Risk Exchange 用 AWS Security Hub OCSF プラグイン

このドキュメントでは、AWS Security Hub OCSF v1.0.0 プラグインを Netskope Cloud Exchange プラットフォームのリスク交換モジュールと連携させる方法について説明します。このプラグインは AWS Security Hub > 商用クラウドの EC2 インスタンス リソースの検出結果からワークロードを取得します。 このプラグインは、セキュリティハブ上での操作をサポートしていません。

前提条件

この統合を完了するには、以下が必要です。

• Netskopeテナント（または、例えば本番環境と開発／テスト環境など、複数のテナント）。
• Netskope Cloud Exchangeテナントには、テナントプラグインとリスクエクスチェンジプラグインが既に設定済みです。
• Amazon AWS Security Hubへの接続。

AWS Security Hubプラグインのサポート 

このプラグインは、AWS Security Hubで利用可能な検出結果から、 aws-ec2-instancesタイプのワークロードレコードを取得します。

マッピング

マッピングは 取得したワークロードとその詳細を表示するためのものです。 プラグイン設定時にマッピングされたフィールドは、データが取得された際にレコードページに表示されます。以下は、プラグインの設定時に推奨されるマッピングです。 プラグインの設定時に使用します。

ワークロードマッピング

権限 

AWS Security Hub が IAM ユーザーに付与するワークロード情報取得権限はGetFindingsです。

securityhub_client = boto3.client(
                "securityhub",
                aws_access_key_id=self.aws_public_key,
                aws_secret_access_key=self.aws_private_key,
                aws_session_token=self.aws_session_token,
                region_name=self.configuration["region_name"].strip(),
                config=Config(
                    proxies=self.proxy,
                    user_agent=self.useragent,
                    retries={
                        "total_max_attempts": 3,
                        "mode": standard
                    }
                ),
            )

{
    "Filters": {
        "CompositeFilters": [
            {
                "StringFilters": [
                    {
                        "FieldName": "resources.type",
                        "Filter": {
                            "Value": "AWS::EC2::Instance",
                            "Comparison": "EQUALS",
                        },
                    }
                ],
                "DateFilters": [
                    {
                        "FieldName": "finding_info.modified_time_dt",
                        "Filter": {
                            "Start": start_time,
                            "End": end_time,
                        }
                    }
                ]
            },
        ]
    },
    "SortCriteria": [
        {
            "Field": "finding_info.modified_time_dt",
            "SortOrder": "desc",
        }
    ],
    "MaxResults": 100,
}

response = securityhub_client.get_findings_v2(**params)

パフォーマンスマトリックス

以下は、これらの仕様を持つ大規模CEスタック上で、50万台のデバイスを使用して実施したパフォーマンスマトリックスです。

ユーザーエージェント

APN/1.1 (ahq9d89xj9gspapczzdb59goq)

ワークフロー

1. AWS Security Hub 認証方法用のクレデンシャルを生成します。
2. AWS Security Hub OCSFプラグインの設定。
3. ビジネスルールを追加します。
4. アクションを追加します。
5. AWS Security Hubプラグインを検証します。

動画を見る

再生ボタンをクリックして動画をご覧ください。

AWS Security Hub ポリシーを作成する

1. 検索ボックスに「IAM」と入力して検索し、左側のパネルでPoliciesをクリックします。

   

2. Create Policyをクリックしてください。

   

3. Click on the JSON tab, and enter this policy. Click Next: Tags, and then click Next: Review.

   {
     "Version": "2012-10-17",
     "Statement": [
       {
         "Sid": "Statement1",
         "Effect": "Allow",
         "Action": [
           "securityhub:GetFindings"
         ],
         "Resource": "*"
       }
     ]
   }

4. 名前を入力してCreate Policyをクリックしてください。

   

5. このポリシーをユーザーに添付してください。IAM > Usersへ移動してください。添付したいユーザーSelect 、 Add permissionsをクリックしてからAdd permissions optionsをクリックします。
6. 「権限」の下にある「 Attach policies directly オプションSelect 、次に、前の手順で作成した ソースキューを検索して選択します。

   

7. Nextをクリックしてから、 Add permissionsをクリックしてください。このポリシーはユーザーに紐付けられます。

プラグイン認証方法

IAMロールAnywhereの設定 

前提条件

プラグインを認証するには、 AWS Certificate Managerサービスを有効にする必要があります。 AWS IAM Roles Anywhere認証方法。

プライベート認証局、トラストアンカー、およびプロファイルは、AWS SQSキューが存在するリージョンと同じリージョンに作成するようにしてください。

ポリシーを作成する

この には、プライベート CA 証明書の作成に必要な権限 (トラスト アンカーとプロファイルの作成権限を含む) と IAM ロール Anywhere が含まれています。

1. ポリシー ジェネレーターに移動し、ポリシー タイプとして IAM ポリシーを選択し、ステートメントの追加の詳細を入力して、ポリシーを生成します。
   • ポリシーの種類Select : IAM ポリシー
   • 効果：許可する
   • AWSサービス: AWSプライベート認証局
   • アクション:
     • 証明書認証局を作成する
     • 認証局について説明します
     • 証明書を取得する
     • 認証局証明書を取得する
     • GetCertificateAuthorityCsr
     • 輸入証明書認証局証明書
     • 証明書の発行
     • 認証局一覧
   • ARN: *
2. Add Statement .
   をクリックしてください
3. 上にスクロールして、別の文を追加してください。
   • ポリシーの種類Select : IAM ポリシー
   • 効果：許可する
   • AWSサービス：AWS Identity and Access Management（IAM）
   • アクション:
     • 役割ポリシーを添付する
     • CreateAccessKey
     • ロールの作成
     • 役割を削除
     • パスロール
   • ARN: *
4. Add Statement .
   をクリックしてください
5. 上にスクロールして、別の文を追加してください。
   • ポリシーの種類Select : IAM ポリシー
   • 効果：許可する
   • AWSサービス: AWS証明書マネージャー
   • アクション:
     • 証明書の説明
     • 輸出証明書
     • 証明書を取得する
     • 証明書一覧
     • 証明書のタグ一覧
     • 証明書のリクエスト
   • ARN: *
6. Add Statement .
   をクリックしてください
7. 上にスクロールして、別の文を追加してください。
   • ポリシーの種類Select : IAM ポリシー
   • 効果：許可する
   • AWS サービス: AWS Identity and Access Management ロールをどこでも
   • アクション:
     • プロフィールの作成
     • CreateTrustAnchor
     • プロフィールを取得する
     • GetTrustAnchor
     • プロフィール一覧
     • リストトラストアンカー
   • ARN: *
8. Add Statement .
   をクリックしてください
9. Generate Policy .
   をクリックしてください
10. ポリシーは、プライベート CA 証明書の作成に必要なポリシーを作成する次の手順で使用するため、コピーします。
11. AWSコンソールに移動し、 All ServicesからIAM を選択します。左側のパネルでPoliciesをクリックし、次にCreate Policyをクリックします。
    
12. ポリシーをJSONタブにコピーし、Next:Tagsをクリックし、Next:Review
    をクリックします。
    
13. 名前 ( Netskope -ce-rolesAnywhere-ポリシーなど) を入力し、 Save Changesをクリックします。
    

プライベート認証局を作成する

1. AWSコンソールにログインしてください。
2. Certificate Manager .
   を検索
3. AWS Private CAをクリックしてください。
4. Create a private CA .
   をクリックしてください
5. Mode Optionsの場合は、 General-purposeを選択してください。
6. CA type optionsの場合、 Rootを選択します。
   
7. Organization (O)を入力してください。
   
8. Key algorithm optionsの場合、 RSA 2048を選択します。
   
9. Add tagsif any (optional).
10. CA permissions optionsセクションのチェックボックスをオンにしてください。
11. Pricingセクションのチェックボックスをオンにしてください。
12. CA証明書を作成するには、 Createをクリックしてください。
    
13.  ActionsからInstall CA Certificateを選択します。
    
14. Confirm and Install .
    をクリックしてください

信頼の基盤を築く

1. IAMサービスを検索し、アクセス管理の下にある「役割」に移動し、「Roles Anywhere」までスクロールダウンしてManageを選択します。
   
2. Create a Trust anchor .
   をクリックしてください
3. Trust anchor nameを入力してください。
   
4.  AWS Certificate Manager Private CA (前の手順で作成したもの) をCertificate authority (CA) sourceとしてSelect 。 前の手順でAWSプライベート認証局で作成した証明書Select 。
5. 必要に応じてタグを追加してください。
6. Create a trust anchor .
   をクリックしてください
   
7. 作成されたトラストアンカーをクリックして、  Trust Anchor ARNをコピーします。これは、認証方法「AWS IAM Roles Anywhere」のプラグイン設定の「Trust Anchor ARN」パラメータで必要になります。
   

IAMロールを作成する

1. AWSコンソールでIAM servicesに移動してください。
2. アクセス管理サブメニューのRoleをクリックします。
3. Create Role .
   をクリックしてください
4. 信頼済みエンティティタイプで、 Custom Trust Policy .
   を選択します。
5. カスタム信頼ポリシーをこの信頼ポリシーに置き換えてください。このポリシーには、ロールをどこでも使用するための権限が含まれています service:{ “Version”: “2012-10-17”, “Statement”: [ { “Effect”: “Allow”, “Principal”: { “Service”: [ “rolesanywhere.amazonaws.com” ] }, “アクション”: [ “sts:AssumeRole”, “sts:TagSession”, “sts:SetSourceIdentity” ] } ] }
6. Nextをクリックしてください。
7. [アクセス許可ポリシー] で、 「AWS Security Hub ポリシーの作成」で作成したポリシーを選択します。
   
8. Nextをクリックしてください。
9. ロール名(例:Netskope-ce-aws-verified-access-role)とデスクリプションを役割に付けます。
   
10. Create roleをクリックしてください。作成した役割を検索し、役割名をクリックします。
    
11. ロール ARN . Tをメモしておいてください。これは、認証方法AWS IAM Roles Anywhereのプラグイン設定のロール ARNパラメータで必要になります。
    

プロフィールを作成する

1. SelectRoles Access management。 
2. 下にスクロールしてRoles Anywhere まで行き、 Manageをクリックしてください。
   
3. セットアップ手順を展開してください。
4. Step 2: Configure rolesをクリックしてください。
5. Configure a profile .
   をクリックしてください
6. プロフィール名を入力してください。
7. Select the role created in the Create IAM Role section.
   
8.  Inline Policy .
   を削除します。
9. Create a profile .
   をクリックしてください
10. 作成したプロファイルSelect 、プロファイルARNをコピーします。
    

プライベート証明書をリクエストする

1. AWS Certificate Manager > Request certificateへ移動してください。
2. SelectRequest a private certificate。 
   
3. Nextをクリックしてください。
4. 前の手順で作成した認証局Select 。
   
5. 完全修飾ドメイン名フィールドに、 Netskopeのようにドメイン名を入力してください。
6. キーアルゴリズムとしてRSA 2048 Select 。
   
7. 必要に応じてタグを追加してください。
8. 証明書の更新権限を承認してください。
9. Request .
   をクリックしてください
10. AWS Certificate Manager のナビゲーション ペインからList certificatesに移動します。
11. 以前に作成した証明書Select 。
    
12. Export .
    をクリックしてください
13. パスフレーズを入力してください. パスフレーズは、AWS Security Lake プラグインの設定に必要となるため、メモしておいてください。 AWS IAM Roles Anywhere認証方法。
14. Generate PEM Encoding .
    をクリックしてください
15. 証明書はすべてダウンロードしてください。一度ダウンロードすると、二度と表示されなくなります。新しい証明書の場合は、再度エクスポートする必要があります。
    

AWS Verified Accessプラグインの設定には、証明書本体と証明書の秘密鍵が必要です。 AWS IAM Roles Anywhere認証方式。 詳細については、 AWS IAM Role Anywhereを参照してください。

AWSにデプロイされた構成マニュアル

役割を作成する

1. AWSコンソールでIAMサービスに移動します。
2. Create role .
   をクリックしてください
3. SelectAWS Service。
4. 使うケースで EC2を選択します。
5. Next .
   をクリックしてください
6. Select 「Create an AWS Security Hub」ポリシーで作成された権限ポリシーをご利用ください。
   
7. Next .
   をクリックしてください
8. ロール名とデスクリプションを入力します。
   
9. Create Role .
   をクリックしてください

EC2インスタンスにロールを割り当てる

1. EC2インスタンスのコンソールにログインしてください。
2. 「インスタンス」の下にあるInstances をクリックしてください。
   
3. Action > Security > Modify IAM Role .
   へ移動してください。
4. Select 上で作成した「役割作成」で作成した役割を。 (Netskope-ce-instance-role)
5. Add IAM RoleまたはModify IAM Roleをクリックしてください。
   

AWS Security Hubプラグインを設定する

1. Cloud Exchangeで Settings > Pluginsに行ってください。AWS Security Hub OCSF v1.0.0 (CRE)プラグインボックスを検索して選択します。
   
2. 設定名を入力し、同期間隔を変更してください。
   

2. 設定パラメータを入力してください。 >
   • Authentication Method: 認証に使用する方法Select （AWS/AWS IAM Roles Anywhereにデプロイ済み）
   • Private Key: AWSプライベートCA証明書を復号するための秘密鍵。「AWS IAM Roles Anywhere」認証タイプに必須です。
   • Certificate Body: AWSパブリック/プライベートCA証明書の証明書本体。「AWS IAM Roles Anywhere」認証タイプに必須です。
   • Password Phrase: CA証明書を復号するためのパスワードフレーズ。「AWS IAM Roles Anywhere」認証タイプに必須です。
   • Profile ARN: AWSクライアント認証用のAWSプロファイルARN。「AWS IAM Roles Anywhere」認証タイプに必須.
   • Role ARN: AWSクライアント認証用のAWSロールARN。「AWS IAM Roles Anywhere」認証タイプに必須です。
   • Trust Anchor ARN: AWSクライアント認証用のAWSトラストアンカーARN。「AWS IAM Roles Anywhere」認証タイプに必須です。
   • AWS Region Name: AWSリージョン名。リージョン名が、プロファイルARNおよびトラストアンカーARNのリージョン名と一致していることを確認してください。
   • Initial Range: 初回実行時にデータを取得するのにかかる日数。

3. Nextをクリックしてください。エンティティのドロップダウンからエンティティをSelectしてください。エンティティフィールドはスキーマエディターのページから作成するか、フィールドドロップダウンから +Add Field オプションで作成できます。 フィールドマッピングを提供してください。推奨されるマッピングについては、 「マッピング」セクションを参照してください。
   

4. Save .
   をクリックしてください

   注記：

   ユーザーを取得するには、検索ID、リソースID、およびIPv4アドレスの各フィールドが必要であり、アプリケーションを取得するにはインスタンスIDが必要です。

AWS Security Hubプラグインにリスクエクスチェンジビジネスルールを追加する

1. Risk Exchange > Business Rulesへ移動してください。
2. 右上隅のCreate New Ruleクリックしてください。
3. ルール名を入力してください。AWS Security Hub OCSFプラグイン用にフィールドが設定されているエンティティをSelect 、要件に基づいてクエリを設定します。 以下の例は、プラグインから取得したデータをフィルタリングするものです。
   
4. Saveをクリックしてください。

AWS Security Hubプラグインにリスク交換アクションを追加する

AWS Security Hub OCSF は、以下のアクションタイプをサポートしています。

No Action

この件に関して、いかなる措置も講じられません。Ticket Orchestrator で UBA アラートを生成するには、 この操作を行い、 [アラート生成]トグルを有効にします。

Steps to configure the Action

1. ユーザーRisk Exchange > Actions > Click on Add Action Configurationへ移動してください。
2. それぞれのドロップダウンリストから、必要なビジネスルール、設定、およびアクションSelect 。
3. アクションを実行する前に承認が必要な場合は、 「承認が必要」トグルを有効にしてください。
4. Saveをクリックしてください。

AWS Security Hubプラグインを検証する

Cloud Exchangeで検証する

AWS Security HubのOCSF調査結果からCloud Exchange内のデバイス取得を検証するには、 Logging にアクセスし、「 CRE AWS Security Hub OCSF [CRE AWS SECURITY HUB] OCSF」のようなメッセージを検索してください。

Cloud Exchangeに保存されているレコードを検証するには、 Risk Exchange > Recordsにアクセスしてください。プラグイン設定でマッピングを追加する際に、エンティティSelect 、レコードを確認してください。

AWS Security Hubで検証する

AWS では、プラグインはAWS Security Hub > Findingsから AwsEc2Instance の詳細を取得します。

AWS Security Hubプラグインのトラブルシューティング

プラグインからワークロードまたはフィールド値を取得できません

AWS Security Hubの検出結果からワークロードを取得できない場合、取得可能なデータがないことが原因である可能性があります。考えられる原因としては、以下が挙げられます。

• 取得できるデータがありません。
• マッピングされたフィールドはありません。

What to do:

1. AWS Security Hub > Findingsへ移動してください。プラグインの設定で指定された期間と同じ期間のデータを取得できるかどうかを確認してください。
2. 調査結果が利用可能であるにもかかわらずまだ取得されていない場合は、それらの調査結果のリソース値を確認してください。EC2インスタンスまたはAwsEc2Instanceリソースタイプを持つ検索結果のみが取得されます。
3. 調査結果が利用可能な場合は、プラグイン内で該当するフィールドがマッピングされていることを確認してください。

プラグインが更新されて追加フィールドを取得するようになった場合、レコードページの既存のレコードには、それらの新しいフィールドの値は含まれないことに注意してください。新しいフィールドは、既存の調査結果のmodified_time_dtフィールドが更新された場合にのみ入力されます。それ以外の場合は、新しく生成された調査結果にのみすべてのフィールドが含まれます。

新しいプラグインの設定中に問題が発生しています

AWS IAM Roles Anywhereを使用して新しいプラグインを作成する際に、プラグインの設定中に以下のエラーが発生した場合：

What to do:
このエラーは、トラストアンカー ARN、ロール ARN、またはプロファイル ARN のいずれかに異なるアカウント ID があることを意味している可能性があります。そのため、提供されたパラメーターが同じアカウントから生成され、同じリージョンであることを確認する必要があります。