脅威交換のためのAPIソースプラグイン

以下のドキュメントでは、Cloud Exchange 用の Threat Exchange API ソースプラグインの設定方法について説明します。API Sourceプラグインを使用すると、APIを呼び出すほぼすべてのサードパーティテクノロジーを統合できます。サードパーティから特定のテクノロジーへのハッシュやURLなどのIoCを共有し、API Sourceが Threat Exchangeによって管理されているIoCを管理できるようにします。

APIソースプラグインの設定

API Sourceプラグインを有効にするには、Cloud ExchangeでSettings > Pluginsに移動し、 API Source (CTE)プラグインボックスを検索して選択します。設定が完了すると、APIインターフェースが侵害指標を管理できるようになります。

以下のパラメータを入力してください。

構成名: このパラメータは、構成の名前を指定するために使用されるだけでなく、IoC エントリ ( /api/cte/indicators/ ) を作成するために API エンドポイントへの POST リクエストのソースフィールドに指定する必要がある必須パラメータでもあります。
有効期限設定基準：指標の有効期限（日数）を設定します。
評判の上書き：この設定から受信した指標の評判を上書きするかどうかを設定します。デフォルト設定を維持するには、0を設定してください。
SSL検証を有効にする：SSL接続の証明書をチェックするかどうかを設定します IoCを交換するため。
システムプロキシ： Cloud Exchangeにプロキシを設定していて、このプラグインで同じプロキシを使用したい場合は、このパラメータを設定してください。

完了したら、 Saveをクリックしてください。設定を保存すると、 Threat Exchange > Pluginセクションにこのプラグインが表示されます。

Create an API Token

プラグインを有効にした後、APIトークンを設定する必要があります。Settings > Users > API Tokensに移動して「新しいトークンを作成」をクリックしてください。

トークンデスクリプションと有効期限を入力し、 Createをクリックします。

トークンが作成されると、 Settings > Users > API Tokensの下に表示されます。トークンはクライアントID（表示）とクライアントシークレット（コピー可能ボタン）で構成されていることにご注意ください。これらのパラメータは、API呼び出しを認証したり、 Cloud ExchangeのIoCを更新したりするために必要です。

APIソースからNetskopeテナントへIoCを共有する

例えば、ケースでAPIソースからNetskopeテナントへのIoCの共有が必要な場合、 Netskopeテナント、ビジネスルール、および共有構成を指定する必要があります。

Configure the Netskope Tenant

Netskopeテナントを指定するには、 Settings > Netskope Tenantに移動してAdd Tenantをクリックします。

以下のパラメータを入力してください。
- 名前：このテナント構成の名前を入力してください。
- テナント名：テナント名を入力してください（goskope.comは含めないでください）。
- V1 APIトークン:Netskopeのテナントから入手可能なV1 APIトークンを入力してください。 Settings > Tools > Rest API v1。
- V2 APIトークン（オプション）：NetskopeテナントのSettings > Tools > Rest API v2から入手できるV2 APIトークンを入力してください。トークンに適切な権限を付与するようにしてください。
- 初期範囲（日数）：初回実行時にデータを取得する必要のある日数を入力してください。
- システムプロキシ： Cloud Exchangeにプロキシを設定していて、このプラグインで同じプロキシを使用したい場合は、このパラメータを設定してください。
Saveをクリックしてください。

Threat Exchange 用の Netskope プラグインを設定する

Cloud Exchangeで Settings > Plugins に行き、 Netskope v1.0.0.0 (CTE)をクリックします。

以下の基本情報パラメータを入力してください：
- 設定名：このプラグインの名前を入力してください。
- テナント: Netskopeテナントを作成した際に定義したテナント構成名を入力してください。
- 経過基準：指標の有効期限（日数）を設定します。
- 評判の上書き：このパラメータを設定すると、この構成から受信したインジケーターの評判を上書きできます。デフォルト設定を維持するには、0を設定してください。
Nextをクリックして、設定パラメータを入力してください。
- ポーリングを有効にする：Netskopeからのポーリングデータを有効または無効にします。
- 脅威データの種類: このプラグインと共有するデータSelect 。指定可能な値は、マルウェア、URL、またはその両方です。
Saveをクリックしてください。

プラグインの設定を保存すると、 Threat Exchange > Plugins下に設定されたプラグインが表示されます。

ビジネスルールを作成する

共有設定を構成する前に、2つの設定間でIoCを共有するための基準を決定するビジネスルールを定義する必要があります。そのためには、T hreat Exchange > Business Rulesに移動してCreate New Ruleをクリックしてください。例えば、以下の「すべての深刻度」と呼ばれるビジネスルールは、考えられるすべての深刻度を持つIoCを選択します。

ルール名を入力してください。
使うルールSelect 。
Saveをクリックしてください。

共有構成を作成する

共有設定を作成するには、 Threat Exchange > Sharingに移動してAdd Sharing Configurationをクリックします。

以下のパラメータを入力してください。
- ソース設定：以前に設定した「APIソース」プラグインの設定名を入力してください。「API Source」プラグインは、IoC（侵害指標）をサードパーティにのみ送信できることに注意してください。Threat Exchange から IoC を読みたい場合は、以下の/api/cte/indicators/エンドポイントに対応する GET メソッドを使用します。つまり、APIソースを宛先構成として挿入することはできません。
- ビジネスルール：以前に定義したビジネスルールの中から、共有する必要のある指標をSelect 。
- 宛先構成：以前に定義したNetskopeテナントの構成を挿入してください。
- 対象：侵害指標を挿入するリストを定義します。URLリストまたはハッシュリストを定義することが可能です。リストはNetskopeテナント内で定義する必要があることにご注意ください。
  カスタム URL リストはPolicies > Profiles > Web > URL Listsから定義できます。ポリシーで適用するには、URLリストをカスタムカテゴリに挿入する必要があります。
  カスタムファイルプロファイルはPolicies > Profiles > Fileから定義できます。ファイルプロファイルをカスタムマルウェアプロファイルに挿入することで、そのプロファイルをポリシーに組み込むことができます。
- リスト名：インジケーターを挿入するリスト（URLまたはファイル）の名前を入力してください。
- リストサイズ：リストのサイズを入力してください（デフォルトは8MBです）。
- デフォルトのURL/ファイルハッシュ: リスト名フィールドが空の場合にインジケーターを挿入する必要があるデフォルトのリストを入力します。
Saveをクリックしてください。

APIドキュメント

API をテストしたい場合は、Cloud Exchange インターフェース内のドキュメント ( Help > API Docs ): https://<Cloud Exchange IP>/api/docs#/Indicators参照してください。特に、以下のエンドポイントが関連します。

GET /api/cte/indicators/ : 指標の一覧を表示します。

POST /api/cte/indicators/ : 複数の指標を挿入/更新します。

PATCH /api/cte/indicators/ : 単一のインジケーターを更新します。

GET /api/cte/dashboards/ : 指標から集計結果を取得します。

DELETE /api/cte/indicators/bulk : インジケーターを一括削除します。

PATCH /api/cte/indicators/bulk : インジケーターを一括更新します。

GET /api/cte/tags: Get configured tags from tenant

POST /api/cte/tags: Create new tags (globally)

DELETE /api/cte/tags:タグをグローバルに削除します

API を使用して IoC を POST および PATCH する例

この例では、インジデントの指標が POST を使用してプッシュされ、作成されDWという名前の API プラグインに URL 指標www.dubya.comが追加されます。テナントに既に存在していた 2 つのタグ「 test_tag 」と「 test_tag2 」が関連付けられています。複数のタグを追加する場合は、それぞれを引用符で囲み、カンマで区切る必要があります。

タグ付きのIoCをPOSTする場合は、GUIまたはAPIを使用して事前にタグを作成する必要があります。

新しいデータで IoC を更新するには、PATCH を使用します。以下の例では、IoCの評判が5から7に上昇しています。

この例では、追加のタグは一切追加されていないことに注意してください。

タグは GUI で削除することも、エンドポイントへの PATCH とともに発行されたremoveコマンドを使用する API 経由で削除することもできますapi/cte/indicators/bulk 。以下の例では、インジケーター「 b53f3c0cd32d7f20849850768da6431e5f876b7bfa61db0aa0700b02873393fa 」からタグ「 abc 」が削除されます。