Log Shipper 用 AWS SQS プラグイン

このドキュメントでは、 Netskope Cloud Exchangeの Log Shipper モジュール用に AWS SQS プラグインを設定する方法について説明します。このプラグインは、AWS SQS プラットフォームへのアラート (DLP、マルウェア、ポリシー、侵害されたクレデンシャル、マルサイト、隔離、修復、セキュリティ評価、ウォッチリスト、CTEP、UBA) データの取り込みをサポートします。 プラグインにアクセスするには、AWS のクレデンシャルが必要です。 注：このプラグインは、AWS SQSキューへのJSON形式でのデータ取り込みをサポートしています。

前提条件

この設定を完了するには、以下が必要です。

• Netskopeテナント（または、例えば本番環境と開発／テスト環境など、複数のテナント）。
• Netskope Cloud Exchangeテナントには、テナントプラグインとログシッパープラグインが既に設定済みです。
• AWS SQSへの接続。
• 次のホストへの接続: https:// <aws_region> .console.aws.amazon.com/。例：https://us-east-1.console.aws.amazon.com/
• AWS SQSサービスへのアクセス。

AWS SQSプラグインのサポート

AWS SQS プラグインは、 Netskopeアラート データを AWS SQS キューに取り込むために使用されます。 このプラグインは、JSON形式のデータをSQSキューに送信することをサポートしています。

イベントの種類	サポートされていません
アラートの種類	はい (DLP、マルウェア、ポリシー、侵害されたクレデンシャル、マルサイト、検疫、修復、セキュリティ評価、ウォッチリスト、CTEP、UBA)
ログの種類	サポートされていません
WebTxサポート	サポートされていません

マッピング

Netskopeフィールド	AWS SQSフィールド
alert_name	名前
alert_type	タイプ

権限

Amazon SQSキューにアラートデータを送信するためのIAMユーザーへの権限付与。SQSキューポリシーの作成に記載されている手順に従ってください。

APIの詳細

使うAPI一覧

このプラグインは使うPythonライブラリを使ってAWS SQSでデータを作成・取り込みます。
ライブラリ:AWS SDK for Python(Boto3)。
使用方法：AWS SDK for Python（Boto3）を使用して、Amazon Simple QueueなどのAWSサービスを作成、設定、管理します。Amazon SQS、Amazon Elastic Compute Cloud (Amazon EC2)、Amazon Simple Storage Service (Amazon S3)。SDKはオブジェクト指向APIとAWSサービスへの低レベルアクセスを提供します。
Creating the SQS Client :

sqs_client= boto3.client(
                "sqs",
                aws_access_key_id=self.aws_public_key,
                aws_secret_access_key=self.aws_private_key,
                aws_session_token=self.aws_session_token,
                region_name=self.region_name,
                config=Config(proxies=self.proxy, user_agent=self.useragent),
            )

Creating a Queue:

queue= sqs_client.create_queue(
                        QueueName=queue_name
                    )

Getting a Queue URL:

queue_url = sqs_client.get_queue_url(
                        QueueName=queue_name
                    )

Sending Messages in a Batch:

response = sqs_client.send_message_batch(
                         QueueUrl=queue_url, Entries=batches
                      )

パフォーマンスマトリックス

このパフォーマンス測定値は、下記のVM仕様でテストされた大規模スタックCEに関するものです。以下の測定値は、約10KBのファイルを21秒で取り込むことを前提として追加されています。

スタックの詳細	サイズ：大　RAM：32GB CPU: 16コア
イベント、アラートはサードパーティのSIEMに取り込まれる。	200K EPM

ユーザーエージェント

netskope-ce-5.0.1-cls-aws_sqs-v1.0.0

ワークフロー

1. AWS SQSキューとキューポリシーを作成します。
2. プライベートキー、証明書ボディ、パスワードフレーズ、プロファイルARN、ロールARN、トラストアンカーARNを生成します。 認証にはAWS IAM Role Anywhereを使用します。 または、別の AWS 認証構成を使用します。
3. Create a Queue.
4. AWS SQSアラートプラグインを設定します。
5. ビジネスルールを設定します。
6. SIEMマッピングを設定します。
7. プラグインを検証してください。

再生ボタンをクリックして動画をご覧ください。

Create AWS SQS Queue

ここで作成されたキュー名は プラグインの設定時に「キュー名」パラメータに使用されます。

1. キューを作成し、必要なポリシーを設定するには、AWSコンソールにログインしてください。
2. 「すべてのサービス」からSimple Queue Serviceを検索して選択します。
3. Create queue .
   をクリックしてください
4. タイプにはStandardを選択してください。キューの名前を入力してください。
5. 必要に応じて設定情報を提供してください。
   
6. サーバー側の暗号化を有効にし、暗号化キーのタイプとしてAmazon SQS Keyを選択します。
   
7. 要件に応じて、アクセス ポリシー、リドライブ許可ポリシー、配信不能キュー、およびタグをSelect 。 「作成」をクリックしてください。
   
8. キューが正常に作成されました。
   

SQSキューポリシーを作成する

1. IAMを検索し、左側のパネルでPoliciesをクリックします。
   
2. Create policy .
   をクリックしてください
3. JSONタブをクリックし、以下のポリシーを入力してください。Next: TagsをクリックしてからNext: Reviewクリックしてください。

   {
       "Version": "2012-10-17",
       "Statement": [
           {
               "Sid": "VisualEditor0",
               "Effect": "Allow",
               "Action": [
                   "sqs:GetQueueUrl",
                   "sqs:SendMessage",
                   "sqs:CreateQueue"
               ],
               "Resource": "arn:aws:sqs:*:XXXXXXXXXXX:*"
           },
           {
               "Sid": "VisualEditor1",
               "Effect": "Allow",
               "Action": "sqs:ListQueues",
               "Resource": "*"
           }
       ]
   }
   

4. 名前を入力してCreate Policyをクリックしてください。
   
5. このポリシーをユーザーに添付してください。IAM > Usersへ移動してください。権限を付与したいユーザーSelect 、 Add permissionsをクリックしてから、「権限オプションの追加」をクリックします。
   
6. 「権限」でAttach policies directly Select 、 前の手順でソースキュー用に作成したものを検索して選択します。
   
7. Nextをクリックしてから、 Add permissionsをクリックしてください。このポリシーはユーザーに紐付けられます。
   

プラグイン認証方法

IAMロール認証（あらゆる場所で認証）

前提条件

プラグインを認証するには、 AWS Certificate Managerサービスを有効にする必要があります。 AWS IAM Roles Anywhere認証方法。

プライベート認証局、トラストアンカー、およびプロファイルは、AWS S3ソースバケットが存在するリージョンと同じリージョンに作成してください。

ポリシーを作成する

この には、プライベート CA 証明書の作成に必要な権限 (トラスト アンカーとプロファイルの作成権限を含む) と IAM ロール Anywhere が含まれています。

1. ポリシー ジェネレーターに移動し、ポリシー タイプとして IAM ポリシーを選択し、ステートメントの追加の詳細を入力して、ポリシーを生成します。
   • ポリシーの種類Select : IAM ポリシー
   • 効果：許可する
   • AWSサービス: AWSプライベート認証局
   • アクション:
     • 証明書認証局を作成する
     • 認証局について説明します
     • 証明書を取得する
     • 認証局証明書を取得する
     • GetCertificateAuthorityCsr
     • 輸入証明書認証局証明書
     • 証明書の発行
     • 認証局一覧
   • ARN: *
2. 「ステートメントの追加」をクリックしてください。
   

   

3. 上にスクロールして、別の文を追加してください。
   • ポリシーの種類Select : IAM ポリシー
   • 効果：許可する
   • AWSサービス：AWS Identity and Access Management（IAM）
   • アクション:
     • 役割ポリシーを添付する
     • CreateAccessKey
     • ロールの作成
     • 役割を削除
     • パスロール
   • ARN: *
4. 「ステートメントの追加」をクリックしてください。
   

   

5. 上にスクロールして、別の文を追加してください。
   • ポリシーの種類Select : IAM ポリシー
   • 効果：許可する
   • AWSサービス: AWS証明書マネージャー
   • アクション:
     • 証明書の説明
     • 輸出証明書
     • 証明書を取得する
     • 証明書一覧
     • 証明書のタグ一覧
     • 証明書のリクエスト
   • ARN: *
6. 「ステートメントの追加」をクリックしてください。
   

   

7. 上にスクロールして、別の文を追加してください。
   • ポリシーの種類Select : IAM ポリシー
   • 効果：許可する
   • AWS サービス: AWS Identity and Access Management ロールをどこでも
   • アクション:
     • プロフィールの作成
     • CreateTrustAnchor
     • プロフィールを取得する
     • GetTrustAnchor
     • プロフィール一覧
     • リストトラストアンカー
   • ARN: *
8. 「ステートメントの追加」をクリックしてください。
   

   

9. 「ポリシーの生成」をクリックしてください。
   

   

10. ポリシーは、プライベート CA 証明書の作成に必要なポリシーを作成する次の手順で使用するため、コピーします。
11. AWSコンソールにアクセスし、 「すべてのサービス」から「IAM」を選択します。左側のパネルで「ポリシー」をクリックし、 「ポリシーの作成」をクリックします。
    

    

12. ポリシーを JSON タブにコピーし、 [次へ:タグ]をクリックしてから、 [次へ:レビュー
    をクリックします。

    

13. 名前( Netskope -ce-rolesAnywhere-ポリシーなど)を入力し、 「変更を保存」をクリックします。
    

    

プライベート認証局を作成する

1. AWSコンソールにログインしてください。
2. 証明書マネージャーを検索します。
   

   

3. AWSプライベートCAをクリックします。
4. 「プライベートCAを作成」をクリックしてください。
   

   

5. モードオプションで「汎用」を選択してください。
6. CAタイプのオプションでは、 「ルート」を選択してください。
   

   

7. ここで 組織(O)が登場します。
   

   

8. キーアルゴリズムのオプションで、 RSA 2048を選択してください。
   

   

   

9. タグを追加 該当する場合（任意）。
10. CA権限オプションセクションのチェックボックスをオンにしてください。
11. 価格設定セクションのチェックボックスをオンにしてください。
12. CA証明書を作成するには、 「作成」をクリックしてください。
    

    

    

13. 「アクション」から「インストール」を選択します。
    

    

14. 「確認してインストール」をクリックしてください。
    

    

    

信頼の基盤を築く

1. IAMサービスを検索し、アクセス管理の下にある「ロール」に移動し、「ロールAnywhere」までスクロールダウンして「管理」を選択します。
   

   

2. 「信頼関係を作成」アンカー
   をクリックします。

   

3. Netskope-ce-trust-anchor のような 信頼アンカー名 を入力してください。
   

   

4. 認証局 (CA) ソースとして、 AWS Certificate Manager プライベート CA (前の手順で作成済み) Select 。
5. 必要に応じてタグを追加してください。
6. 「信頼アンカーを作成」をクリックしてください。
   

   

   

7. 作成したトラストアンカーをクリックし、トラストアンカーARNをコピーします。
   

   

IAMロールを作成する

1. AWSコンソールでIAMサービスに移動してください。
2. アクセス管理サブメニューの「役割」をクリックします。
3. 「役割の作成」をクリックします。
   

   

4. 「Trusted entity」タイプで「 Custom Trust policy」を選択してください。
   

   

5. Policy Generatorへ移動してください。
6. カスタム信頼ポリシーを以下の信頼ポリシーに置き換えてください。このポリシーには、ロールどこでもサービスを使用するためのアクセス許可が含まれています。

   {
       "Version": "2012-10-17",
       "Statement": [
           {
               "Effect": "Allow",
               "Principal": {
                   "Service": [
                       "rolesanywhere.amazonaws.com"
                   ]
               },
               "Action": [
                   "sts:AssumeRole",
                   "sts:TagSession",
                   "sts:SetSourceIdentity"
               ]
           }
       ]
   }

   

7. 「次へ」をクリックしてください。
8. [アクセス許可ポリシー] で、「SQS キュー ポリシーの作成」で作成したポリシーを選択します。
   

   

9. 「次へ」をクリックしてください。
10. ロール名 ( AWS-SQS-Roleなど) とロールのデスクリプションを指定します。
    

    

11. 「役割の作成」をクリックします。
12. ロールARNをメモしてください これは、認証方法「AWS IAM Roles Anywhere」のプラグイン設定パラメータ「ロールARN」で必要となるためです。
    

    

プロフィールを作成する

1. アクセス管理の下にある「役割」 Select 。
2. 「Roles Anywhere」までスクロールダウンして、 「管理」をクリックします。
   

   

3. セットアップ手順を展開してください。
4. ステップ2：役割の設定をクリックします。
5. 「プロファイルの設定」をクリックしてください。
   

   

6. Netskope -ce-profileのようにプロファイル名を入力してください。
7. 「IAMロールの作成」で作成したロールSelect Netskope -ce-roleAnywhere 。
   

   

8. インラインポリシーを削除します。
9. 「プロフィールを作成」をクリックしてください。
   

   

   

   

10. 作成したプロファイルSelect 、プロファイルARNをコピーします。
    

    

プライベート証明書をリクエストする

1. AWS Certificate Manager > 証明書のリクエストに移動します。
2. Select プライベート証明書をリクエストしてください。
   

   

3. 「次へ」をクリックしてください。
4. 前の手順で作成した認証局Select 。
   

   

5. 完全修飾ドメイン名フィールドに、 Netskope -ce.comのようにドメイン名を入力してください。
6. SelectRSA 2048をキーアルゴリズムとして使います。
   

   

7. 必要に応じてタグを追加してください。
8. 証明書の更新権限を承認してください。
9. リクエストをクリックしてください。
   

   

10. AWS Certificate Manager のナビゲーション ペインから「証明書の一覧」に移動します。
11. 以前に作成した証明書Select 。
    

    

12. エクスポートをクリックしてください。
    

    

13. パスフレーズを入力してください。AWS Security Lakeプラグインの設定に必要となるため、パスフレーズをメモしておいてください。 AWS IAM Roles Anywhere認証方式。
14. 「PEMエンコーディングを生成」をクリックしてください。
    

    

15. すべてダウンロード 証明書 二度と表示されなくなるからです。新しい証明書の場合は、再度エクスポートする必要があります。

詳細については、AWS IAM Role Anywhere を参照してください。

AWS認証

役割を作成する

1. AWSコンソールでIAMサービスに移動してください。
2. 「役割を作成」をクリックします。
   

   

3. AWSサービスSelect 。
4. [使うケース] で[EC2]を選択します。
5. 「次へ」をクリックしてください。
   

   

6. 「AWS SQS ポリシーの作成」で作成したアクセス許可ポリシーSelect 。
7. 「次へ」をクリックしてください。
   

   

8. ロール名( AWS-SQS-Roleなど)を入力し、デスクリプションを追加します。
   
9. 「役割の作成」をクリックします。
   

   

EC2インスタンスにロールを割り当てる

1. EC2インスタンスのコンソールにログインしてください。
2. 「インスタンス」 の下にある 「インスタンス」 をクリックします。
   

   

   

3. 「アクション」>「セキュリティ」>「IAMロールの変更」に移動します。
   

   

4. Select 上で作成した「役割作成」で作成した役割を。 (Netskope-ce-instance-role)
5. 「IAMロールの追加」または「IAMロールの変更」をクリックしてください。
   

   

K8sインスタンスにロールを割り当てる

1. K8sインスタンスを作成する際に、ServiceAccount用に作成されたロールを開きます。
2. 「AWS SQS ポリシーの作成」で作成したポリシーを添付します。

AWS SQSプラグインを設定する

1. Cloud Exchange で、 Settings > Pluginsに移動します。
2. AWS SQSプラグインを検索して選択し、プラグイン作成ダイアログを開きます。
   
3. 構成名を入力してください。JSONデータの送信のみがサポートされているため、変換切り替えボタンを無効にしてください。
   
4. Nextをクリックしてください。
5. Enter values for these parameters:
   • 認証方法：認証に使用する方法Select （AWS/AWS IAMロールAnywhereにデプロイ）
   • 秘密鍵：AWSプライベートCA証明書を復号化するための秘密鍵。AWS IAM Roles Anywhere認証タイプに必須です。
   • 証明書本体：AWSパブリック/プライベートCA証明書の証明書本体。AWS IAM Roles Anywhere認証タイプに必須です。
   • パスワードフレーズ：CA証明書を復号するためのパスワードフレーズ。AWS IAM Roles Anywhere認証タイプに必須です。
   • プロファイルARN：AWSクライアント認証用のAWSプロファイルARN。AWS IAM Roles Anywhere認証タイプに必須です。
   • ロールARN：AWSクライアント認証用のAWSロールARN。AWS IAM Roles Anywhere認証タイプに必須です。
   • トラストアンカーARN：AWSクライアント認証用のAWSトラストアンカーARN。AWS IAM Roles Anywhere認証タイプに必須です。
   • AWS SQSリージョン名: AWSキューを取得するAWS SQSリージョン名。リージョン名が、プロファイルARNおよびトラストアンカーARNのリージョン名と一致していることを確認してください。
   • AWS SQSキュー名：データオブジェクトが格納されるAWS SQSキュー名。
6. Saveをクリックしてください。新しいプラグインはLog Shipper > Pluginsページで利用可能になります。
   

AWS SQS 用のログシッパービジネスルールを設定する

1. ビジネスルールページに移動してください。
2. デフォルトでは、すべてのアラートとイベントをフィルタリングするビジネスルールが設定されています。特定の種類のアラートをフィルターで除外する場合は、[新しいルールの作成] をクリックし、ルール名とフィルターを追加して新しいビジネス ルールを構成します。
   
   

AWS SQS 用のログシッパー SIEM マッピングを設定する

1. Log Shipper > SIEM Mappingsに移動してAdd SIEM Mappingをクリックしてください。
2. Sourceプラグイン(CLS Netskope)、Destinationプラグイン(CLS AWS SQS)、ビジネスルールをSelectし、Saveをクリックします。
3. SIEM マッピングが追加されると、 Netskopeテナントからのデータの取得、変換、AWS SQS キューへの取り込みが開始されます。

   

AWS SQSプラグインを検証する

プルを検証する

Netskopeテナントから指標が取得されていることを確認するには、Netskope CEのログ記録画面に移動してください。抽出されたログを検索してください。

プッシュ通知を検証する

Netskope Cloud Exchangeでプラグインのワークフローを検証するには：

1. ログ記録に移動し、フィルターメッセージに「insted」が含まれるようにして、取り込まれたイベントを検索します。
2. 取り込まれたログはフィルタリングされます。
   

AWS SQSキューへのプッシュを検証するには：

1. AWSコンソールにアクセスしてください。検索バーでQueueを検索し、 Simple Queue Serviceをクリックします。
   
2. プラグインを作成する際に、キューを検索します。 プラグインを作成する際に。
3. キュー名をクリックし、次にSend and receive messagesをクリックします。
   
4. 下にスクロールしてPoll for messagesをクリックしてください。
   
5. 共有されたすべてのデータは以下の通りに表示されます。
   
   特定のアラートは使う 検索メッセージ のテキストボックスから除外できます。 アラートの詳細を表示するには、IDをクリックしてください。アラートの名前とタイプのマッピングを確認するには、「属性」タブをクリックしてください。
   
   
   
   
   
   
   
   
   
   
   
   

トラブルシューティング

CLS AWS SQSプラグインの設定に失敗しました。

CLS AWS SQSプラグインの設定ができない場合、以下のいずれかの理由が考えられます。

• 認証方法としてIAM Role Anywhereを使用する場合、証明書やその他の構成パラメータが同じリージョンに存在しない可能性があります。
• Netskope CEがAWSにデプロイされている場合、 AWSにデプロイされた認証方法では、適切なロールがEC2インスタンスにアタッチされません。
• Invalid values provided to the configuration parameters.
• IAM 権限が AWS プラットフォームでユーザーに提供されていません。

これらの問題を解決するには、以下の手順に従ってください。

1. 証明書およびその他の構成パラメータが同じリージョンで作成されていることを確認してください。
2. EC2インスタンスに適切なロールを割り当てるには、「ロール割り当て」セクションの手順に従ってください。
3. 設定パラメータには有効な値が指定されていることを確認してください。ログページに移動して、ログメッセージを確認してください。
4. ユーザーにIAM権限を付与します 構成パラメータが作成されます。

AWS SQSキューにアラートを送信できません。

AWS SQSキューにアラートをプッシュできない場合は、 CLS AWS SQSプラグインの設定後にキューがAWS SQSから削除されたことが原因である可能性があります。

この問題を解決するには、プラグインの設定を新しいキュー名で更新してください。

AWS SQSキューでアラートが見つかりません。

AWS SQSキューでアラートが見つからない場合は、AWS SQSキューのデフォルトのメッセージ保持期間が4日間であることが原因である可能性があります。アラートがメッセージ保持期間よりも古い場合、アラートは自動的に削除されます。

この問題を解決するには、以下の手順に従ってください。

1. AWS コンソールに移動し、「クレデンシャル」と入力してログインします。
2. 「すべてのサービス」から「シンプルキューサービス」 Selectか、検索バーで「シンプルキューサービス」を検索してください。
3. リストからキューSelect 、「編集」ボタンをクリックしてください。
4. 設定画面で、必要に応じてメッセージ保持期間を更新してください。