Threat Exchange 用 AWS GuardDuty プラグイン

このドキュメントでは、AWS GuardDuty とNetskope Cloud ExchangeプラットフォームのCloud Threat Exchangeモジュールの統合を設定する方法について説明します。 このプラグインは、AWS GuardDuty プラットフォームから URL (IPv4 およびドメイン) とハッシュ (SHA256) を取得します。 このプラグインは、AWS GuardDutyへのインジケーターの送信をサポートしていません。

前提条件

この設定を完了するには、以下が必要です。

AWS GuardDutyプラグインのサポート

マッピング

重症度マッピング

Netskopeの重要度	AWS GuardDuty Severity
<1	未知
1.0 – 3.9	低い
4.0 – 6.9	中くらい
7.0 – 8.9	高い
9.0 – 10.0	致命的

プル（Netskopeフィールド - AWS GuardDutyフィールド）のマッピング

Netskope Cloud Exchangeインジケーターフィールド	AWS GuardDuty フィールド
value	EbsVolumeScanDetails Mapping Service.EbsVolumeScanDetails.ScanDetections.ThreatDetectedByName.ThreatNames.FilePaths.FileName.Hash NetworkConnectionAction Mapping Service.Action.NetworkConnectionAction.RemoteIpDetails.IpAddressV4 PortProbeAction Mapping Service.Action.PortProbeAction.PortProbeDetails.RemoteIpDetails.IpAddressV4 DnsRequestAction Mapping Service.Action.DnsRequestAction.Domain
タイプ	EbsVolumeScanDetails Mapping SHA256 NetworkConnectionAction Mapping URL PortProbeAction Mapping URL DnsRequestAction Mapping URL
firstSeen	EbsVolumeScanDetails Mapping Service.EventFirstSeen NetworkConnectionAction Mapping Service.Action.EventFirstSeen PortProbeAction Mapping Service.Action.EventFirstSeen DnsRequestAction Mapping Service.Action.EventFirstSeen
lastSeen	EbsVolumeScanDetails Mapping Service.EventLastSeen NetworkConnectionAction Mapping Service.Action.EventLastSeen PortProbeAction Mapping Service.Action.EventLastSeen DnsRequestAction Mapping Service.Action.EventLastSeen
重大度	EbsVolumeScanDetails Mapping Service.EbsVolumeScanDetails.ScanDetections.HighestSeverityThreatDetails.Severity NetworkConnectionAction Mapping 重大度 PortProbeAction Mapping 重大度 DnsRequestAction Mapping 重大度
tags	EbsVolumeScanDetails Mapping Service.EbsVolumeScanDetails.Sources }}+ {{GuardDuty-public if PublicIp is present in NetworkInterfaces + GuardDuty-private if PrivateIpAddress is present in NetworkInterfaces NetworkConnectionAction Mapping Resource.InstanceDetails.Tags + NetworkConnectionAction.Blocked=<value> + NetworkInterfaces に PublicIp が存在する場合、GuardDuty-public を実行します。 NetworkInterfacesにPrivateIpAddressが存在する場合、GuardDuty-privateとなる。 PortProbeAction Mapping portProbeAction.Blocked= <value> + Resource.InstanceDetails.Tags + GuardDuty-public (NetworkInterfaces に PublicIp が存在する場合) + GuardDuty-private (NetworkInterfaces に PrivateIpAddress が存在する場合) DnsRequestAction Mapping DnsRequestAction:Blocked: <value> +Resource.InstanceDetails.Tags +GuardDuty-public (NetworkInterfaces に PublicIp が存在する場合) +GuardDuty-private (NetworkInterfaces に PrivateIpAddress が存在する場合)
コメント	EbsVolumeScanDetails Mapping Arn の検索: Arn、TriggerFindingId:Service.EbsVolumeScanDetails.TriggerFindingId、Name:Service.EbsVolumeScanDetails.ScanDetections.ThreatDetectedByName.ThreatNames.FilePaths.FileName.Hash.Filename  ファイルパス:Service.EbsVolumeScanDetails.ScanDetections.ThreatDetectedByName.ThreatNames.FilePaths.FilePath、デスクリプション:デスクリプション NetworkConnectionAction Mapping 検索 ARN: Arn、検索タイプ: Type、デスクリプション: デスクリプション PortProbeAction Mapping 検索 ARN: Arn、検索タイプ: Type、デスクリプション: デスクリプション DnsRequestAction Mapping 検索 ARN: Arn、検索タイプ: Type、デスクリプション: デスクリプション、

 

権限

プラグインワークフローのためにIAMユーザーに付与する必要のある権限は以下のとおりです。

• GetFindings
• ListFindings

APIの詳細

使うAPI一覧

このプラグインは、Python (Boto3 v1.34.44) ライブラリを使用して、AWS GuardDuty プラットフォームから結果を取得します。
ライブラリ: AWS SDK for Python (Boto3 v1.34.44)
使用方法: AWS SDK for Python (Boto3) を使用して、Amazon Elastic Compute Cloud (Amazon EC2) や Amazon Simple Storage Service などの AWS サービスを作成、構成、管理します

GuardDutyクライアントオブジェクトの作成

guardduty_client = boto3.Session(
    aws_access_key_id=self.aws_public_key,
    aws_secret_access_key=self.aws_private_key,
    region_name=self.configuration["region_name"].strip()
    config=Config(proxies=self.proxy, user_agent=self.useragent),
).client("guardduty")

調査結果一覧

findings = guardduty_client.list_findings(
     DetectorId=detection_id,
     MaxResults=1,
     SortCriteria={"AttributeName": "updatedAt", "OrderBy": "ASC"},
  )

ページネーション付き検索結果一覧

paginator = guardduty_client.get_paginator("list_findings")
    page_iterator = paginator.paginate(
      DetectorId=self.configuration["aws_detector_id"].strip(),
      FindingCriteria={
        "Criterion": {
          "updatedAt": {
            "Gte": int(checkpoint.timestamp() * 1000),
          }
        }
      },
       SortCriteria={"AttributeName": "updatedAt", "OrderBy": "ASC"},
    )

調査結果を見る

guardduty_client.get_findings(
         DetectorId=detection_id,
         FindingIds=finding_ids,
)

パフォーマンスマトリックス

このプラグインは、AWS GuardDutyから288件の検出結果を取得してテスト済みです。 これらの検出結果からインジケーターを取得してNetskope CEに保存するのに約15秒かかります。

スタックの詳細	サイズ：L RAM: 32 GB CPU: 16コア
AWS GuardDutyから取得した指標	~ 1K per minute
AWS GuardDutyに共有される指標	NA

ユーザーエージェント

• netskope-ce-5.0.0-cte-aws-guardduty-v1.1.0

ワークフロー

再生ボタンをクリックして動画をご覧ください。

AWS GuardDuty のポリシーを作成する

1. AWSコンソールでIAM Servicesに移動してください。
2. Create policiesをクリックしてください。
3. 「サービス」で「警備業務」 Select 。
   
4. Select GetFindings と ListFindings。
5. Nextをクリックしてください。
6. ポリシー名を追加してください。
   
7. Create Policy .
   をクリックしてください

プラグイン認証方法

IAMロールAnywhereの設定

前提条件

プラグインを認証するには、 AWS Certificate Managerサービスを有効にする必要があります。 AWS IAM Roles Anywhere認証方法。

注：プライベート認証局、トラストアンカー、およびプロファイルは、AWS S3ソースバケットが存在するリージョンと同じリージョンに作成してください。

IAM ポリシーを作成する

これは プライベート CA 証明書を作成するために必要な権限 (トラスト アンカーとプロファイルを作成するための権限を含む) と IAM ロール Anywhere が含まれています。

1. ポリシージェネレーターにアクセスし、Add Statementをクリックしてポリシーを生成してください。
   • ポリシーの種類Select : IAM ポリシー
   • 効果：許可する
   • AWSサービス: AWSプライベート認証局
   • アクション:
     • 証明書認証局を作成する
     • 認証局について説明します
     • 証明書を取得する
     • 認証局証明書を取得する
     • GetCertificateAuthorityCsr
     • 輸入証明書認証局証明書
     • 証明書の発行
     • 認証局一覧
   • ARN: *
2. Add Statementをクリックしてください。
   • ポリシーの種類Select : IAM ポリシー
   • 効果：許可する
   • AWSサービス：AWS Identity and Access Management（IAM）
   • アクション:
     • 役割ポリシーを添付する
     • CreateAccessKey
     • ロールの作成
     • 役割を削除
     • パスロール
   • ARN: *
3. Add Statement .
   をクリックしてください
   • ポリシーの種類Select : IAM ポリシー
   • 効果：許可する
   • AWSサービス: AWS証明書マネージャー
   • アクション:
     • 証明書の説明
     • 輸出証明書
     • 証明書を取得する
     • 証明書一覧
     • 証明書のタグ一覧
     • 証明書のリクエスト
   • ARN: *
4. Add Statementをクリックしてください。
   • ポリシーの種類Select : IAM ポリシー
   • 効果：許可する
   • AWS サービス: AWS Identity and Access Management ロールをどこでも
   • アクション:
     • プロフィールの作成
     • CreateTrustAnchor
     • プロフィールを取得する
     • GetTrustAnchor
     • プロフィール一覧
     • リストトラストアンカー
   • ARN: *
5. Add Statementをクリックしてください。
6. Generate Policyをクリックしてください。
7. ポリシーをそのままコピーし、プライベート CA 証明書の作成に必要なポリシーを作成する次の手順で使用します。
8. AWS コンソールに移動し、 All ServicesからIAM 選択します。左側のパネルからPoliciesをクリックし、 Create Policyをクリックします。
   
9. ポリシーをJSONタブにコピーし、 Next: Tags とNext: Review.をクリックしてください。
10. 名前を入力して、 Netskope-ce-rolesAnywhere-policyのようなものをクリックし Save Changes。

プライベート認証局を作成する

1. AWSコンソールにログインしてください。
2. Certificate Managerを検索します。
3. AWS Private CAをクリックしてください。
4. Create a private CAをクリックしてください。
5. Mode OptionsにはGeneral-purpose Select 。
6. Select Root CA type options。
7. 組織名（O）を入力してください。
8. Select RSA 2048 Key algorithm options。
9. Add tags if any (optional).
10. CA permissions optionsセクションのチェックボックスを有効にしてください。
11. Pricingセクションのチェックボックスを有効にしてください。
12. CA証明書を作成するには、 Createをクリックしてください。
13. ActionsからInstallを選択します。
14. Confirm and Installをクリックしてください。

信頼の基盤を築く

1. IAM サービスを検索し、アクセス管理の下にあるRolesに移動します。「Roles Anywhere」までスクロールダウンして、 Manageを選択します。
2. Create a Trust anchorをクリックしてください。
3. Enter the Trust anchor name, like netskope-ce-trust-anchor.
4. AWS Certificate Manager Private CA （前の手順で作成したもの）を Certificate authority (CA) sourceとしてSelect 。
5. 必要に応じてタグを追加してください。
6. Create a trust anchorをクリックしてください。
7. 作成されたTrust Anchor をクリックして Trust Anchor ARNをコピーします。

IAMロールを作成する

1. AWSコンソールでIAMサービスに移動してください。
2. Click Role under Access management.
3. Create Roleをクリックしてください。
4. 信頼できるエンティティタイプには、 Custom Trust Policyを選択してください。
5. ポリシー生成ツールへ移動してください。
6. カスタム信頼ポリシーを以下の信頼ポリシーに置き換えます。このポリシーには、ロールどこでもサービスを使用するためのアクセス許可が含まれています。

   {
       "Version": "2012-10-17",
       "Statement": [
           {
               "Effect": "Allow",
               "Principal": {
                   "Service": [
                       "rolesanywhere.amazonaws.com"
                   ]
               },
               "Action": [
                   "sts:AssumeRole",
                   "sts:TagSession",
                   "sts:SetSourceIdentity"
               ]
           }
       ]
   }


7. Nextをクリックしてください。
8. [アクセス許可ポリシー] で、以前に作成したバケット ポリシーを選択します。
9. Nextをクリックしてください。
10. Netskope -ce-roleAnywhereのようなロール名を指定し、そのロールのデスクリプションを追加します。 
11. Create roleをクリックしてください。
12. Role ARN をメモしておいてください。これは、認証方法AWS IAM Roles AnywhereのRole ARNであるプラグイン構成パラメータで必要になります。

プロフィールを作成する

1. Select Roles under Access management.
2. 下にスクロールして Roles Anywhere まで行き、  Manageをクリックしてください。
3. Setup stepsを展開します。
4.  Step 2: Configure rolesをクリックしてください。
5. Configure a profileをクリックしてください。
6. Netskope -ce-profile のように、プロファイル名を入力してください。
7. Create IAM Role セクションで作成されたロールSelect : Netskope -ce-roleAnywhere。
8. Inline Policyを削除します。
9. Create profileをクリックしてください。
10. 作成された Profile をクリックして Profile ARNをコピーします。

プライベート証明書をリクエストする

1. AWS Certificate Manager > Request certificateへ移動してください。
2. Select Request a private certificate。
3. Nextをクリックしてください。
4. 前の手順で作成した認証局Select 。
5. 完全修飾ドメイン名フィールドに、 Netskope -ce.comのようにドメイン名を入力してください。
6. Key algorithmにはRSA 2048 Select 。
7. 必要に応じてタグを追加してください。
8. 証明書の更新権限を承認してください。
9. Requestをクリックしてください。
10. AWS Certificate Manager のナビゲーション ペインからList certificatesに移動します。
11. 以前に作成した証明書Select 。
12. Exportをクリックしてください。
13. passphrase. を入力してください。パスフレーズはAWS S3プラグインの設定に必要となるため、メモしておいてください。 AWS IAM Roles Anywhere認証方式。
14.  Generate PEM Encodingをクリックしてください。
15. Certificates はすべてダウンロードしてください。二度と表示されなくなります。新しい証明書の場合は再度エクスポートする必要があります。 詳細については、 AWS IAM Role Anywhereを参照してください。

AWSにデプロイされた構成

役割を作成する

1. AWSコンソールでIAMサービスに移動します。
2. Create roleをクリックしてください。
3. AWS ServiceをSelect 。
4. 使うケースには、 EC2を選択します。
5. Nextをクリックしてください。
6. バケット ポリシーで作成された権限ポリシーSelect 。
7. Nextをクリックしてください。
8. Netskope -ce-instance-role のようなロール名を入力し、デスクリプションを追加します。 
9. Create Roleをクリックしてください。Note: この構成では、NetskopeインスタンスとS3バケットの両方が同じ領域にあるべきです。

EC2インスタンスにロールを割り当てる

1. EC2インスタンスのコンソールを開きます。
2. Click Instances under Instances.
3. Action > Security > Modify IAM Roleへ移動してください。
4. 以前に作成したロールSelect （例： Netskope -ce-instance-role）。
5. Update IAM Roleをクリックしてください。

AWS GuardDutyプラグインの設定

1. CEインスタンスにログインしてSettings > Pluginsに移動してください。
2. プラグインを設定するには、AWS GuardDutyプラグインのボックスを検索して選択します。
   
3. 以下の値を入力してください。
   • 構成名：構成の一意の名前。
   • 同期間隔：デフォルトのままにしてください。
   • 有効期限基準：プラグインの有効期限（日数）。（デフォルト値：90）
   • 評判の上書き：この設定から受信した指標の評判を上書きする値を設定します。
   • SSL検証を有効にする：SSL証明書の検証を有効にします。
   • システムプロキシ：通信にプロキシが必要な場合は有効にしてください。
     
4. Nextをクリックしてください。
5. 以下の値を入力してください。
   • 認証方法：認証に使用する方法Select （AWS/AWS IAMロールAnywhereにデプロイ）
   • 秘密鍵：AWSプライベートCA証明書を復号化するための秘密鍵。AWS IAM Roles Anywhere認証タイプに必須です。
   • 証明書本体：AWSパブリック/プライベートCA証明書の証明書本体。AWS IAM Roles Anywhere認証タイプに必須です。
   • パスワードフレーズ：CA証明書を復号するためのパスワードフレーズ。AWS IAM Roles Anywhere認証タイプに必須です。
   • プロファイルARN：AWSクライアント認証用のAWSプロファイルARN。AWS IAMロールの認証タイプ.に必須
   • ロールARN：AWSクライアント認証用のAWSロールARN。AWS IAM Roles Anywhere認証タイプに必須です。
   • トラストアンカーARN：AWSクライアント認証用のAWSトラストアンカーARN。AWS IAM Roles Anywhere認証タイプに必須です。
   • リージョン名：GuardDutyサービスが実行されているリージョン。リージョン名が、プロファイルARNおよびトラストアンカーARNのリージョン名と一致していることを確認してください。
   • 検出器ID：検出器固有のID。
   • 初期範囲（日数）：初回実行時にデータを取得する日数。
     
6. Saveをクリックしてください。

AWS GuardDuty のビジネスルールを追加する

AWS GuardDutyから取得した指標をNetskope CEに共有するには、共有したい指標をフィルタリングするビジネスルールが必要です。ビジネスルールを設定するには、以下の手順に従ってください。

1. Threat Exchange > Business Ruleに移動してCreate New Ruleをクリックしてください。
2. ルールに、要件に応じたフィルターを追加してください。

Validate the AWS Guardduty Plugin

プルを検証する

抽出されたデータは、脅威IoC（侵害指標）ページに掲載されます。プラットフォームから取得した IoC をフィルタリングするには、フィルタを使用します: sources.source " "<plugin name> のようにします。CEのログもプラグイン名でフィルタリングできます。

AWS GuardDuty プラットフォームでは、インジケーターは GuardDuty > 調査結果から取得されます。

プッシュ通知を検証する

Cloud Exchange でプッシュを検証するには、 Threat Exchange > Loggingに移動して、共有ログを Netskope でフィルタリングします。

Netskopeテナントから確認するには：

1. Netskopeテナントにログインしてください。
2. Policiesをクリックしてください。
3. Fileをクリックしてください（Sha256の場合）。
4. 共有を設定する際に使用するファイル名を入力してください。 共有を設定する際に使用します。
   
5. URLの場合：（IPv4とドメイン）。
6. Web > URL Listsをクリックしてください。
7. 設定時に表示された URL リストをクリックしてください 共有設定時に
   

トラブルシューティング

AWS にデプロイしたプラグインの設定中に問題が発生した場合は、

EC2インスタンスに割り当てられているIAMロールを確認してください。