Threat Exchange 用 Commvault プラグイン

このドキュメントでは、 Netskope Cloud ExchangeのCloud Threat Exchangeモジュールと Commvault v1.0.0 の統合を設定する方法について説明します。 . このプラグインは URL を取得し、それを Commvault プラットフォームにプッシュします。

前提条件

この設定を完了するには、以下が必要です。

Netskopeテナント（または、例えば本番環境と開発／テスト環境など、複数のテナント）。
A URL list on your Netskope Tenant.
Netskopeテナント（または、例えば本番環境と開発／テスト環境など、複数のテナント）。
Netskope Cloud Exchangeテナントには、テナントプラグインと脅威交換プラグインが既に設定済みです。
Commvaultインスタンス。
ホスト名共有中（必要に応じてCommvaultにお問い合わせください）。
次のホストへの接続: Commvault プラットフォーム URL。

プラグインスコープ

Commvault プラグインは、Commvault プラットフォームから URL のタイプの IoC を取得します。このプラグインはCommvaultへのURLを共有します。プラグインにアクセスするには、コマンドセンターAPIのURLとCommvaultアクセストークンが必要です。IoC はCommandCenter > Unusual File Activitiesから取得されます。IoC（侵害指標）は、ホスト名の下にある「脅威スキャンで検出された外部ソフトウェア」タブの同じページに表示されます。

Commvaultプラグインのサポート

取得したインジケーターの種類	URL
共有指標タイプ	URL

マッピング

重大度

Commvaultの重要度	CEの重症度
-1	未知
0-3	低い
4-7	高い
8-10	致命的

プル用のマッピング（Netskopeフィールド - Commvaultフィールド）

Netskope CE Fields	コムボルトフィールド
value	client_hostname
重大度	重症度マッピングを参照してください
タイプ	URL
firstSeen	timeSource
lastSeen	timeSource

Push のマッピング

Netskope CE Fields	コムボルトフィールド
value	client.hostname
lastSeen	anomalyDetectedBy.anomalyDetails.anomalyEvents.detectionTime
lastSeen	anomalyDetectedBy.anomalyDetails.detectionTime
Comment	anomalyDetectedBy.anomalyDetails.anomalyReason
	anomalyDetectedBy.vendorName（ Netskope -ce の場合、これは定数値になります）
	anomalyDetectedBy.anomalyDetails.anomalyEvents.eventId(ランダムUUID 例:456fdd12trhth43)
extendedInformation	anomalyDetectedBy.anomalyDetails.anomalyEvents.eventUrl
	anomalyDetectedBy.anomalyDetails.timesSeen(1常に一定）
	anomalyDetectedBy.anomalyDetails.eventType (URL)

権限

ユーザーに以下の権限を割り当ててください。詳細については、 Commvaultのドキュメントを参照してください。

- CommCellで権限を確認してください。
- 全サーバーにおけるエージェント管理。
- すべてのサーバーに対するアクセス権限を表示します。

APIの詳細

Validate

API Endpoint:

<Command Center API URL>/commandcenter/api/Events

Method: 得る

Headers:

鍵	Value
Accept	アプリケーション/json
authToken	<Commvault Access Token>

Sample API Response:

{
  "commservEvents": [
    {
      "severity": 9,
      "eventCode": "117440845",
      "acknowledge": 0,
      "eventCodeString": "7:333",
      "subsystem": "cvd",
"description": “<event_description>",
      "id": 115920200,
      "timeSource": 1702291179,
      "type": 0,
      "clientEntity": {
         "clientId": 57238,
         "clientName": "<client_name>",
         "displayName": "<display_name>"
      }
    }
  ]
}

イベントの取得

API Endpoint:

<Command Center API URL>/commandcenter/api/Events

Method: 得る
Headers:

鍵	Value
Accept	アプリケーション/json
authToken	<Commvault Access Token>
paginginfo	0

Parameters:

鍵	Value
level	10
showAnomalous	真実
fromTime	エポックタイムスタンプ

Sample API Response:

{
  "commservEvents": [
    {
      "severity": 9,
      "eventCode": "117440845",
      "acknowledge": 0,
      "eventCodeString": "7:333",
      "subsystem": "cvd",
"description": “<event_description>",
      "id": 115920200,
      "timeSource": 1702291179,
      "type": 0,
      "clientEntity": {
         "clientId": 57238,
         "clientName": "<client_name>",
         "displayName": "<display_name>"
      }
    }
  ]
}

クライアントの詳細を取得する

API Endpoint:

<Base URL>/commandcenter/api/Client/<Client ID>

Method: 得る

Headers:

鍵	Value
Accept	アプリケーション/json
authToken	<Commvault Access Token>

Sample API Response:

"clientProperties":{
            "client":{
                      "clientEntity": {
                                "hostName": "<host_name>"
                        }
            }
}

Push

API Endpoint:

<Command Center API URL>/commandcenter/api/Client/Action/Report/Bulk/Anomaly

Method: PUT

Headers:

鍵	Value
Accept	アプリケーション/json
authToken	<Commvault Access Token>

Body:

{
"anomalyDetections": [
  {
    "client": {
    "hostName": "<Host Name>"
    },
    "anomalyDetectedBy": {
      "vendorName": "NetSkope CTE",
      "anomalyDetails": [
        {
          "anomalyEvents": [
           {
             "detectionTime": 1698837719,
             "eventId": "456fdd12trhth43",
             "eventUrl": "url target"
           }
         ],
         "anomalyReason": "Testing",
         "detectionTime": 1699422560,
         "eventId": "12fdg-232333333",
         "timesSeen": 1,
         "eventType": "URL"
       }
      ]
     }
    }
   ]
 }

Sample API Response:

 "anomalyDetections": [
   {
     "client": {
        "clientName": "dm2perf8_2"
     },
      "errorResponse": {}
   }
 ]
}

パフォーマンスマトリックス

以下は、下記の仕様を持つ大規模CEインスタンス上で、各プラグインライフサイクルにおいて10万個のIOCを取得およびプッシュする際に実施したパフォーマンス測定結果です。

スタックの詳細

サイズ：L

RAM: 32 GB

CPU: 16コア

Commvaultから取得した指標

~ 10K per minute

Commvaultに共有された指標

~ 200 per minute

注記

Commvault プラットフォームには IoC のプルのパフォーマンスをテストするのに十分なデータがないため、上記のプルのパフォーマンスは模擬データを使用して実行されました。これが、プルとプッシュの性能差が生じる理由かもしれない。また、共有IoCに対するCommvaultのヒット数は、ヒット数が5000を超えると0にリセットされることが確認されています。

ユーザーエージェント

netskope-ce-5.0.0-cte-Commvault-v1.0.0

ワークフロー

Commvaultアクセストークンを取得してください。
Commvaultプラグインを設定します。
ビジネスルールを追加します。
Threat ExchangeとCommvault間の共有を設定します。
プラグインを検証してください。

動画を見る

再生ボタンをクリックして動画をご覧ください。

Commvaultアクセストークンを取得してください。

Commvaultインスタンスにログインしてください。
右上のProfileクリックすると拡大表示されます。
Profile .
をクリックしてください
Access tokensをクリックしてください。
Add token .
をクリックしてください
トークン名、有効期限、スコープを入力し、 Submitをクリックしてください。
トークンをコピーして安全な場所に保存してください。トークンは一度しか表示されません。

Commvaultプラグインを設定する

Cloud ExchangeにログインしてSettings > Pluginsに移動してください。
プラグインを設定するには、Commvaultプラグインのボックスを検索して選択してください。
以下の値を入力してください。
- 構成名：構成の一意の名前。
- 同期間隔：デフォルトのままにしてください。
- 有効期限基準: プラグインの有効期限（日数）。（デフォルト値：90）
- 評判の上書き：この設定から受信した指標の評判を上書きする値を設定します。
- SSL検証を有効にする：SSL証明書の検証を有効にします。
- システムプロキシ：通信にプロキシが必要な場合は有効にしてください。
Nextをクリックしてください。
以下の値を入力してください。
- コマンドセンター API URL : アラートがプッシュ/プルされるコマンドセンター URL。例: https://commandcenter.nam.contoso.com/ 。
- Commvault アクセストークン: Commvault プラットフォームの[プロファイル] > [アクセストークン]セクションで生成されたアクセストークンを入力してください。
- ポーリングを有効にする: Commvault からの脅威 IOC のポーリングを有効/無効にします。脅威のIOCをCommvaultにプッシュするだけでよい場合は、無効にしてください。
- 初期範囲（日数）：初回実行時にデータを取得する日数。
Saveをクリックしてください。

Commvault 用の Threat Exchange ビジネスルールを追加する

Commvaultから取得した指標をCloud Exchangeに共有したり、その逆を行うには、共有したい指標をフィルタリングするビジネスルールが必要です。ビジネスルールを設定するには、以下の手順に従ってください。

Threat Exchange > Business Rule > Create New Ruleへ移動してください。
ルールに、要件に応じたフィルターを追加してください。

NetskopeとCommvaultの共有設定

Cloud Exchange から Commvault プラットフォームへ、またはその逆方向へ IoC を共有するには、次の手順に従ってください。

Threat Exchange > Sharingに移動してAdd Sharing Configurationをクリックしてください。
ソース構成（ Cloud Exchange ）、ビジネスルール、宛先構成（Commvault）、およびターゲットとしてReport client as Anomalous Select 。
手順2を繰り返して、CommvaultのIoCをCloud Exchangeに共有します。ソース構成としてCommvault、ビジネスルール、および宛先構成（ Cloud Exchange ） Select 。
ターゲットを追加して既存の IoC リスト名を選択するか、プラットフォームで新しい IoC リストを作成します。
Saveをクリックしてください。

注記

Commvault プラットフォーム上の既存のクライアントのみが Commvault で異常としてタグ付け/マーク付けできるため、共有中にプラットフォーム上に新しいクライアントを作成することはできません。

Commvaultプラグインを検証する

プルを検証する

取得したデータは脅威IOCページに掲載されます。プラットフォームから取得したIOCをフィルターで使う Filter: sources.source に「<plugin name>」みたいに使うことができます。 CE のログもプラグイン名でフィルタリングできます。

Commvaultプラットフォームでは、IoCが CommandCenter > Unusual File Activitiesから引き出されます。

注記

IoC（侵害指標）は、「異常なファイルアクティビティ」の下にあるすべてのタブから取得されますが、「外部ソフトウェア検出」タブからは取得されません。これは、IoCをそのページにプッシュするためです。

プッシュ通知を検証する

CE でプッシュを検証するには、 Loggingに移動して、共有ログを Commvault プラグインでフィルタリングします。

プラットフォームに取り込まれたデータを確認するには、CommvaultにログインしてCommandCenter > Unusual File Activitiesにアクセスしてください。ホスト名をクリックし、「外部ソフトウェアが検出されました」の下にある共有データを確認してください。

トラブルシューティング

Commvault プラットフォームから IOC を取得できない

プラグインの設定後、IoCがプラットフォームから取得されない場合は、以下のいずれかが原因である可能性があります。

プラットフォーム上にはプル可能なIoCがありません
指定された時間範囲でIoCが利用できないか、構成パラメータと一致しません
イベントコードが一致しません。

What to do: 上記から根本原因を特定し、以下の手順に従って問題を解決してください。

プラットフォーム上で取得可能な IoC がありません。プラットフォームから取得するデータがあるかどうかを確認してください。データがある場合は、プラグイン構成で指定されている初期範囲を確認してください。Commvault プラットフォームで利用可能なデータは、プラグインに追加された初期範囲と一致する必要があります。

以下はIOCを引き抜く際にプラグインで一致する可能性のあるイベントコードです。これらのイベントコードは悪意のあるイベントに関連付けられています。プル中にこれらのイベントコードが一致しない場合、14:337、7:333、14:337、69:59、69:60など、データは引き出されません。

CommvaultでIoCを共有できません

IoCをCommvaultに共有できず、以下のエラーが表示される場合。

50個の指標のうち50個をCommvaultに共有できませんでした。指標の値が無効であるか、クライアントのホスト名がCommvaultに登録されていない可能性があります。

What to do:

Commvault 上で IoC を共有するには、共有する IoC に対して、Commvault 上でホストが検出または構成されている必要があります。