Plugin HarfangLab pour Threat Exchange

Ce document explique comment configurer le plugin HarfangLab v2.0.0 sur la plateforme Cloud Exchange. Ce plugin extrait les IoC de type Domaine, FQDN, Nom d’hôte, IPv4, IPv6, URL, SHA256 et MD5 depuis la page Sources IoC de renseignement > Menaces Identiques, ainsi que SHA256, MD5 depuis la page Threat intelligence > Driver Block List sur la plateforme HarfangLab. Ce plugin permet également de partager des IoC de type Domaine, FQDN, Nom d’hôte, IPv4, IPv6, URL, SHA256 et MD5 vers la page HarfangLab Threat Intelligence > IoC Sources . Ce plugin supporte la rétractation pull et push des IoC depuis la page Threat intelligence > IoC Sources de HarfangLab.

Conditions préalables

Pour compléter cette configuration, vous avez besoin de :

• Netskope Tenant (ou plusieurs, par exemple des instances de production et de développement/test)
• Une instance Netskope Cloud Exchange avec le plugin Tenant et Netskope Threat Exchange déjà configurés et le module Threat Exchange activé.
• A URL List on your Netskope tenant.
• A Destination Profile on your Netskope tenant.
• A Private App on your Netskope tenant.
• A DNS Profile on your Netskope tenant.
• Un profil de fichier sur votre locataire Netskope.
• Connexion à l’hébergeur suivant : URL de connexion partenaire HarfangLab.
  Exemple : https://<id>.hurukai.io:8443/

Support du plugin HarfangLab

Ce plugin extrait les IoC de type Domaine, FQDN, Nom d’hôte, IPv4, IPv6, URL, SHA256 et MD5 depuis la page Sources IoC de renseignement > Menaces Identiques, ainsi que SHA256, MD5 depuis la page Threat intelligence > Driver Block List sur la plateforme HarfangLab. Ce plugin permet également de partager des IoC de type Domaine, FQDN, Nom d’hôte, IPv4, IPv6, URL, SHA256 et MD5 vers la page HarfangLab Threat Intelligence > IoC Sources . Ce plugin supporte la rétractation pull et push des IoC depuis la page Threat intelligence > IoC Sources de HarfangLab.

Retrait de l'IoC

IoC Retraction (Pull): Les IoC supprimées sur HarfangLab, ou qui ne sont pas sous les données de type de source ou de type de menace sélectionnés à extraire, et pas sous l’intervalle de rétraction (uniquement pour les sources IoC de type source) dans la configuration du plugin, seront marqués comme rétractés dans Cloud Exchange. 

IoC Retraction (Push): Les IoC déjà partagés avec HarfangLab, et marqués comme Oui rétracté dans Cloud Exchange, seront supprimés de la plateforme HarfangLab.

Mapping

Push Indicators Mappings

Severity Mappings

Push Reputation Mappings

Push IoC Types Mappings

Permissions

Voici les deux autorisations nécessaires pour que le plugin puisse extraire et partager les IoC sur la plateforme HarfangLab.

• Voir et modifier les moteurs de blocs Yara, Sigma, IOC et Drivers 
• Voir et gérer les règles au niveau de maturité « Tests » et « Expérimental » 

curl --location 'https://b517af1bf2225fc3.hurukai.io:8443/api/data/threat_intelligence/IOCSource/' \ --header 'Authorization: Token 66752e19a9872d67e348e0e192a9bexxxxxxxxxx' \ --header 'Content-Type: application/json' \ --data '{ "name": "Test IOC List", "description": "IOC List created from Netskope CE" }'

{
  "id": "7f3ceca9-33d4-4db7-bdd6-3e1dc63a7aa0",
  "ioc_count": 0,
  "ioc_testing_in_progress_count": 0,
  "ioc_testing_count": 0,
  "ioc_experimental_count": 0,
  "last_update": "2023-10-03T12:59:16.381480Z",
  "creation_date": "2023-10-03T12:59:16.381564Z",
  "name": "Test IOC List",
  "description": "IOC List created from Netskope CE",
  "enabled": true,
  "block_on_agent": true,
  "endpoint_detection": true,
  "last_modifier": null
}

curl --location 'https://b517af1bf2225fc3.hurukai.io:8443/api/data/threat_intelligence/IOCSource/?limit=500&offset=0' \
 --header 'Authorization: Token 66752e19a9872d67e348e0e192a9bexxxxxxxxxx'

{
  "count": 8,
  "next": null,
  "previous": "/api/data/threat_intelligence/IOCSource/?limit=500",
  "results": [
    {
      "id": "f72c82c9-e136-43a5-8a37-4bd121af5464",
      "ioc_count": 370,
      "ioc_testing_in_progress_count": 0,
      "ioc_testing_count": 0,
      "ioc_experimental_count": 0,
      "last_update": "2023-09-29T06:02:41.011727Z",
      "creation_date": "2023-09-29T06:02:41.011770Z",
      "name": "test",
      "description": "IOC List created from Netskope CE",
      "enabled": false,
      "block_on_agent": false,
      "endpoint_detection": false,
      "last_modifier": null
    }
  ]
}

curl --location 'https://b517af1bf2225fc3.hurukai.io:8443/api/data/threat_intelligence/IOCRule/' \
--header 'Authorization: Token 66752e19a9872d67e348e0e192a9bexxxxxxxxxx' \
--header 'Content-Type: application/json' \
--data '{
    "value": "61.134.36.102",
    "source_id": "6345304d-2592-4286-9682-06a900d6ca96",
    "type": "url",
    "global_state": "alert",
    "hl_status": "stable",
    "description": "Netskope CE | <plugin_name>",
    "rule_level_override": "high",
    "rule_confidence_override": null
}'

{
  "id": "19a89c4e-b58a-446a-b27a-6b55d4fb891e",
  "source_id": "6345304d-2592-4286-9682-06a900d6ca96",
  "last_modifier": {
    "id": 7,
    "username": "NetskopeCE"
  },
  "last_update": "2023-10-03T12:54:24.608988Z",
  "creation_date": "2023-10-03T12:54:24.609060Z",
  "hl_status": "stable",
  "hl_local_testing_status": null,
  "enabled": true,
  "type": "url",
  "value": "61.134.36.102",
  "comment": null,
  "info": null,
  "category": null,
  "description": "Netskope CE | <plugin_name>",
  "references": [
    
  ],
  "source": "6345304d-2592-4286-9682-06a900d6ca96"
}

curl --location 'https://b517af1bf2225fc3.hurukai.io:8443/api/data/threat_intelligence/IOCRule/?source_id=6345304d-2592-4286-9682-06a900d6ca96&last_update__gte=2024-01-01%2000:00:00&last_update__lte=2024-01-02%2000:00:00&limit=500&offset=0' \
--header 'Authorization: Token 66752e19a9872d67e348e0e192a9bexxxxxxxxxx'

{
  "count": 1,
  "next": null,
  "previous": null,
  "results": [
    {
      "id": "19a89c4e-b58a-446a-b27a-6b55d4fb891e",
      "source_id": "6345304d-2592-4286-9682-06a900d6ca96",
      "last_modifier": {
        "id": 7,
        "username": "NetskopeCE"
      },
      "last_update": "2023-10-03T12:54:24.608988Z",
      "creation_date": "2023-10-03T12:54:24.609060Z",
      "hl_status": "stable",
      "hl_local_testing_status": null,
      "enabled": true,
      "type": "url",
      "value": "61.134.36.102",
      "comment": null,
      "info": null,
      "category": null,
      "description": null,
      "references": [
        
      ],
      "source": "6345304d-2592-4286-9682-06a900d6ca96"
    }
  ]
}

curl --location 'https://b517af1bf2225fc3.hurukai.io:8443/api/data/threat_intelligence/DriverBlocklist/?limit=500&offset=0' \--header 'Authorization: Token 66752e19a9872d67e348e0e192a9bexxxxxxxxxx'

{
  "count": 1,
  "next": null,
  "previous": null,
  "results": [
    {
      "id": "b2d4f8a1-1c3e-4f5a-9b7d-8e2c1a6f0d3b",
      "last_update": "2023-10-03T12:54:24.608988Z",
      "creation_date": "2023-10-03T12:54:24.609060Z",
      "enabled": true,
      "value": "e3b0c44298fc1c149afbf4c8996fb92427ae41e4649b934ca495991b7852b855",
      "comment": null,
      "description": null
    }
  ]
}

curl --location --request DELETE 'https://b517af1bf2225fc3.hurukai.io:8443/api/data/threat_intelligence/IOCRule/19a89c4e-b58a-446a-b27a-6b55d4fb891e/' \--header 'Authorization: Token 66752e19a9872d67e348e0e192a9bexxxxxxxxxx'

HTTP/1.1 204 No Content 

Matrice de performance

Voici la lecture de performance réalisée après avoir extrait 100 000 IoC et partagé 1 000 IoC sur une instance de Grand CE avec ces spécifications.

Agent utilisateur

netskope-ce-6.1.0-cte-harfanglab-v2.0.0

Workflow

Regardez une vidéo

Cliquer sur « play » pour regarder une vidéo.

Obtenez votre jeton API HarfangLab

Créer un rôle sur Harfanglab

1. Connectez-vous à votre instance HarfangLab et allez sur Administration > Roles.

   

2. Cliquez sur Roles puis cliquez sur Create role.

   

3. Saisissez un nom et une description pour le poste New , puis cliquez sur Create.

   

4. Cliquez sur l’icône i pour le nom spécifique de ce rôle afin de le modifier.

5. Ne donnez les autorisations que pour les moteurs de liste de blocage YARA, Sigma, IOC et pilotes pour consulter et modifier les permissions de renseignement de menace , et cochez la case à cocher View & manage rules at ‘Testing’ and ‘Experimental’ maturity level.

   

6. Cliquez sur Save.

7. Attribuez ce rôle à un utilisateur spécifique.

Attribuer un rôle à l'utilisateur

1. Dans le panneau de gauche, allez à Administration > Users.

   

2. Select l’utilisateur et cliquez sur i icône pour modifier son rôle. Si vous souhaitez créer un utilisateur New , cliquez Create new user.

   

3. Mettez à jour le poste avec celui que vous avez créé dans la section Créer un rôle .

   

Obtenez le jeton API

1. Sur le panneau de gauche, allez à Administration > Users.

   

   

2. Cliquez sur votre nom d’utilisateur et descendez jusqu’à API Token. Cliquez sur Generate Token si le jeton n’a pas encore été généré, et copiez le jeton API pour l’utiliser lors de la configuration dans le plugin.

   

Configurer le plugin HarfangLab

1. Dans Cloud Exchange, allez sur Settings > Plugin Store. Recherchez et sélectionnez le plugin HarfangLab v2.0.0 (CTE).

   

2. Saisissez les informations de base :

   • Configuration Name: Nom unique pour la configuration.
   • Sync Interval: Intervalle pour récupérer des données de ce plugin et partager des données avec ce plugin à partir d'autres sources.
   • Indicator Aging Criteria: Définissez le délai d’expiration (en jours) pour les renseignements/indicateurs de menace. (Par défaut : 90)
   • Override Reputation: Définir la valeur pour surpasser la réputation des indicateurs reçus de cette configuration. Utilisez 0 pour conserver la valeur par défaut, qui ne supprimera pas la réputation de l’indicateur.
   • Tags Aggregate Strategy: Choisissez d'ajouter les balises New aux IoC existants ou de les écraser. Ce paramètre de configuration détermine la manière dont les étiquettes sont stockées pour les indicateurs tirés dans le cadre de cette configuration.
   • Enable SSL Validation: Activer la validation du certificat SSL.

   

3. Cliquez sur Next et entrez les paramètres de configuration :

   • Tenant URL: URL de base de l’instance HarfangLab. Par exemple : https://<instance_id>.hurukai.io :<port>.
   • API Token: Jeton API pour l’authentification auprès de HarfangLab.
   • Source Type: Select la ou les sources pour retirer les IOC de Menace de HarfangLab. Au moins une source doit être sélectionnée.
   • Type of Threat data to pull: Type d’IoC de menaces à extraire de HarfangLab. Les valeurs autorisées sont SHA256, MD5, Domaine, FQDN, Nom d’hôte, IPv4, IPv6, URL. La liste de blocages des pilotes ne prend en charge que SHA256 et MD5. Laissez vide pour retirer tous les types supportés.
   • IOC Sources Name: Des noms séparés par virgules des sources IoC à extraire de HarfangLab. Laissez ceci vide pour puiser dans toutes les sources disponibles de l’IoC. Applicable uniquement lorsque IoC Sources est sélectionné comme type de source.
   • Initial Range (in days): Nombre de jours de menaces pour les IoC à retirer des sources IoC au début. Les valeurs valides sont comprises entre 0 et 100000 jours. Applicable uniquement lorsque IoC Sources est sélectionné comme type de source.
   • Enable Retraction: Activez la rétraction pour les indicateurs retirés. Lorsque oui, les indicateurs qui ne sont plus présents sur HarfangLab seront rétractés dans Cloud Exchange. Pour les sources IoC, un intervalle de rétraction doit également être configuré. Ce paramètre n’est pris en compte que si la rétraction IoC(s ) est activée dans les paramètres de l’échange de menaces.
   • Retraction Interval (in days): Nombre de jours à utiliser comme intervalle de rétraction pour la rétraction des sources IoC. Les valeurs valides sont comprises entre 1 et 100 000 jours. Obligatoire lorsque Activer la rétraction est Oui et que Sources IoC est sélectionné comme type de source. Ce paramètre ne sera pris en compte que si la rétraction IoC(s ) est activée dans les paramètres de l’échange de menaces.
   • Enable Tagging: Activer/désactiver le marquage des indicateurs retirés. Lorsqu’ils sont activés, les indicateurs extraits des sources IoC sont étiquetés avec le nom de la source IoC, et les indicateurs extraits de la liste de blocage des pilotes sont tagués HarfangLab-Driver-Block-List.
   • Enable Polling: Activer/désactiver les IoC de menaces de sondage depuis HarfangLab. Désactivez si vous n’avez besoin que d’envoyer les IOC de Menace à HarfangLab.

   

   

4. Cliquez sur Save.

   

Configurez une règle métier d’échange de menaces pour le plugin HarfangLab

Pour partager des indicateurs de Netskope Cloud Exchange vers HarfangLab, vous devez avoir une règle métier qui filtre les indicateurs que vous souhaitez partager.

1. Allez à Threat Exchange > Business Rules et cliquez sur Create New Rule.

2. Saisissez un nom de règle et ajoutez un filtre selon vos besoins pour les IoC que vous souhaitez partager, puis cliquez sur Save.

   

Configurer le partage pour le plugin HarfangLab

Le plugin HarfangLab prend en charge le partage d’URLs, de types MD5 et SHA256 d’IoC.

1. Allez à Threat Exchange > Sharing et cliquez sur Add Sharing Configuration.

2. Select votre configuration source (CTE Netskope Threat Exchange), la règle métier et la configuration de destination (CTE HarfangLab), ainsi que votre cible, puis sélectionnez les paramètres suivants :

   • IOC Source Name: Select un menu déroulant de liste de sources IoC existant ou sélectionnez Create New IOC List.
   • New IOC Sources Name: Nom des New sources IoC à créer sur HarfangLab. Obligatoire lorsque Créer New liste IOC est sélectionnée.
   • Name: Nom d’affichage optionnel pour l’IoC.
   • Description: Description optionnelle pour l’IoC.
   • Comment: Commentaire optionnel pour l’IoC.
   • References: Liste optionnelle des URL de référence ou identifiants séparés par des virgules. Chaque entrée sera envoyée comme un article séparé.
   • Confidence Override: Passer outre la confiance pour tous les IoC poussés. Select IoC Reputation de tirer confiance du score de réputation de l’indicateur (1-3 : faible, 4-7 : modéré, 8-10 : fort). Pour le No-override, il a été observé que même si vous créez un IoC avec Confidence comme No override, l’interface HarfangLab l’affichera comme modéré.
   • Action: Select the action for all pushed IoC(s). The default value is Alert.
   • Maturity: Select le statut de maturité pour tous les IoC poussés. La valeur par défaut est Stable.

   

   

3. Cliquez sur Save.

   

   Note

   Consultez le guide du plugin Netskope Threat Exchange pour plus d’informations sur le partage sur le locataire Netskope. Comme le plugin HarfangLab supporte l’extraction d’URL, IPv4, IPv6, Nom d’hôte, Domaine, FQDN, SHA256 et MD5, vous pouvez effectuer ces actions sur Netskope en utilisant ces indicateurs :

   • Ajouter à une liste d'URL
   • Ajouter un profil de fichier
   • Ajouter à l'application privée
   • Add to Destination Profile
   • Add to DNS Profile

Valider le plugin HarfangLab

Valider le retrait

Ce plugin permet de récupérer des IoC de type Domaine, FQDN, Nom d’hôte, IPv4, IPv6, URL, SHA256 et MD5 depuis la page Sources IoC , ainsi que SHA256, MD5 depuis la page Liste de blocs de pilotes .

Pour vérifier les IoC disponibles sur HarfangLab, rendez-vous sur la page Threat Intelligence > IoC .

Allez dans l’onglet Liste de blocages des pilotes pour voir les hachages (SHA256 et MD5).

Allez dans l’onglet Sources de l’IoC pour voir toutes les sources de l’IoC.

Cliquez sur n’importe lequel des noms de sources pour vérifier les IoC présents sous cette source.

Pour vérifier l’extraction des IoC sur Cloud Exchange, allez dans Settings > Logging et appliquez le filtre avec le nom de configuration du plugin. Exemple : message comme « CTE HarfangLab ».

Les IoC extraits seront visibles sur la page Menace des IoC dans Cloud Exchange.

Valider le push

Pour vérifier les IoC push sur HarfangLab, rendez-vous sur Threat Intelligence > IoC Sources.

Cliquez sur le nom de la liste IoC que vous avez utilisé lors de la configuration du plugin, et vérifiez les IoC disponibles dans la liste.

Cliquez sur l’IoC pour en consulter les détails. Notez que les IoC ayant une description comme «Netskope CE | <plugin name>» ne seront pas renvoyés vers Cloud Exchange.

Pour valider l’indicateur poussé dans Cloud Exchange, allez sur Threat IoCs et recherchez des IoC partagés avec HarfangLab. 

Vous pouvez aussi vérifier les IoC envoyés depuis Logging dans Cloud Exchange. Filtrez les journaux disponibles sur la plateforme Harfanglab.

Validez la rétractation

Pour la rétraction par traction

Pour vérifier les IoC rétractés, rendez-vous sur Threat IoCs et appliquez le filtre montré ici.

Pour vérifier les journaux liés à la rétraction, vous pouvez appliquer le filtre montré ici.

Voici le profil Destination où les IoC extraits de Harfanglab ont été partagés.

Comme les IoC extraits de HarfangLab étaient marqués comme rétractés oui, et qu’ils étaient déjà partagés sur le profil de destination sur le locataire Netskope, ils seront supprimés de ce profil de destination, et leur statut pourra être vérifié à partir du résultat de rétractation. Dans ce cas, le résultat de la rétractation est CTE Netskope Threat Exchange : retracted, ce qui signifie qu’il a été supprimé du profil de destination.

Vous pouvez voir ici que les IoC rétractés ont été supprimés de ce profil de destination.

Pour la rétraction par poussée

Comme le plugin HarfangLab prend en charge la rétractation push, les IoC qui ont été partagés sur la plateforme HarfangLab et sont marqués comme rétractés oui, ils seront supprimés de la plateforme HarfangLab au prochain intervalle de synchronisation, et leur résultat pourra être vérifié à partir du champ de rétractation. Ici, le résultat de la rétractation est CTE HarfangLab : retracted, ce qui signifie que cet IoC est supprimé des sources IoC sur HarfangLab qui étaient utilisées dans la configuration de partage.

Pour vérifier les journaux liés à la rétraction, vous pouvez appliquer le filtre montré ici.

Ici, vous pouvez voir que le même IoC est supprimé sur HarfangLab.

Dépannage du plugin HarfangLab

Impossible d’utiliser le plugin après la mise à niveau depuis une version précédente

Cela peut être dû à un changement de format pour le jeton API. Vous pourriez rencontrer cette erreur.

What to do: Utilisez le bouton Passer lors de la mise à niveau du plugin, puis allez sur la page des plugins et modifiez la configuration du plugin HarfangLab. Mettez à jour le jeton API avec le format indiqué ci-dessous, enregistrez le plugin, puis activez-le.

Old API Token format: “Token 66752e19a9872d67e348e0e192a9besxxxxxxxxx”

New API Token format for HarfangLab v2.0.0: “66752e19a9872d67e348e0e192a9besxxxxxxxxx”

Impossible de récupérer les IoC de HarfangLab

Si vous ne pouvez pas extraire les IoC depuis HarfangLab, cela peut être dû à un nom de source incorrect, ou à l’absence d’IoC sur la page Sources IoC ou la liste de blocage Drivier.

What to do: Assurez-vous que les IoC sont présents sur la plateforme Harfang Lab, et que le nom de la source dans la configuration du plugin est correct. Consultez la section Valider la récupération . 

Réception d'une erreur d'URL invalide ou de Token invalide lors de la création de la configuration du plugin.

Cette erreur peut se produire si l'URL fournie dans la configuration du plugin n'est pas valide.

What to do: Assurez-vous de fournir la bonne URL que vous utilisez pour accéder à votre plateforme HarfangLab. Assurez-vous de n’ajouter que l’URL du locataire avec le port. Consultez la section Configuration sur HarfangLab .

Erreur de réception pour le code de sortie 401, Non-autorisation

Si vous recevez l’erreur 401, cela peut être dû à un jeton API incorrect.

What to do: Assurez-vous que le jeton fourni existe sur la plateforme HarfangLab. Ou générer un New jeton API. Consultez la section Configuration sur HarfangLab .

Réception d'une erreur pour le code de sortie 403, erreur interdite

Si vous recevez l’erreur 403, cela peut être dû à un jeton avec des permissions insuffisantes.

What to do: Si cette erreur est reçue lors de la configuration du plugin, ou à tout moment du cycle de vie du plugin, vérifiez la permission API Tokens. Consultez la section Configuration sur HarfangLab .

Comportements connus

• Il a été observé que même si vous créez un IoC avec confiance en mode No Override, l’interface HarfangLab l’affichera comme modéré.
• Les API HarfangLab ne supportent pas la mise à jour des IoC, ce qui signifie que si vous souhaitez mettre à jour l’un des IoC existants, vous devez soit partager cet IoC à une New source IoC, soit supprimer cet IoC des sources IoC actuelles, puis le partager à nouveau.