Ce document explique comment configurer Digital Shadow avec le module Threat Exchange de la plateforme Netskope Cloud Exchange. Cette intégration permet d'extraire des URL (phishing-site-alert, impersonating-subdomain-alert et impersonating-domain-alert) de Digital Shadow vers Netskope.
Conditions préalables
Pour compléter cette configuration, vous avez besoin de :
- Un locataire Netskope (ou plusieurs, par exemple des instances de production et de développement/test).
- Un abonnement à Secure Web Gateway pour le partage d'URL.
- A Netskope Cloud Exchange tenant with the Tenant plugin and Threat Exchange plugin already configured
- Une instance d'Ombre Numérique avec les packages Elevate ou Extend. Contactez votre représentant Digital Shadow et demandez-lui les identifiants API (toutes les clés accordées dans le cadre de Elevate/Extend auront les autorisations nécessaires).
The API key will be a 6-character letter/number combination (ex:
ABCD1E). The API secret will be a 32-character letter/number combination (ex:ABCDEF12GHIJKL345MNO6PQRSTUVWXYZ. - Connectivité à l'hôte suivant :
https://api.searchlight.app/.
Support du plugin Digital Shadow
| Types d'indicateurs prédéfinis | Types d'indicateurs partagés |
|---|---|
| URL | Non pris en charge |
Workflow
- Créez un profil de fichier personnalisé.
- Créez un profil de détection de logiciels malveillants.
- Créez une politique de protection en temps réel.
- Créez des informations d'identification pour l'ombre numérique.
- Configurez le plugin Digital Shadow.
- Configurez le partage entre Netskope et Digital Shadow.
- Validez le plugin de l'ombre numérique.
Cliquez ici pour regarder une vidéo.
Créer un profil de fichier personnalisé Secure Web Gateway pour Digital Shadow
- Dans l'interface utilisateur Netskope, allez à Policies , sélectionnez File , et cliquez sur New File Profile.
- Cliquez sur File Hash dans le panneau de gauche, sélectionnez SHA256 dans la liste déroulante File Hash.
- Saisissez une valeur temporaire dans le champ de texte. Netskope ne permet pas de progresser sans valeur dans ce champ et recommande de saisir une chaîne de 64 caractères composée du caractère
f. Par exemple,ffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffff. Il y a très peu de chances que ce format corresponde à un format de fichier valide.
- Click Next.
- Saisissez un nom de profil et une description. Nous vous recommandons de ne pas laisser d'espaces vides dans le nom de votre profil ; utilisez des traits de soulignement à la place des espaces.
- Cliquez sur Save.
- Pour publier ce profil dans le locataire, cliquez sur Apply Changes en haut à droite.
Créer un profil de détection de logiciels malveillants pour Digital Shadow
- Dans l'interface utilisateur Netskope, allez à Policies, sélectionnez Threat Protection , et cliquez sur New Malware Detection Profile.
- Cliquez sur Next.
Note
Pour cet exemple de configuration, nous utiliserons le renseignement de cette liste comme liste de blocage. Netskope permet d'inclure des listes d'autorisation et de blocage dans les profils de menace.
- Cliquez à nouveau sur Next.
- Select le profil de fichier que vous avez créé dans la section précédente et cliquez sur Next.
- Saisissez un nom de profil de détection de malware et cliquez sur Save Malware Detection Profile.
- Pour publier ce profil dans le locataire, cliquez sur Apply Changes en haut à droite.
Créer une politique de protection contre les menaces en temps réel pour Digital Shadow
- Dans l’interface Netskope, allez à Policies > Real-time Protection.
Note
La politique configurée ici n'est qu'un exemple. Modifiez-le en fonction de votre organisation.
- Cliquez sur New Policy et sélectionnez Threat Protection.
- For Source, leave the default (User = All Users)
- For Destination: select Category
- La section Catégorie se développe et vous permet de rechercher et de sélectionner des catégories. Cliquez sur Select All.
Lorsque vous avez terminé, cliquez en dehors de la section Catégorie.
- Lorsque la section Activités & contraintes s’ouvre, cliquez sur Edit.
- Select Upload et Download, puis cliquez sur Save.
- For Profile & Action, click in the text field.
- Select le profil de détection des logiciels malveillants que vous avez créé dans la section précédente.
- Pour les niveaux de gravité, modifie tous les paramètres d’actions de
Action: AlertàAction: Block. - Select un modèle permettant de choisir le message de blocage à envoyer à l'utilisateur.
- For Set Policy, enter a descriptive Policy Name.
- Cliquez sur Save en haut à droite pour enregistrer la politique.
- Choisissez l'option To the top lorsqu'elle apparaît. (Ou l'endroit approprié dans votre politique de sécurité)
- Pour publier cette politique dans le locataire, sélectionnez Apply Changes en haut à droite.
Obtenez vos titres de compétences en matière d'ombre numérique
Pour obtenir votre clé API, votre secret API et votre identifiant de compte Searchlight sur la plateforme Digital Shadow, contactez votre représentant Digital Shadow et demandez-lui les informations d'identification de l'API (toutes les clés accordées dans le cadre d'Elevate/Extend auront les autorisations requises).
The API key will be a 6-character letter/number combination (ex: ABCD1E). The API secret will be a 32-character letter/number combination (ex: ABCDEF12GHIJKL345MNO6PQRSTUVWXYZ.
Configurer le plugin Digital Shadow pour Threat Exchange
- Dans Cloud Exchange, allez dans Settings et cliquez sur Plugins.
- Recherchez et sélectionnez la boîte Digital Shadow pour ouvrir les pages de création du plugin.
- Saisissez et sélectionnez les informations de base sur la première page :
- Nom de la configuration : Nom unique de la configuration.
- Intervalle de synchronisation : Laissez la valeur par défaut
- Critères de vieillissement : Durée d'expiration du plugin en jours. La valeur par défaut est 90.
- Ignorer la réputation : Définissez une valeur pour remplacer la réputation des indicateurs reçus de cette configuration.
- Activer la validation SSL : Activez la validation du certificat SSL.
- Utiliser le proxy du système : Activez cette option si le proxy est nécessaire pour la communication.
- Cliquez sur Next.
- Entrez les paramètres de configuration sur la deuxième page :
- Clé API : DigitalShadow Clé API.
- Secret API : DigitalShadow Secret API.
- ID de compte Searchlight : DigitalShadow Identifiant du compte Searchlight.
- Cliquez sur Save.
Configurer le partage pour Netskope et Digital Shadow
- Allez sur Threat Exchange et sélectionnez Sharing. La page Partage affiche les relations existantes pour chaque configuration de partage sous forme de grille, comme indiqué ci-dessous. La page Partage comporte également des entrées permettant de configurer le partage de New d'un plugin à l'autre.
- Cliquez Add Sharing Configuration, et dans la liste déroulante Configuration de la source, sélectionnez Digital Shadow.
- Select une règle de gestion, puis sélectionnez Netskope pour la configuration de la destination. Les configurations de partage sont unidirectionnelles. les données obtenues par un plugin sont partagées avec un autre plugin. Pour obtenir un partage bidirectionnel ou multidirectionnel, configurez chacun séparément.
- Select a Cible. Chaque plugin aura une cible ou une destination différente pour l'IoC.
- Cliquez sur Save.
- Répétez les étapes 2 à 5, mais sélectionnez Netskope comme configuration source et Digital Shadow comme configuration de destination.
- Cliquez sur Save.
L'ajout d'une configuration de partage New sur le sondage source actif permet de partager les IoC existants de la configuration source avec la configuration de destination. Chaque fois qu'une configuration de partage New est créée, tous les IoC actifs seront également pris en compte pour le partage s'ils correspondent à la combinaison source/destination.
Note
Les plugins qui n'ont pas d'API pour ingérer des données ne peuvent pas recevoir de données sur les menaces. C'est le cas du plugin installé API Source, qui fournit un bac associé à un point de terminaison API pour que des systèmes tiers distants puissent envoyer des données. Une fois qu'une politique de partage a été ajoutée, elle prend effet.
Après la création d'une configuration de partage, le tableau de partage indique la règle invoquée, le système source qui fournit les correspondances potentielles d'informations de référence, le système de destination qui recevra les informations de référence correspondantes et la cible applicable à cette règle. Plusieurs configurations de partage peuvent être mises en place pour permettre le mappage de certains IoC à plusieurs cibles, même sur le système de destination.
Modifier, tester ou supprimer une configuration de partage
Chaque configuration prend en charge 3 actions :
 |
- Modifiez la règle en cliquant sur l'icône en forme de crayon.
- Testez la règle en cliquant sur l'icône de synchronisation. Il s'agit de tester le nombre d'images de contrôle qui seront effectivement envoyées au système de destination en fonction du délai et de la règle.
- Supprimez la règle en cliquant sur l'icône de la poubelle.
Valider le plugin de l'ombre numérique
En fonction de la configuration du plugin, les indicateurs seront tirés de Digital Shadow. Allez sur Threat Exchange > Threat IoCs pour voir les IoCs reçus.
 |