このドキュメントでは、 Netskope Cloud Exchangeプラットフォームの Threat Exchange モジュール用に Anomali ThreatStream XDR v1.3.2 プラグインを構成する方法について説明します。 このプラグインは Anomali ThreatStream XDR の Observables から、URL、IP (IPv4、IPv6)、ドメイン、SHA256、MD5 タイプのインジケーターを取得します。 このプラグインは、Anomali ThreatStream XDR プラットフォームで共有インジケーター アクションを使用して、Observables への MD5、SHA256、URL、ドメイン、IPv4、および IPv6 の共有をサポートします。
前提条件
この設定を完了するには、以下が必要です。
- Netskopeテナント(または、例えば本番環境と開発/テスト環境など、複数のテナント)。
- Netskopeテナント上のファイルプロファイル。
- A URL List on your Netskope tenant.
- Netskope Cloud Exchangeテナントには、テナントプラグインと脅威交換プラグインが既に設定済みです。
- Anomali Threatstreamのクラウドプラットフォームまたはオンプレミスインスタンス。
- 以下のホストへの接続性:
- クラウドプラットフォームの場合:https://api.threatstream.com
- オンプレミスの場合:https:// 。
Anomali Threatstream XDRプラグインのサポート
このプラグインは Anomali ThreatStream XDR の Observable から URL、IPv4、IPv6、ドメイン、MD5、SHA256 タイプの IoC をプルおよびプッシュします。
| 取得したインジケータータイプ | 共有指標タイプ |
|---|---|
| URL、ドメイン、IP(IPv4)、IPv6、SHA256、MD5 | URL、ドメイン、IP(IPv4)、IPv6、SHA256、MD5 |
IoC撤回
Anomali Threatstream XDRプラグインはプルリトラクトをサポートしています。プルリトラクトは、設定パラメータの「リトラクト間隔」フィールドと設定済みのプラグインフィルタに基づいて行われます。これは、リトラクション間隔の範囲内に存在するIoCはリトラクション済みとしてマークされず、残りのIoCはCloud Exchangeでリトラクション済みとしてマークされることを意味します。
IoCの撤回(プル):インジケーターはAnomaliから取得され、その後のプルサイクルで取得されます。Anomaliから一部の指標が削除された場合、Cloud Exchangeではそれらは「取り消し済み」としてマークされます。
| タイプ | デスクリプション |
|---|---|
| IoCリトラクション(プル) | はい |
| IoCリトラクション(プッシュ) | いいえ |
IoCソースラベル
第三者に共有されるインジケーターには、実際にこのIoCを取得したソースプラグインを説明するフィールドが含まれます。
| タイプ | デスクリプション |
|---|---|
| IoCソースラベル表示 | Supported (Netskope CE | <Source Plugin>) |
マッピング
重症度マッピング
| Netskopeの重要度 | 異常脅威ストリーム XDR の深刻度 |
|---|---|
| low | low |
| medium | medium |
| high | high |
| critical | very-high |
| unknown | – |
プルとプッシュのインジケーターマッピング
| Netskopeフィールズ | Anomali ThreatStream XDR 観測可能フィールド |
|---|---|
| value | value |
| タイプ | タイプ |
| firstSeen | created_ts |
| lastSeen | modified_ts |
| reputation | confidence |
| 重大度 | meta.severity |
| コメント | description |
| tags | tags.name |
評判と信頼度のマッピング
| Netskopeの評判 | Anomali ThreatStream XDR の信頼性 |
|---|---|
| 1 | 1-10 |
| 2 | 11-20 |
| 3 | 21-30 |
| 4 | 31-40 |
| 5 | 41-50 |
| 6 | 51-60 |
| 7 | 61-70 |
| 8 | 71-80 |
| 9 | 81-90 |
| 10 | 91-100 |
プッシュインジケーターのマッピング
| Anomali ThreatStream XDR 観測可能フィールド | Netskopeインジケーターフィールド |
|---|---|
| URL の場合は IoC タイプ ドメイン インジデントの指標の場合はドメイン タイプ IPv4 の場合はスクリプト IoC タイプ IPv6 の場合は ipv6 IoC タイプ MD5 および SHA256 IoC タイプの場合は md5 | value |
| サブタイプ(SHA256およびMD5のみ) | SHA256 の場合は SHA256 MD5 の場合は MD5 |
| itype | 以下の各インジデントの指標タイプに対して選択された IType は、各インジデントの指標タイプに使用されるアクション パラメータです。 URL の URL iType IPv4 の IP iType IPv6 の IPv6 iType ドメインのドメイン iType ハッシュ [MD5、SHA256] SHA256 および MD5 の iType |
| 重大度 | 重症度 非常に高い(重大の場合) 高い(高い場合) 中程度 → 中程度 低い → 低い 不明 → “” |
| confidence | reputation |
| description | コメント |
| tags.name | Tags + “netskope-ce” + “Netskope CE | <Source Plugin Name>” |
パフォーマンスマトリックス
この測定は、以下の仕様を持つ大規模Cloud Exchangeスタック上で、10万個のIoCをプルおよびプッシュすることによって実施されます。
| デスクリプション | 仕様 |
|---|---|
| スタックの詳細 | サイズ:大 RAM:32 GB CPU:16コア |
| Anomali ThreatStream XDRから取得した指標 | ~33K per minute |
| Anomali ThreatStream XDRと共有される指標 | ~180K per minute |
権限
これらの権限はプラグインの設定に必要です。
- インテルの承認
- ユーザー向けAPIを表示する
APIの詳細
List of APIs used
| APIエンドポイント | 方法 | 使うケース |
|---|---|---|
| /api/v2/intelligence | 得る | インジケーターを取得し、変更されたインジケーターを確認する |
| /api/v2/intelligence/ | パッチ | 指標を押し上げる |
Pull indicators and check for modified indicators
API Endpoint: /api/v2/intelligence
Method: 得る
Parameters:
| 鍵 | Value |
|---|---|
| limit | 1000 |
| modified_ts__gt | 2024-01-23T13:33:40.314Z |
| update_id__gt | 0 |
| order_by | update_id |
| remote_api | true |
| タイプ | ドメイン、IPアドレス、IPv6、ハッシュ、URL |
| hash$subtype(SHA256およびMD5用) | MD5、SHA256 |
| confidence__gte | 1 |
| status | active |
| meta.severity | 低、中、高、非常に高い |
| tags | tag1, tag2 |
| feed_id | 0,1 |
Headers:
| 鍵 | Value |
|---|---|
| Authorization | apikey <username>:<password> |
| Content-Type | アプリケーション/json |
| Accept | アプリケーション/json |
| ユーザーエージェント | netskope-ce-6.0.1-cte-anomali-threatstream-xdr-v1.3.2 |
Sample API Response:
{
“objects”: [
{
“source”: “Botscout BOT IPs”,
“threatscore”: 17,
“threat_type”: “bot”,
“trusted_circle_ids”: [
146,
211,
388
],
“デスクリプション”: null,
“workgroups”: [],
“sort”: [
17729579514
],
“resource_uri”: “/api/v2/intelligence/60654060239/”,
“modified_ts”: “2023-10-18T11:11:57.115Z”,
“update_id”: 17729579514,
“source_reported_confidence”: 65,
“type”: “ipv6”,
“uuid”: “39a5d9b0-c48e-4831-afdb-511f57c039ec”,
“feed_id”: 141,
“retina_confidence”: -1,
“created_ts”: “2023-10-18T10:52:26.484Z”,
“id”: 60654060239,
“value”: “2401:4900:171:609:11:98:550:76”,
“itype”: “bot_ipv6”,
“org”: “”,
“confidence”: 65,
“expiration_ts”: “2024-01-16T10:52:23.000Z”,
“owner_organization_id”: 2,
“meta”: {
“severity”: “medium”,
“detail2”: “imported by user 668”
},
“is_anonymous”: false,
“is_public”: false,
“asn”: “”,
“status”: “active”,
“tags”: [
{
“id”: “1yx”,
“name”: “childfirstbehaviortherapy.seo”
},
{
"id": "3t7",
"name": "childfirstbehaviortherapy.seo@gmail.com"
{
],
“can_add_public_tags”: false,
“subtype”: null,
“tlp”: null,
“created_by”: null,
“rdns”: null,
“is_editable”: false
}
],
“meta”: {
“offset”: 0,
“limit”: 1,
“total_count”: 1499,
“next”: “/api/v2/intelligence/?limit=1&modified_ts__gt=2023-04-08T19%3A46%3A42.345Z&order_by=update_id&status=active&type=ipv6&update_id__gt=0&search_after=17729579514”,
「took」: 34
}
}
プッシュインジケーター
API Endpoint: /api/v2/intelligence/
Method: パッチ
Request Body:
{
"meta": {
"classification": "private",
"allow_unresolved": true,
"allow_update": true,
"enrich": false
},
"objects": [
{
"url": "https://185.67.81.10",
"severity": "high",
"itype": "compromised_url",
"type": "url",
"tags": [
{
"name": "Netskope CE | MISp",
"tlp": "white"
},
{
"name": "netskope-test",
"tlp": "white"
}
]
}
]
}
Headers:
| 鍵 | Value |
|---|---|
| Authorization | apikey <username>:<password> |
| Content-Type | アプリケーション/json |
| Accept | アプリケーション/json |
| ユーザーエージェント | netskope-ce-6.0.1-cte-anomali-threatstream-xdr-v1.3.2 |
Sample API Response:
202 Accepted
ユーザーエージェント
netskope-ce-6.0.1-cte-anomali-threatstream-xdr-v1.3.2
ワークフロー
- Anomali ThreatStream XDR クレデンシャルを入手してください。
- Anomali ThreatStream XDRプラグインを設定します。
- Anomali ThreatStream XDR のビジネスルールを設定します。
- NetskopeとAnomali ThreatStream XDR間の共有を設定します。
- Anomali ThreatStream XDRプラグインを検証します。
動画を見る
再生ボタンをクリックして動画をご覧ください。
Anomali ThreatStream XDR を入手する クレデンシャル
Anomali サポート チームに連絡して、ベース URL、ユーザー名、および API キーを取得してください。
Anomali ThreatStream XDRプラグインの設定
- Cloud Exchange で、 Settings > Plugin Storeに移動します。
- Anomali ThreatStream XDR v1.3.2 (CTE)プラグインボックスを検索して選択します。

- 基本情報を入力してください:
- Configuration Name: 設定の一意の名前。
- Sync Intervalデフォルトのままにします。
- Aging Criteria: プラグインの有効期限(日数)(デフォルト:90)。
- Override Reputationこの設定から受信したインジケーターの評判を上書きする値を設定します。
- Enable SSL ValidationSSL証明書の検証を有効にします。

- Nextをクリックして、設定パラメータを入力してください。
- Base URL: ThreatStream APIのベースURLは、お客様のクラウドインスタンスまたはオンプレミスインスタンスに基づいて決定されます。
- Username: ThreatStream プラットフォームのユーザー名(使う while log to platform)。
- API Key: API Key は ThreatStream Anomali XDR プラットフォームから取得されました。
- Remote Observables: リモートオブザーブルを取得するにはSelectイエスかノーで答えてください。
- Type of Threat Data to pull: 取得したいデータに基づいてSelect 。 このプラグインは、Cloud ExchangeでサポートされているIoCタイプに対してAnomaliのタイプおよびサブタイプフィルタリングをサポートしています。
- Minimum Confidence: 信頼度を表す値(1~100の範囲)を指定してください。信頼度が指定された値以上のIoCが抽出されます。
- Severity: 指定された深刻度を持つIoC(侵害指標)が抽出されます。
- Status: ステータスが一致するIoCが取得されます。
- Tags: 指定されたタグに一致する指標が抽出されます。タグ名は、カンマで区切って1つまたは複数入力してください。すべてのタグを含むIoCを取得するには、空欄のままにしてください。
- Feed ID: フィードIDに一致する指標が取得されます。フィードIDには、カンマで区切られた数値を1つまたは複数入力してください。すべてのフィードからIoCを取得するには、この項目を空白のままにしてください。
注記
- 複数のタグまたはフィード ID が追加されると、プラグインは OR 演算を使用して、言及された各タグからデータを取得します。
- データ取得用のプラグインにタグとフィードIDの両方を追加した場合、IoCが取得されます。 タグとフィードID間のAND演算、つまり 指定されたフィードIDに上記のタグが含まれている場合にのみ、IoC(侵害指標)が取得されます。
- Enable Polling: データをプルする場合は Yes を維持し、プラグインがプッシュに使用する場合は No を維持します。
- Enable Tagging: プラットフォームからすべてのIoCとともにタグを取得するには、「はい」を選択してください。
- Retraction Interval: Anomali ThreatStream XDRインジケーターのIoC削除を実行する日数を指定します。注:このパラメータはCloud Exchangeバージョン5.1.0にのみ適用されます。またはそれ以降、脅威交換設定で IoC 撤回が有効になっている場合。
- Initial Range: 脅威IoCを初期範囲から抽出するまでの日数。


- Saveをクリックしてください。プラグインの設定はPluginsに示されています。

Anomali ThreatStream XDR 用の脅威交換ビジネスルールを設定する
Anomali ThreatStream XDRから取得した指標をCloud Exchangeに共有したり、その逆を行うには、共有したい指標をフィルタリングするビジネスルールが必要です。
ビジネスルールを設定するには:
- Threat ExchangeでBusiness Rulesに移動し、 Create New Ruleをクリックします。
- ルールに要件に応じてフィルターを追加し、 Saveをクリックします。

NetskopeとAnomali ThreatStream XDRの共有設定
Cloud Exchange から Anomali ThreatStream XDR プラットフォームへ、またはその逆方向に IoC を共有するには、次の手順に従ってください。
- Threat ExchangeでSharingに移動し、 Add Sharing Configurationをクリックします。
- ソース構成( Netskope CTE)、ビジネスルール、宛先構成(Anomali ThreatStream XDR)、およびターゲットSelect 。

- Select these parameters:
- URL iType: URLに割り当てたいiTypeをSelect 。
- IP iType: IPアドレスに割り当てたいiType Select 。
- IPv6 iType: IPv6に割り当てるiType Select 。
- Domain iType: ドメインに割り当てるiTypeをSelect 。
- Hash[MD5, SHA256] iType: ハッシュに割り当てるiType Select [MD5、SHA256]。
- Anomali ThreatStream XDR IoC を Netskope に共有するには、同じ手順に従いますが、逆の手順で、ソース構成として Anomali ThreatStream XDR、ビジネスルール、宛先構成 (Netskope CTE)、およびターゲットを選択します。詳細については、 Netskopeプラグインガイドを参照してください。
- Saveをクリックしてください。

Anomali ThreatStream XDRプラグインを検証する
プルを検証する
抽出されたデータは、脅威IoC(侵害指標)ページに掲載されます。プラットフォームから取得した IoC をフィルタリングするには、フィルタを使用します: sources.source<plugin configuration name> “” のようにします 。




Cloud Exchange で取得したログを確認するには、 Loggingにアクセスして、CTE Anomali ThreatStream XDR プラグインのログを検索してください。

Anomali ThreatStream XDR に取り込むことができるデータを確認するには、 Analyze > Observablesにアクセスしてください。

取り下げられた IoC を確認するには、ログで IoC 取り下げの例を確認してください: message Like CTE Anomali ThreatStream XDR [CTE Anomali ThreatStream XDR] [Retraction]:

プラットフォームから取り消された IoC をフィルタリングするには 、次の フィルタを使用します。<plugin configuration name>

注記
撤回期間に該当するIoCは、Cloud Exchangeで「撤回済み:はい」とマークされます。

NetskopeテナントのURLリストにIoC(侵害指標)が追加されたことが、ここで確認できます。

その後、共有されていたIoCの一部が撤回済みとしてマークされたため、URLリストから削除されました。

注記
Anomaliは、自社プラットフォーム上でのIoC(侵害指標)の削除(撤回)をサポートしていません。その結果、以前に共有されたIoCはAnomali上で削除(撤回)されません。
プッシュ通知を検証する
Anomaliに共有されたIoCは、Cloud ExchangeのLoggingで入手可能なログから確認できます。

注記
Anomaliは1回のプッシュサイクルで取り込むデータ量が10MBに制限されているため、取り込むデータが10MBを超える場合は、10MBずつに分割してプッシュされます。
Anomali プラットフォームで、 Analyze > Observables, IOCに移動します。 Cloud ExchangeからプッシュされたIoCには、 Netskope -ceというタグが追加されます。
注記
Cloud ExchangeからプッシュされたすべてのIoCは、可視性が「自分の組織」のように非公開となり、Anomaliコミュニティの一部にはなりません。






注記
また、 IoC ソースのラベル付けを使用して、ソース プラグインに応じて共有 IOC をフィルタリングすることもできます。 例えば、 テナントから取得した共有IoCをフィルタリングするには、Netskope このフィルタをタグとして使用できます:
タグ形式:「Netskope CE |<source plugin name> 」

Anomali ThreatStreamプラグインのトラブルシューティング
Anomali ThreatStream プラットフォームから IoC をプルできません
プラグインの設定後、プラットフォームからIoCが取得されない場合は、以下のいずれかの理由が考えられます。
- プラットフォーム上には、取得可能なIoC(侵害指標)がありません。
- 指定された時間範囲でIoCが利用できないか、構成パラメータと一致しません。
What to do: 上記で述べた根本原因を特定し、次の2つのセクションのいずれかに従って問題を解決してください。
No IoCs are available on the platform to pull
プラットフォーム上でIoCが利用可能かどうか確認してください。可能であれば、次のセクションで説明する解決策を確認してください。
指定された期間のIoCは利用できません
プラットフォーム上でIoCが取得可能であるにもかかわらず、プラグインがCloud ExchangeでIoCを取得していない場合は、プラグイン設定の初期範囲パラメータで指定されている日数を確認してください。Anomali プラットフォームで、指定された時間範囲のデータがあるかどうかを確認します。


指定された期間のデータがまだ利用可能な場合、プラグイン構成で指定されたフィルタの IoC が利用できない可能性があるため、プラグイン構成パラメータの値を確認し、Anomali プラットフォームで同じフィルタを適用してください。
また、IoCを取得するためにポーリングを有効にする際に、 Yesが選択されていることを確認してください。

IoCをAnomaliにプッシュできません
プラットフォーム上でIoCをプッシュできず、プッシュ中にエラーが発生する場合は、ユーザーの 権限 が不足している可能性があります。

IoC は CE からプッシュされますが、Anomali プラットフォームでは利用できません
IoC(侵害指標)がプッシュされたにもかかわらずプラットフォームに反映されない場合は、IoCの数が多すぎることが原因である可能性があります。Anomaliにデータが共有された場合、プラットフォームに反映されるまでに時間がかかることがあります。1ページあたりに共有できるデータ量は最大で10MBです。
What to do: 送信されたデータは反映されますが、反映には時間がかかる場合があり、数分から数時間かかることもありますので、データが反映されるまでお待ちいただくことをお勧めします。
既知の行動
プラグインのワークフローを検証する際に確認された事項は以下のとおりです。
- IoC が共有された後、単一レコードの複数の IoC が Anomali ThreatStream プラットフォーム上に作成される場合があります。
- 取り込まれた IoC がプッシュされた後、Anomali プラットフォームに反映されるまでに時間がかかる場合があります。 これには数分かかる場合もあれば、場合によっては数時間かかることもあります。
- Cloud Exchange からの不明な深刻度は Anomali にマッピングされないため、不明な深刻度で IoC が共有されると、プラットフォームは独自の深刻度を計算し、それを IoC に割り当てます。
- IoCが更新されたiTypeで再共有された場合、IoCのiTypeは更新されません。
- 場合によっては、一致する値を持つ IoC が既に期限切れインジケーターとして Anomali ThreatStream プラットフォーム上に存在する場合、同じ IoC をプッシュするための API 呼び出しが成功した場合でも、プラットフォームは既存の IoC を変更または更新しません。
- API呼び出しで共有された特定のURLは、APIによって受け入れられた場合でも、Anomali ThreatStreamのUIに表示されない場合があります。これは、プラットフォーム側で追加のフィルタリングや検証が適用されていることが原因である可能性があります。
- Anomali APIはAPIレスポンスで複数のIoCオブジェクトを提供しますが、場合によってはIoCの値は同じでも、深刻度や評判などの他のパラメータが異なる場合があります。

