrendAI Vision One.
• L'URL de base personnalisée est incorrecte ou inaccessible.

What to do:

1. Vérifiez la région de données correcte pour votre compte TrendAI Vision One.
2. Si vous utilisez Région personnalisée, assurez-vous que l'URL de base utilise le schéma https:// et pointe vers un hôte API TrendAI Vision One accessible.

Limitation

Nous avons observé que nous ne pouvons pousser que 10 000 IoC de chaque type sur la page Suspicious Object List de Trend Vision One, et environ 5 400 IoC au total sur la page Exception List.