脅威エクスチェンジ用の異常なセキュリティプラグイン

このドキュメントでは、 Netskope Cloud Exchangeプラットフォームの Threat Exchange モジュール用に CTE Abnormal Security v1.1.1 プラグインを構成する方法について説明します。このプラグインは、Abnormal Security プラットフォームの脅威ログ ページから SHA256、MD5、URL、ドメイン、IPv4、および IPv6 タイプの IOC を取得するために使用されます。 このプラグインは、Abnormal Security プラットフォームから取得された IOC の撤回をサポートします。 このプラグインは、Abnormal Security プラットフォームへのインジケーターの共有をサポートしていません。

前提条件

この設定を完了するには、以下が必要です。

• Netskopeテナント（または、例えば本番環境と開発／テスト環境など、複数のテナント）。
• Netskopeテナント上のファイルプロファイル。
• A URL List on your Netskope tenant.
• A Destination Profile on your Netskope tenant.
• Netskopeテナント上のプライベートアプリ。
• A DNS Profile on your Netskope Tenant
• TenantプラグインとThreat Exchangeプラグインが既に設定されたNetskope Cloud Exchangeインスタンスです。
• 異常なセキュリティ プラットフォーム クレデンシャル。
• 以下のホストへの接続性：
  • 本番サーバー (api.abnormalplatform.com/v1)
  • EUプロダクションサーバー（eu.rest.abnormalsecurity.com/v1）
  • FedRAMP GovCloud (rest.abnormalsecurity.us)

異常なセキュリティプラグインのサポート

マッピング

プルマッピング

IoC撤回

IoC Retraction (Pull): 異常状態から指標が取得され、その後のプルサイクルでも取得されます。Anomaliから一部の指標が削除された場合、Cloud Exchangeではそれらは「取り消し済み」としてマークされます。

IoC Retraction (Push): Cloud Exchangeに存在する取り下げられた指標は、共有時にAbnormalから削除されます。

権限

APIトークンには以下の権限が必要です。

• 脅威 – 読むアクセス
• メッセージ – 読む 機密アクセス

{
  "threats": [
    {
      "threatId": "184712ab-6d8b-47b3-89d3-a314efef79e2"
    }
  ],
  "pageNumber": 1,
  "nextPageNumber": 2
}

{
  "threatId": "184712ab-6d8b-47b3-89d3-a314efef79e2",
  "messages": [
    {
      "threatId": "184712ab-6d8b-47b3-89d3-a314efef79e2",
      "abxMessageIdStr": "4551618356913732000",
      "abxPortalUrl": "https://portal.abnormalsecurity.com/home/threat-center/remediation-history/4551618356913732076",
      "subject": "Phishing Email",
      "fromAddress": "support@secure-reply.org",
      "fromName": "Support",
      "senderDomain": "secure-reply.org",
      "toAddresses": "example@example.com, another@example.com",
      "recipientAddress": "example@example.com",
      "receivedTime": "2020-06-09T17:42:59Z",
      "sentTime": "2020-06-09T17:42:59Z",
      "internetMessageId": "<5edfca1c.1c69fb81.4b055.8fd5@mx.google.com>",
      "remediationStatus": "Auto Remediated",
      "attackType": "Extortion",
      "attackStrategy": "Name Impersonation",
      "returnPath": "support@secure-reply.org",
      "replyToEmails": [
        "reply-to@example.com"
      ],
      "ccEmails": [
        "cc@example.com"
      ],
      "senderIpAddress": "100.101.102.103",
      "impersonatedParty": "None / Others",
      "attackVector": "Text",
      "attachmentNames": [
        "attachment.pdf"
      ],
      "attachmentCount": 0,
      "urls": [
        "https://www.google.com/"
      ],
      "urlCount": 0,
      "summaryInsights": [
        "Bitcoin Topics",
        "Personal Information Theft",
        "Unusual Sender"
      ],
      "remediationTimestamp": "2020-06-09T17:42:59Z",
      "isRead": true,
      "attackedParty": "VIP",
      "autoRemediated": "True",
      "postRemediated": "False"
    }
  ],
  "pageNumber": 1,
  "nextPageNumber": 2
}

{
    "data": [
        {
            "attachmentName": "image.jpg",
            "type": "jpg",
            "md5": "d38deea567961e23059d3edd310a82d0",
            "sha1": "1caeee0cca7ac0e8f95fac59acf4d06d48884622",
            "sha256": "f2ccf68511b93832ea8dd7195fb60319de7a03b1795081aed53272d8d82268f1",
            "size": "200KB",
        }
    ]
}

パフォーマンスマトリックス

このパフォーマンスは、これらの仕様を持つ大規模なCEインスタンス上で、10万個のIoC（Instruction of Code）を実行することによって実施されました。

ユーザーエージェント

netskope-ce-6.0.0-cte-abnormal-security-v1.1.0

ワークフロー

1. 異常なセキュリティに関するAPIトークンを取得します。
2. Abnormal Securityプラグインを設定します。
3. 異常なセキュリティに関するビジネスルールを追加します。
4. Abnormal SecurityとNetskope Threat Exchangeの共有設定
5. Abnormal Securityプラグインを検証してください。

動画を見る

再生ボタンをクリックして動画をご覧ください。

異常なセキュリティのAPIトークンを取得する

1. Abnormal Securityにログインしてください。

   

2. Settings > Integrationsへ移動してください。

3. Scroll down to the API Token Management section and click Create New Token.

   

4. Select Rest API、 をクリックして Nextをクリックします。

   

5. ドロップダウンからテナントSelect 、 Nextをクリックします。

   

6. 「アクセスタイプの設定」でCustom Access Select 、権限セクションに表示されている権限を選択して、 Nextをクリックします。

   

7. トークン名「デスクトップリプション」を入力し、 Token Expiration Periodを選択して、IPセーフリストにCloud ExchangeをホストしているインスタンスのパブリックIPアドレスを入力し、 Next.をクリックします。

   

8. トークン設定を確認し、 Create Tokenをクリックしてください。

   

9. 作成されたAPIトークンをコピーします。

   

異常セキュリティプラグインの設定

1. Cloud Exchange でSettings > Plugin Storeに移動します。Abnormal Security v1.1.1 (CTE)プラグインを検索して選択してください。

   

2. 基本情報を入力してください：

   • Configuration Name: 設定の一意の名前。
   • Sync Intervalデフォルトのままにする
   • Aging Criteria: プラグインの有効期限（日数）。（デフォルト値：90）
   • Override Reputationこの設定から受信したインジケーターの評判を上書きする値を設定します。
   • Enable SSL ValidationSSL証明書の検証を有効にします。
   • Use System Proxyプロキシが通信に必要な場合は有効にします。

   

3. Nextをクリックして、設定パラメータを入力してください。

   • Base URL: Abnormal Security APIエンドポイントのベースURL。
   • API Token: Abnormal SecurityからAPIトークンを提供してください。
   • Type of Threat Data to Pull: 取得する脅威データの種類。使用可能な値は、SHA256、MD5、URL、ドメイン、IPv4、IPv6です。
   • Retraction Interval (in days): 異常なセキュリティ指標のIoC（侵害指標）の取り消しを実行するまでの期間（日数）。このパラメータは、脅威交換設定でIoC（侵害指標）の撤回が有効になっている場合にのみ考慮されることに注意してください。このパラメータはNetskope CEバージョン5.1.0にのみ適用されますそれ以上。
   • Enable Tagging: タグ付け機能を有効／無効にします。
   • Initial Range (in days): 初回実行時に脅威IoCを取得するまでの日数。

   

4. Saveをクリックしてください。

   

異常なセキュリティに対する脅威交換ビジネスルールを追加する

Abnormal Securityから取得した指標をCloud Exchangeに共有するには、共有したい指標をフィルタリングするビジネスルールが必要です。

1. 脅威交換では、 Business RulesとCreate New Ruleに移動します。

2. ルールに要件に応じてフィルターを追加し、 Saveをクリックします。

   

Abnormal SecurityとNetskopeの共有設定

異常セキュリティからIoCを他のサードパーティプラットフォームと共有するには：

1. Threat Exchangeで Sharingに移動し、 Add Sharing Configurationをクリックします。

2. ソース構成（CTE Abnormal Security）、ビジネスルール、宛先構成（CTE Netskope ）、およびターゲットをSelect 。 

3. Saveをクリックしてください。

   

異常セキュリティプラグインを検証する

プルを検証する

Cloud Exchangeでプルされたログを確認するには、 Logging に移動し、CTE Abnormal Securityプラグインのログを検索してください。ログをフィルターで使うフィルター:メッセージ(例えば「[<plugin configuration name>]」などでフィルターできます。

取得したデータは 脅威IoCs ページに掲載されます。プラットフォームから取得したIOCをフィルターで使うフィルター:sources.sourceでフィルターできます。 例えば「<plugin configuration name>」

Abnormal Securityで取得可能なデータを確認するには、Abnormal Securityにログインし、脅威ログページに移動してください。

脅威ログを開くと、そこから取得可能なさまざまなIoC（侵害指標）を見つけることができます。

• このプラグインは「リンク」セクションからURLを取得します。
• 送信元IPアドレスからのIPv4およびIPv6。
• 送信元ドメインのドメイン。
• 電子メールコンテンツの添付ファイルからの SHA256 および MD5。

プルリトラクションを検証する

取り下げられた IoC を確認するには、ログで IoC 取り下げの例を確認してください: message Like CTE Abnormal Security [CTE Abnormal Security] [Retraction].

プラットフォームから引き戻されたIoCをフィルターできます。使う filter: sources.source は「<plugin configuration name>」 & sources.retracted は真です

撤回間隔に該当するIoCは、Cloud Exchangeで「撤回済み：はい」とマークされます。

異常なセキュリティプラグインのトラブルシューティング

プラグインの設定中またはデータの取得中にエラーが発生しました

プラグインの設定中に以下のエラーが表示される場合。

CTE Abnormal Security [CTE Abnormal Security]: Validation error occurred, Received exit code 403 (Forbidden), Verify Base URL and API Token provided in the configuration parameters.

この問題は、以下のいずれかの理由による可能性があります。

• ベースURLとAPIトークンが無効または削除されています。
• お客様のCloud ExchangeがホストされているパブリックIPアドレスが、IPセーフリストに追加されていません。

What to do:

1. ベース URL と API トークンが有効かどうかプラグイン クレデンシャルを確認してください。有効であれば、使用しているクレデンシャルがまだ Abnormal Security で利用可能かどうかを確認してください。
2. 「異常なセキュリティに対するAPIトークンの取得」セクションで説明されているように、Cloud ExchangeがホストされているインスタンスのパブリックIPアドレスをIPセーフリストに追加したことを確認してください。
   • Cloud Exchangeがプライベートネットワークで稼働している場合は、お使いのマシンのパブリックIPアドレスをこのセーフリストに追加してください。
   • お使いのマシンのパブリックIPアドレスを取得するには、Cloud Exchangeがホストされているマシンで以下のコマンドを実行してください。

   
   curl ifconfig.me
   

3. AWSまたはAzureでホストされているCloud Exchangeの場合は、AWSまたはAzureポータルからマシンのパブリックIPアドレスをコピーし、セーフリストに追加してください。

「メッセージID -xxxxxxxxxxxxxxx の Document-for-Payment @.pdf の添付ファイルデータ取得中に HTTP エラーが発生しています。」というエラーが表示されます。

プラグインをv1.1.0で設定した場合またはそれ以前に、Abnormal Security からインジケーターを取得する際にこのエラーが発生した場合は、添付ファイルの詳細に「#」などの特殊文字が含まれていることが原因である可能性があります。この問題を解決するには、以下の手順に従ってください。

What to do: プラグインを最新バージョンにアップグレードし、取得したインジケーターを確認してください。

Abnormal Security プラットフォームから IoC を取得できません

プラグインの設定後、プラットフォームからIoCが取得されない場合は、以下のいずれかの理由が考えられます。

• プラットフォーム上にはプル可能なIoCがありません
• 指定された構成パラメータに対して IoC は利用できません (つまり取得する脅威データの種類）。

What to do: 上記から根本原因を特定し、以下の手順に従って問題を解決してください。

No IoCs are available on the platform to pull:

プラットフォーム上でIoC（侵害指標）が利用可能かどうかを確認してください。可能であれば、次の項目の解決策を確認してください。

IoCs are not available for the given time range

プラットフォーム上でIoCが取得可能であるにもかかわらず、プラグインがCloud ExchangeでIoCを取得していない場合は、プラグイン設定の初期範囲パラメータで指定されている日数を確認してください。Abnormal Security プラットフォームで、指定された時間範囲のデータがあるかどうかを確認します。

指定された期間のデータがまだ利用可能な場合、プラグイン構成で指定されたフィルタの IoC が利用できない可能性があるため、プラグイン構成パラメータの値を確認し、Abnormal Security プラットフォームで同じフィルタを適用してください。