Utilisation des points de terminaison d'impact UCI de l'API REST v2

L'API REST UCI Impact permet à la plateforme Netskope d'ingérer l'impact des risques d'une tierce partie en tant que donnée d'entrée du score de l'indice de confiance de l'utilisateur (UCI).

Cette API REST permet de réduire l'OPC d'un utilisateur du nombre spécifié en fonction du risque appris d'un fournisseur partenaire (tel que Endpoint Detection and Response, un IdP, ou le courrier électronique).

Les paramètres de l'API permettent de spécifier l'utilisateur, la source, l'horodatage, le score (réduction) et la raison de la réduction de l'OPC de l'utilisateur.

En outre, une alerte New fournit des informations sur les anomalies ayant un impact sur l'OPC créé dans Advanced UEBA à l'aide d'une API tierce. Les détails des anomalies affectant l'OPC sont présentés dans les pages Incidents et Alertes de l'analyse du comportement.

Les API suivantes sont activées par Netskope pour UCI Impact :

Les sections ci-dessous décrivent les détails de l'API.

Cette API permet à un tiers de fournir l'impact de l'OPC pour que Netskope puisse l'analyser. L'API renvoie l'anomalyId en réponse si la demande est reçue. AnomalyId peut être utilisé pour obtenir des informations sur les anomalies et revenir sur l'ingestion d'OPC si nécessaire. Il s'agit d'une API asynchrone, il faudra quelques minutes (environ 15 minutes) pour transformer la requête en anomalie et générer une alerte.

Method: POST

URL: https://<tenant-URL>/api/v2/incidents/user/uciimpact

Header:

-H 'Netskope-Api-Token: XXXXXXX'

-H 'Content-Type: application/json'

Parameters:

La liste actuelle des paramètres est disponible dans Swagger. Accédez à Settings > Tools > REST API v2 > pour ouvrir l'onglet Swagger UI dans votre navigateur.

Example:

curl -kv -X POST 'https://<tenant-URL>/api/v2/incidents/user/uciimpact' 
-H 'Netskope-Api-Token: xxxxx' 
-H 'Content-Type: application/json' 
-d '{
    "user": "name@netskope.com",
    "score": 50,
    "timestamp": 1654823213000, 
    "source": "Dropbox",
    "reason": "login failed too many times"
}'

Ces API sont utilisées pour obtenir des informations sur les anomalies.

Method: GET

URL: https://<tenant-URL>/api/v2/incidents/anomalies/{anomalyId}

Header:

-H 'Netskope-Api-Token: XXXXXXX'

-H 'Content-Type: application/json'

Parameters:

La liste actuelle des paramètres est disponible dans Swagger. Accédez à Settings > Tools > REST API v2 > pour ouvrir l'onglet Swagger UI dans votre navigateur.

Example:

curl -kv -X GET 'https://<tenant-URL>/api/v2/incidents/anomalies/xxxxx 
-H 'Netskope-Api-Token: xxxxx' 
-H 'Content-Type: application/json' 

Response:
    {
      "anomalyId": "xxxxx",
      "user": "blah@sm.com",
      "time": 1677618382070,
      "score": 20,
      "activity": "ActivityForUciImpactAPI",
      "eventId": "event_id2",
      "anomalyCreatedTime": "2023-02-28T21:06:24Z",
      "source": "OKTA",
      "reason": "login failed in OKTA"
    }

Utilisez l'API de recherche d'anomalies pour rechercher des anomalies par source avec un intervalle de temps.

Method: POST

URL: https://<tenant-URL>/api/v2/incidents/anomalies/getanomalies?activity=ActivityForUciImpactAPI&offset=0&limit=1000&fields=field1,field2,field3

Header:

-H 'Netskope-Api-Token: XXXXXXX'

-H 'Content-Type: application/json'

Parameters:

La liste actuelle des paramètres est disponible dans Swagger. Accédez à Settings > Tools > REST API v2 > pour ouvrir l'onglet Swagger UI dans votre navigateur.

Filter Options:

Pagination:

Project Fields:

Les champs de projet sont un paramètre de requête facultatif. Utilisez ce paramètre pour sélectionner des champs spécifiques. Dans le cas contraire, tous les champs d'anomalie sont renvoyés.

Example:

curl -kv -X POST 'https://<tenant-URL>/api/v2/incidents/anomalies/getanomalies?activity=ActivityForUciImpactAPI&offset=$offset&limit=$limit&fields=anomalyId,user,source,reason,score' 
-H 'Netskope-Api-Token: xxxxx' 
-H 'Content-Type: application/json' 
-d '{
      "filters" :{
        "user" : { "equals": ["user1", "user3"] },
        "source" : { "equals": ["OKTA", "OKTA2"] },       
        "startTime": { "equals": 1654823213000 },
        "endTime": { "equals": 1654833213000 }
      }
    }'

or

curl -kv -X POST 'https://<tenant-URL>/api/v2/incidents/anomalies/getanomalies?activity=ActivityForUciImpactAPI&offset=$offset&limit=$limit&fields=anomalyId,user,source,reason,score' 
-H 'Netskope-Api-Token: xxxxx' 
-H 'Content-Type: application/json' 
-d '{
      "filters" :{
        "anomalyId" : { "equals": ["xxxxx", "xxxxx"] }
      }
    }'

Response:
{
  "totalCount": 5000,
  "results": [
    {
      "anomalyId": "xxxxx",
      "user": "blah@sm.com",
      "time": 1677618382070,
      "score": 20,
      "activity": "ActivityForUciImpactAPI",
      "eventId": "event_id2",
      "anomalyCreatedTime": "2023-02-28T21:06:24Z",
      "source": "OKTA2",
      "reason": "login failed in OKTA2"
    },
    {
      "anomalyId": "xxxxx",
      "user": "hello1@netskope.com",
      "time": 1677618382070,
      "score": 20,
      "activity": "ActivityForUciImpactAPI",
      "eventId": "event_id3",
      "additionalProps": {
        "extra": "must"
      },
      "anomalyCreatedTime": "2023-02-28T21:06:24Z",
      "source": "OKTA3",
      "reason": "login failed in OKTA3"
    }
  ]
}

or 
{
  "totalCount": 0, 
  "results": []
}

Utilisez cette API pour revenir sur l'ingestion d'OPC si nécessaire. A utiliser en conjonction avec l'API Get Anomaly pour s'assurer que l'anomalie a été générée avant de revenir en arrière. L'UCI de l'utilisateur sera ajouté et son statut d'anomalie sera marqué comme autorisé, mais l'alerte apparaîtra toujours dans SkopeIT.

Method: POST

URL: https://<tenant-URL>/api/v2/incidents/anomalies/{anomalyId}/allow

Header:

-H 'Netskope-Api-Token: XXXXXXX'

-H 'Content-Type: application/json'

Parameters:

La liste actuelle des paramètres est disponible dans Swagger. Accédez à Settings > Tools > REST API v2 > pour ouvrir l'onglet Swagger UI dans votre navigateur.

Example:

curl -kv -X POST 'https://<tenant-URL>/api/v2/incidents/anomalies/xxxxx/allow' 
-H 'Netskope-Api-Token: xxxx' 
-H 'Content-Type: application/json' 
-d '{"reason": "not an anomaly"}'

Naviguez jusqu'à Incidents > Behavior Analytics > et sélectionnez l'alerte pour afficher les détails suivants.