このドキュメントでは、Datadog v1.1.0 の設定方法について説明します。Netskope Cloud Exchangeの Log Shipper モジュールを備えたプラグイン。 このプラグインは、アラート (DLP、マルウェア、ポリシー、侵害されたクレデンシャル、マルサイト、検疫、修復、セキュリティ評価、ウォッチリスト、UBA、および CTEP)、イベント (ページ、アプリケーション、監査、インフラストラクチャ、ネットワーク、インシデント、およびエンドポイント)、 WebTx ( Netskope LogStreaming 経由)、およびログ (デバッグ、情報、エラー、警告) の取り込みをサポートしています。 Datadog プラットフォーム。 JSON形式とCEF形式の両方でログの取り込みをサポートしています。
前提条件
この設定を完了するには、以下が必要です。
- Netskopeテナント（または、例えば本番環境と開発／テスト環境など、複数のテナント）。
- Netskope Cloud Exchangeテナントには、テナントプラグインとログシッパープラグインが既に設定済みです。
- Netskope Cloud Exchangeテナントには、 AWS Netskope Log StreamingまたはAzure Netskope Log Streamingプラグインが既に構成されています（Netskope Log StreamingプラグインからWebTxを取得するため）。
- Netskope Cloud Exchangeテナントに、CEログを取得するためにSyslog for CEプラグインが既に設定されていること。
- Datadog Agent がインストールされている Datadog プラットフォームにアクセスします。
- 以下のホスト（いずれか）への接続
- https://app.datadoghq.com
- https://us3.datadoghq.com
- https://us5.datadoghq.com
- https://app.datadoghq.eu
- https://app.ddog-gov.com
- https://ap1.datadoghq.com
Datadogプラグインのサポート
Datadogプラグインは すべてのアラート、イベント、CEログ、WebTx（ Netskope LogStreaming経由）ログをCEFおよびJSON形式で取り込むためのものです。
| データ型 | サポート |
|---|---|
| アラート | はい。 DLP、マルウェア、ポリシー、侵害されたクレデンシャル、マルサイト、検疫、修復、セキュリティ評価、ウォッチリスト、CTEP、UBA |
| イベント | はい。監査、アプリケーション、インフラストラクチャ、ネットワーク、インシデント、ページ、エンドポイント |
| ウェブテキサス | はい（圧縮済み）（Netskope LogStreaming経由） |
| Syslog CEログ | はい。情報、エラー、警告、デバッグ |
注記
- Google Pub Sub Lite をベースにした CLS WebTX は非推奨となりました。Netskope製品のサポート終了/サポート終了に関するお知らせについては、Netskopeナレッジポータルをご覧ください。
- WebTXログをSIEM、SOAR、XDR、データレイクなどのログ配信先に取り込むには、 AWS Netskope Log StreamingまたはAzure Netskope Log Streamingプラグインを使用します。
権限
DatadogでAPIキーを生成するための権限。
APIの詳細
使うAPI一覧
| APIエンドポイント | 方法 | 使うケース |
|---|---|---|
| https://http-intake.logs.datadoghq.com/api/v2/logs | 役職 | Datadog プラットフォームにログを送信する |
ログを送信
API Endpoint: https://http-intake.logs.datadoghq.<Datadog site>/api/v2/logs
Method: 役職
Headers:
| 鍵 | Value |
|---|---|
| Content-Type | アプリケーション/json |
| Accept | アプリケーション/json |
| Content-Encoding | gzip圧縮（WebTX[Netskope LogStreaming経由]のログのみ） |
| DD-API-KEY | <API Key> |
| ユーザーエージェント | netskope-ce-5.1.0-cls-datadog-v1.1.0 |
Parameters:
| 鍵 | Value |
|---|---|
| ddsource | netskope-ce |
| ddtags | ネットスコープログ、アラート |
Request Body:
[{'message': '{"cci": 43, "timestamp": 1708515322000, "ccl": "poor", “ce_tenant_name”: “Plugins”}'}]
Sample API Response:
202 Accepted
パフォーマンスマトリックス
このパフォーマンス測定は、以下のVM仕様を持つ大規模スタックCE上で実施されました。これらの読み取り値は、10 秒間に約 10,000 個のイベントが Datadog プラットフォームに取り込まれることを考慮して記載されています。
| デスクリプション | 仕様 |
|---|---|
| スタックの詳細 | サイズ：大 RAM：32 GB CPU：16コア |
| SIEMに取り込まれたアラート/イベント | 約20万EPM |
ユーザーエージェント
このプラグインで追加されるユーザーエージェントは次の形式です。
netskope-ce-<ce_version>-<module>-<plugin_name>-v<plugin_version>
例えば、
netskope-ce-5.1.0-cls-datadog-v1.1.0
ワークフロー
- Datadog APIキーを取得してください。
- Datadogプラグインを設定します。
- Datadogプラグインのビジネスルールを設定します。
- Datadogプラグインのログ配信を設定します。
- Datadogプラグインを検証してください。
再生ボタンをクリックして動画をご覧ください。
Datadog APIキーを取得してください
- Datadogエージェントがインストールされているマシンにログインしてください。
- お使いのOSに応じて、Datadogエージェントディレクトリに移動してください（ https://docs.datadoghq.com/agent/?tab=Linux ）。
- datadog.yamlファイルを開きます。
- Change to logs_enabled: true.
- お使いのOSの種類に応じて、Datadogエージェントを再起動する必要があります。( https://docs.datadoghq.com/agent/?tab=Linux )
- Datadog プラットフォームにログインします。
- 左下隅からユーザー名にカーソルを合わせてください。
- Organization Settings .
をクリックしてください
- Access下でAPI Keysをクリックしてください。
- APIキーをクリックし、 Copyをクリックしてキーをコピーします。
Datadogプラグインの設定
- Settings > Plugin Storeへ移動してください。CLS Datadog v1.1.0 (CLS)プラグインを検索して選択してください。
- プラグイン構成名を追加し、マッピングにDatadog Default Mappingファイルが選択されていることを確認してください。
- データをJSON形式で取り込む場合は、ログ変換の切り替えボタンを無効にしてください。データをCEF形式で取り込む場合は、有効のままにしてください。
- Nextをクリックして、以下のパラメータを入力してください。
- Datadogサイト：あなたのDatadogアカウントに関連付けられているサイト。例えば、datadoghq.com。
- APIキー：DatadogエージェントがメトリクスとイベントをDatadogに送信するには、APIキーが必要です。以前に取得した Datadog API キーを提供します ( Organization Settings > Access > API Keys Datadogプラットフォームで。
- Datadogタグ：ログに関連付けられたタグ。複数のタグを追加する場合は、カンマで区切って指定してください。例えば： env:prod,region:us-east-1.
- Saveをクリックしてください。新しいプラグインは Log Shipper > Pluginsページに表示されます。
Datadog のログシッパービジネスルールを設定する
- Log Shipper > Business Rulesへ移動してください。
- デフォルトでは、すべてのアラートとイベントをフィルタリングするビジネスルールが設定されています。
- 特定の種類のアラートやイベントを除外したい場合は、 Create New Ruleをクリックして、ルール名とフィルタを追加して新しいビジネスルールを設定してください。
- Saveをクリックしてください。
Datadog の Log Shipper ログ配信の設定
- Log Shipper > Log Deliveryに移動してAdd Log Delivery Configurationをクリックしてください。
- アラートやイベントについては、Sourceプラグイン(Netskope CLS)、Destinationプラグイン(Datadog)、ビジネスルールを選択し、 Saveをクリックします。
- WebTXでは、Sourceプラグイン(AWS Netskope LogstreamingまたはAzure Netskope Logstreaming)、Destinationプラグイン(CLS Datadog)、ビジネスルールを選択し、 Saveをクリックします。
- ログ共有を行うには、ソースプラグイン（Syslog for CE）と宛先プラグイン（Datadog）、ビジネスルールを選択し、 Saveをクリックします。
- Log Delivery 構成が追加されると、 Netskopeテナントからのデータの取得、変換、Datadog プラットフォームへの取り込みが開始されます。
Datadogプラグインを検証する
プルを検証する
Netskopeテナントからイベント、アラート、ログ、およびWebtx（Netskope LogStreaming経由）を取得することを検証するには：
- Cloud Exchange のLoggingに移動し、取得したログを検索してください。
プッシュ通知を検証する
プラグインのワークフローを検証するには：
Logging に移動し、フィルターメッセージに ingested が含まれているという条件で、取り込み済みのイベント、アラート、WebTx (Netskope LogStreaming 経由) を検索します。取り込まれたログはフィルタリングされます。
Datadogへのプッシュを検証するには、以下の手順に従ってください。
- Datadog プラットフォームにログインします。
- Logsをクリックしてください。テナント名を利用することで、ホストに基づいてフィルターを適用できます。
Datadogプラグインのトラブルシューティング
Datadogの履歴サイクルでJSONデータを表示できません
NoteDatadogに送信されたJSON形式のデータは、18時間以上経過している場合はプラットフォームに表示されません。
Cloud ExchangeのJSON形式の履歴データに関するログには、「エラーなく取り込まれました」と表示されます。
What to doプラグインを編集し、ログ変換オプションを有効にしてJSONをCEF形式に変更すると、履歴データが共有されます。