Threat Exchange 用 Anomali ThreatStream XDR プラグイン

このドキュメントでは、 Netskope Cloud Exchangeプラットフォームの Threat Exchange モジュール用に Anomali ThreatStream XDR v1.3.2 プラグインを構成する方法について説明します。 このプラグインは Anomali ThreatStream XDR の Observables から、URL、IP (IPv4、IPv6)、ドメイン、SHA256、MD5 タイプのインジケーターを取得します。 このプラグインは、Anomali ThreatStream XDR プラットフォームで共有インジケーター アクションを使用して、Observables への MD5、SHA256、URL、ドメイン、IPv4、および IPv6 の共有をサポートします。

前提条件

この設定を完了するには、以下が必要です。

• Netskopeテナント（または、例えば本番環境と開発／テスト環境など、複数のテナント）。
• Netskopeテナント上のファイルプロファイル。
• A URL List on your Netskope tenant.
• Netskope Cloud Exchangeテナントには、テナントプラグインと脅威交換プラグインが既に設定済みです。
• Anomali Threatstreamのクラウドプラットフォームまたはオンプレミスインスタンス。
• 以下のホストへの接続性：
  • クラウドプラットフォームの場合：https://api.threatstream.com
  • オンプレミスの場合：https:// 。

Anomali Threatstream XDRプラグインのサポート

このプラグインは Anomali ThreatStream XDR の Observable から URL、IPv4、IPv6、ドメイン、MD5、SHA256 タイプの IoC をプルおよびプッシュします。

IoC撤回

Anomali Threatstream XDRプラグインはプルリトラクトをサポートしています。プルリトラクトは、設定パラメータの「リトラクト間隔」フィールドと設定済みのプラグインフィルタに基づいて行われます。これは、リトラクション間隔の範囲内に存在するIoCはリトラクション済みとしてマークされず、残りのIoCはCloud Exchangeでリトラクション済みとしてマークされることを意味します。

IoCの撤回（プル）：インジケーターはAnomaliから取得され、その後のプルサイクルで取得されます。Anomaliから一部の指標が削除された場合、Cloud Exchangeではそれらは「取り消し済み」としてマークされます。

IoCソースラベル

第三者に共有されるインジケーターには、実際にこのIoCを取得したソースプラグインを説明するフィールドが含まれます。

マッピング

重症度マッピング

プルとプッシュのインジケーターマッピング

評判と信頼度のマッピング

プッシュインジケーターのマッピング

パフォーマンスマトリックス

この測定は、以下の仕様を持つ大規模Cloud Exchangeスタック上で、10万個のIoCをプルおよびプッシュすることによって実施されます。

権限

これらの権限はプラグインの設定に必要です。

• インテルの承認
• ユーザー向けAPIを表示する

{
    "meta": {
        "classification": "private",
        "allow_unresolved": true,
        "allow_update": true,
        "enrich": false
    },
    "objects": [
        {
            "url": "https://185.67.81.10",
            "severity": "high",
            "itype": "compromised_url",
            "type": "url",
            "tags": [
                {
                    "name": "Netskope CE | MISp",
                    "tlp": "white"
                },
                {
                    "name": "netskope-test",
                    "tlp": "white"
                }
            ]
        }
    ]
}

202 Accepted

ユーザーエージェント

netskope-ce-6.0.1-cte-anomali-threatstream-xdr-v1.3.2

ワークフロー

1. Anomali ThreatStream XDR クレデンシャルを入手してください。
2. Anomali ThreatStream XDRプラグインを設定します。
3. Anomali ThreatStream XDR のビジネスルールを設定します。
4. NetskopeとAnomali ThreatStream XDR間の共有を設定します。
5. Anomali ThreatStream XDRプラグインを検証します。

動画を見る

再生ボタンをクリックして動画をご覧ください。

Anomali ThreatStream XDR を入手する クレデンシャル

Anomali サポート チームに連絡して、ベース URL、ユーザー名、および API キーを取得してください。

Anomali ThreatStream XDRプラグインの設定

1. Cloud Exchange で、 Settings > Plugin Storeに移動します。
2. Anomali ThreatStream XDR v1.3.2 (CTE)プラグインボックスを検索して選択します。

   

3. 基本情報を入力してください：
   • Configuration Name: 設定の一意の名前。
   • Sync Intervalデフォルトのままにします。
   • Aging Criteria: プラグインの有効期限（日数）（デフォルト：90）。
   • Override Reputationこの設定から受信したインジケーターの評判を上書きする値を設定します。
   • Enable SSL ValidationSSL証明書の検証を有効にします。

   

4. Nextをクリックして、設定パラメータを入力してください。
   • Base URL: ThreatStream APIのベースURLは、お客様のクラウドインスタンスまたはオンプレミスインスタンスに基づいて決定されます。
   • Username: ThreatStream プラットフォームのユーザー名(使う while log to platform)。
   • API Key: API Key は ThreatStream Anomali XDR プラットフォームから取得されました。
   • Remote Observables: リモートオブザーブルを取得するにはSelectイエスかノーで答えてください。
   • Type of Threat Data to pull: 取得したいデータに基づいてSelect 。 このプラグインは、Cloud ExchangeでサポートされているIoCタイプに対してAnomaliのタイプおよびサブタイプフィルタリングをサポートしています。
   • Minimum Confidence: 信頼度を表す値（1～100の範囲）を指定してください。信頼度が指定された値以上のIoCが抽出されます。
   • Severity: 指定された深刻度を持つIoC（侵害指標）が抽出されます。
   • Status: ステータスが一致するIoCが取得されます。
   • Tags: 指定されたタグに一致する指標が抽出されます。タグ名は、カンマで区切って1つまたは複数入力してください。すべてのタグを含むIoCを取得するには、空欄のままにしてください。
   • Feed ID: フィードIDに一致する指標が取得されます。フィードIDには、カンマで区切られた数値を1つまたは複数入力してください。すべてのフィードからIoCを取得するには、この項目を空白のままにしてください。
     

     注記

     • 複数のタグまたはフィード ID が追加されると、プラグインは OR 演算を使用して、言及された各タグからデータを取得します。
     • データ取得用のプラグインにタグとフィードIDの両方を追加した場合、IoCが取得されます。 タグとフィードID間のAND演算、つまり 指定されたフィードIDに上記のタグが含まれている場合にのみ、IoC（侵害指標）が取得されます。
   • Enable Polling: データをプルする場合は Yes を維持し、プラグインがプッシュに使用する場合は No を維持します。
   • Enable Tagging: プラットフォームからすべてのIoCとともにタグを取得するには、「はい」を選択してください。
   • Retraction Interval: Anomali ThreatStream XDRインジケーターのIoC削除を実行する日数を指定します。注：このパラメータはCloud Exchangeバージョン5.1.0にのみ適用されます。またはそれ以降、脅威交換設定で IoC 撤回が有効になっている場合。
   • Initial Range: 脅威IoCを初期範囲から抽出するまでの日数。

   

   

5. Saveをクリックしてください。プラグインの設定はPluginsに示されています。

   

Anomali ThreatStream XDR 用の脅威交換ビジネスルールを設定する

Anomali ThreatStream XDRから取得した指標をCloud Exchangeに共有したり、その逆を行うには、共有したい指標をフィルタリングするビジネスルールが必要です。

ビジネスルールを設定するには：

1. Threat ExchangeでBusiness Rulesに移動し、 Create New Ruleをクリックします。
2. ルールに要件に応じてフィルターを追加し、 Saveをクリックします。

   

NetskopeとAnomali ThreatStream XDRの共有設定

Cloud Exchange から Anomali ThreatStream XDR プラットフォームへ、またはその逆方向に IoC を共有するには、次の手順に従ってください。

1. Threat ExchangeでSharingに移動し、 Add Sharing Configurationをクリックします。
2. ソース構成（ Netskope CTE）、ビジネスルール、宛先構成（Anomali ThreatStream XDR）、およびターゲットSelect 。

   

3. Select these parameters:
   • URL iType: URLに割り当てたいiTypeをSelect 。
   • IP iType: IPアドレスに割り当てたいiType Select 。
   • IPv6 iType: IPv6に割り当てるiType Select 。
   • Domain iType: ドメインに割り当てるiTypeをSelect 。
   • Hash[MD5, SHA256] iType: ハッシュに割り当てるiType Select [MD5、SHA256]。
4. Anomali ThreatStream XDR IoC を Netskope に共有するには、同じ手順に従いますが、逆の手順で、ソース構成として Anomali ThreatStream XDR、ビジネスルール、宛先構成 (Netskope CTE)、およびターゲットを選択します。詳細については、 Netskopeプラグインガイドを参照してください。
5. Saveをクリックしてください。

   

Anomali ThreatStream XDRプラグインを検証する

プルを検証する

抽出されたデータは、脅威IoC（侵害指標）ページに掲載されます。プラットフォームから取得した IoC をフィルタリングするには、フィルタを使用します: sources.source<plugin configuration name> “” のようにします 。

Cloud Exchange で取得したログを確認するには、 Loggingにアクセスして、CTE Anomali ThreatStream XDR プラグインのログを検索してください。

Anomali ThreatStream XDR に取り込むことができるデータを確認するには、 Analyze > Observablesにアクセスしてください。

取り下げられた IoC を確認するには、ログで IoC 取り下げの例を確認してください: message Like CTE Anomali ThreatStream XDR [CTE Anomali ThreatStream XDR] [Retraction]:

プラットフォームから取り消された IoC をフィルタリングするには 、次の フィルタを使用します。<plugin configuration name>

NetskopeテナントのURLリストにIoC（侵害指標）が追加されたことが、ここで確認できます。

その後、共有されていたIoCの一部が撤回済みとしてマークされたため、URLリストから削除されました。

プッシュ通知を検証する

Anomaliに共有されたIoCは、Cloud ExchangeのLoggingで入手可能なログから確認できます。

Anomali プラットフォームで、 Analyze > Observables, IOCに移動します。 Cloud ExchangeからプッシュされたIoCには、 Netskope -ceというタグが追加されます。

注記

また、 IoC ソースのラベル付けを使用して、ソース プラグインに応じて共有 IOC をフィルタリングすることもできます。 例えば、 テナントから取得した共有IoCをフィルタリングするには、Netskope このフィルタをタグとして使用できます：
タグ形式：「Netskope CE |<source plugin name> 」

Anomali ThreatStreamプラグインのトラブルシューティング

Anomali ThreatStream プラットフォームから IoC をプルできません

プラグインの設定後、プラットフォームからIoCが取得されない場合は、以下のいずれかの理由が考えられます。

• プラットフォーム上には、取得可能なIoC（侵害指標）がありません。
• 指定された時間範囲でIoCが利用できないか、構成パラメータと一致しません。

What to do: 上記で述べた根本原因を特定し、次の2つのセクションのいずれかに従って問題を解決してください。

No IoCs are available on the platform to pull

プラットフォーム上でIoCが利用可能かどうか確認してください。可能であれば、次のセクションで説明する解決策を確認してください。

指定された期間のIoCは利用できません

プラットフォーム上でIoCが取得可能であるにもかかわらず、プラグインがCloud ExchangeでIoCを取得していない場合は、プラグイン設定の初期範囲パラメータで指定されている日数を確認してください。Anomali プラットフォームで、指定された時間範囲のデータがあるかどうかを確認します。

指定された期間のデータがまだ利用可能な場合、プラグイン構成で指定されたフィルタの IoC が利用できない可能性があるため、プラグイン構成パラメータの値を確認し、Anomali プラットフォームで同じフィルタを適用してください。

また、IoCを取得するためにポーリングを有効にする際に、 Yesが選択されていることを確認してください。

IoCをAnomaliにプッシュできません

プラットフォーム上でIoCをプッシュできず、プッシュ中にエラーが発生する場合は、ユーザーの 権限 が不足している可能性があります。

IoC は CE からプッシュされますが、Anomali プラットフォームでは利用できません

IoC（侵害指標）がプッシュされたにもかかわらずプラットフォームに反映されない場合は、IoCの数が多すぎることが原因である可能性があります。Anomaliにデータが共有された場合、プラットフォームに反映されるまでに時間がかかることがあります。1ページあたりに共有できるデータ量は最大で10MBです。

What to do: 送信されたデータは反映されますが、反映には時間がかかる場合があり、数分から数時間かかることもありますので、データが反映されるまでお待ちいただくことをお勧めします。

既知の行動

プラグインのワークフローを検証する際に確認された事項は以下のとおりです。

• IoC が共有された後、単一レコードの複数の IoC が Anomali ThreatStream プラットフォーム上に作成される場合があります。
• 取り込まれた IoC がプッシュされた後、Anomali プラットフォームに反映されるまでに時間がかかる場合があります。 これには数分かかる場合もあれば、場合によっては数時間かかることもあります。
• Cloud Exchange からの不明な深刻度は Anomali にマッピングされないため、不明な深刻度で IoC が共有されると、プラットフォームは独自の深刻度を計算し、それを IoC に割り当てます。
• IoCが更新されたiTypeで再共有された場合、IoCのiTypeは更新されません。
• 場合によっては、一致する値を持つ IoC が既に期限切れインジケーターとして Anomali ThreatStream プラットフォーム上に存在する場合、同じ IoC をプッシュするための API 呼び出しが成功した場合でも、プラットフォームは既存の IoC を変更または更新しません。
• API呼び出しで共有された特定のURLは、APIによって受け入れられた場合でも、Anomali ThreatStreamのUIに表示されない場合があります。これは、プラットフォーム側で追加のフィルタリングや検証が適用されていることが原因である可能性があります。
• Anomali APIはAPIレスポンスで複数のIoCオブジェクトを提供しますが、場合によってはIoCの値は同じでも、深刻度や評判などの他のパラメータが異なる場合があります。