脅威交換のIoC共有の設定 - Netskope技術文書

このページでは、プラグイン間（および接続されているベンダーシステム間）でのIoC共有の設定方法について説明します。設定を行う前に、システム間の共有要件を事前に明確にしておくようにしてください。各共有関係には、宛先プラグインと共有するデータを制御するビジネスルールが必要です。

共有ルールが適用される各プラグインには、ビジネスルールの性質を規定する要件が存在する場合があることに注意してください。共有のための IoC に一致する共有ルールを作成しても、そのルールが情報を送信できないシステムへ情報をプッシュすることになるのであれば、そのルールを作成する意味はありません。または、それらの IoC タイプを受信できないシステムへプッシュすることになります (たとえば、STIX/TAXI はプッシュ型であり、プル型ではありません)。

さらに、 IoC共有のベストプラクティスに関するセクションでは、システムがすべてのルールを自動的に共有するのではなく、手動でオーバーライドを挿入して、IoCを共有するタイミングを正確に指定するメカニズムを提案しています。タグはこのアプローチの中核を成す要素です。

脅威エクスチェンジURLの処理

Netskope Threat Exchangeは、サードパーティプラットフォームからNetskope（およびサードパーティプラットフォーム同士）との間でIoC（侵害指標）を共有することを可能にします。元々は攻撃指標の管理用に設計されていましたが、追加のケースとして、セキュアウェブゲートウェイ（SWG）の同期と管理による許可リストとブロックリストの作成、 CASBとSWGのSSL傍受リストまたはバイパスリストの作成、GitHubリポジトリのファイルハッシュ情報の表示によるデータの不適切な共有の防止などをサポートするように進化しました。 NetskopeのインラインDLP機能。

Netskope 、URL、MD5 ハッシュ、SHA256 ハッシュ、IPv4 アドレス、IPv6 アドレス、ホスト名、ドメイン、および完全修飾ドメイン名 (FQDN) を受け入れます。 Netskopeリアルタイムの呼び出し先一致として、カスタム URL ファイルで使用します。。カスタム URL ファイルはポリシーで使用する必要がありますが、そのポリシーは、ブロック、アラート、コーチング、正当化などを含むがこれらに限定されない、サポートされているインライン結果のいずれかをもたらす可能性があります。

Netskopeテナントと通信するには、Threat Exchange Netskopeテナントで有効になっており、 Cloud Exchangeで構成されている場合はREST API V2 、構成されているか利用可能なトークンがそれしかない場合はREST API V1を使用します。また、ファイルのハッシュを更新するための脅威対策でを使用します。

Threat ExchangeはこのIoC情報をNetskopeに2つの場所のいずれかに送ります。URLとIPアドレスは、次世代セキュアウェブゲートウェイ(https://<your-tenant>.goskope.com/ns#/web-profiles-page?subview=webList)のカスタムカテゴリ機能によって使うするカスタムカテゴリファイルにプッシュされ、ファイルのハッシュ(MD5および/またはSHA256)はファイルプロファイルファイル(https://<your-tenant>.goskope.com/ns#/file-filter-profile)にプッシュされます。

しかし、脅威交換によって情報が送信できるからといって、受信側のシステムがその情報を利用できるとは限らない。ファイルハッシュの種類、URLのフォーマット、データリポジトリの利用可能性などは、いずれも共有機能の潜在的な機能性を低下させる可能性がある。

例えば、CrowdStrikeはThreat ExchangeからURLを取り込むが、ドメイン名以降のすべてを削除する。

Netskopeへの脅威情報交換におけるURL要件／機能

Netskopeは、フォーマットによっては一部のURLを受け入れます。詳細については、次のページをご覧ください:カスタムカテゴリの作成

カスタム URL リストの URL をご覧いただければわかるように、ファイルは特定の形式にフォーマットされている必要があり、具体的には、それぞれが以下のいずれかに該当する必要があります。

http(s)://url.domain.com/fullURI

http(s)://ipaddress

http(s)://*.domain.com/fullURI

Threat ExchangeがNetskopeに非準拠のURLを送信する場合

Threat Exchange が、 Netskope Clientによって拒否された URL (単独または大規模なアップデートの一部として) を送信すると、Threat Exchange はNetskope応答を解析し、無効な URL を特定して「無効」としてマークします。デフォルトでは、Threat Exchange はそれを Netskope テナントに再度プッシュしようとはしません。

これらの無効なインジケーターは、Threat Exchange テナントでフィルターを使用して、「invalid_host」または「Unshared」とタグ付けされたインジケーターを検索することで見つけることができます。無効なアプリタグは「無効なアプリ」タグを使うと見つかります。

https://<your Cloud Exchange host>/cte/threat_iocs?query=sources.tags+IN+%28"Invalid+host"%29

脅威エクスチェンジのファイルハッシュ処理

Netskope 、インライン脅威防止ポリシー (またはファイルハッシュの一致に依存する DLP ルール) による呼び出し用のファイルで使用するために、SHA256 および MD5 ファイルハッシュを提供し、受け入れる予定です。ファイルはポリシーに追加する必要がありますが、そのポリシーによって、ブロック、アラート、コーチング、正当化など、サポートされているインラインの結果のいずれかが生成される場合があります。

重複したIoC処理

Netskope Threat Exchangeでは、書き込みアクセス権を持つユーザーが、同一または異なるソースから提供された重複するIoCをどのように調整および管理するかを選択できます。「上書きしない」を選択した場合、以降の一致するすべてのIoCメタデータは、マスターIoCの下に表示されます。マスターまたは子IoCメタデータは送信するIoCとIoCメタデータを決定する共有ルールを作成するために使用されます。

共有設定を追加する

Threat Exchangeに移動してSharingを選択してください。「共有」ページには、以下に示すように、各共有設定における既存の関係がグリッドビューで表示されます。共有ページには、あるプラグインから別のプラグインへの新しい共有を設定するための入力欄もあります。

Add Sharing Configurationをクリックして、ソースプラグインの設定を選択してください。
ビジネスルールと宛先構成Select 。設定の共有は一方向です。あるプラグインから取得したデータは、別のプラグインと共有されます。双方向または多方向の共有を実現するには、それぞれを個別に設定してください。

対象Select 。各プラグインは、IoC（侵害指標）のターゲットまたは宛先が異なります。
アクションSelect 。一部のプラグインは、IoC（侵害指標）がどこに送信されるか、そして受信システムが一致するインジケータに対してどのような処理を行うかを示す複数のアクションをサポートしています。
一部のシステムは、特定のエンドポイント OS (Windows、Mac、Linux) に適合するためにのみ IoC をサポートします。

Saveをクリックしてください。

アクティブなソースポーリングに新しい共有設定を追加すると、ソース設定の既存のIoCが宛先設定に共有されます。新しい共有構成が構築されるたびに、送信元と送信先の組み合わせに一致する場合、すべてのアクティブなIoCも共有対象として検討されます。

データを取り込むためのAPIを持たないプラグインは、脅威データを受信できません。これは、インストールされているプラグイン API ソースにも当てはまり、リモートのサードパーティシステムがデータをプッシュするための API エンドポイントに関連付けられたバケットを提供します。共有ポリシーが追加されると、それは有効になります。

共有構成が作成されると、共有テーブルには、呼び出されるルール、潜在的なIoC一致を提供するソースシステム、一致するIoCを受信する宛先システム、およびそのルールに適用されるターゲットが表示されます。複数の共有構成を設定することで、システム宛先システム上であっても、特定のIoCを複数のターゲットにマッピングすることをサポートできます。

共有構成の管理

各設定は、編集、同期、削除の3つの操作をサポートしています。

書き込み権限を持つユーザーは、既存の共有設定の共有内容またはその対象を更新できます。

編集アイコンをクリックしてください。

変更したい必須項目を更新してください。
Saveをクリックしてください。

書き込み権限を持つユーザーは、既に設定済みの共有設定を同期できます。これにより、IoCを宛先構成に共有するための共有メカニズムが起動されます。

同期アイコンをクリックしてください。

期間（日数）を入力してください。ビジネスルールを評価する際には、この期間中に取得されたIoCのみが考慮されます。歴代記録を確認すると、昨年のIoC（Initial of Challenges：最高得点）が評価されます。
Fetchをクリックしてください。これにより、宛先構成と共有されるIoCの数が表示されます。この操作は、以下の内容で実行されます。
Syncをクリックしてください。

書き込み権限を持つユーザーは、既に設定されている共有設定をすべて削除できます。

削除アイコンをクリックしてください。

Deleteをクリックしてください。

IoC一覧とフィルタリング機能

Threat Exchangeは、設定されているすべてのプラグインから提供されるIoC（侵害指標）のデータベースを保持しています。利用可能なすべてのIoCを表示したり、それぞれのメタデータを表示したり、IoCをフィルタリングしたりできます。

Threat Exchange に移動してThreat IoCsをクリックします。
アクティブなIoC（侵害指標）の一覧が表示されます。この画面を初めて表示したとき、デフォルトのビューには、過去7日間に追加または更新された（API経由の）IoCが表示されます。

フィルタリングされたクエリによっては、アクティブなIoCのデータベースからさらに多くの情報を取得できます。IoCリストはページ分割されており、デフォルトのページサイズは10レコードですが、最大100レコードまで表示するように増やすことができます。デフォルトでは、レコードは最終閲覧日時の降順でソートされます。
各IoCに関連付けられている、または関連付けることができるIoCメタデータまたはIoCソースに基づいて、さまざまなフィルタオプションが利用可能です。各ユーザーは1つ以上のフィルターを追加でき、フィルターのグループを追加することで、アクティブなIoCのサブセットを詳細に調べることができます。フィルターオプションとそのフィールドの意味の詳細なリストを以下に示します。否定的なフィルター条件として「いいえ」を選択することもできます。

Field	フィルター文字列変数	デスクリプション	フィルタ演算子
Value	value	IoC値 – ファイルハッシュまたはURLのMD5 SHA256。	等しく、かつ含まれる（正規表現もサポート）。
Comments	コメント	そのIoCに対して提供されたコメント。	等しく、かつ含まれる（正規表現もサポート）。
タイプ	タイプ	IoCの種類。MD5、SHA256、URL	いずれか1つ、含まれない演算子（複数選択）
Netskope Hits	netskopeHits	NetskopeがこのIoCを検出した回数。	!=、<、<=、>、>=
その他のヒット曲	OtherHits	第三者がこのIoC（侵害指標）を確認した回数。	!=、<、<=、>、>=
Test	test	NetskopeのIoCがテストとしてマークされているかどうかを示すブール値（メタデータフィールド値テスト用）	等しい、!=
アクティブ	active	IoCが期限切れかどうかを示すブール値。	等しい、!=
Safe	safe	IoCが安全かどうかを示すブール値。(メタデータフィールドの値は、Github DLP プラグインの悪意のない IoC を示すために使用されます)	等しい、!=
共有先	sharedWith	IoCが導入されたプラグイン構成の一覧。	いずれか1つ、含まれない演算子（複数選択）
Expires At	expiresAt	IoCが非アクティブになる時間	!=、、>=

Field	フィルター文字列変数	デスクリプション	フィルタ演算子
Source	sources.source	IoC値 – ファイルハッシュまたはURLのMD5 SHA256。	等しく、かつ含まれる（正規表現もサポート）。
重大度	sources.severity	IoCの深刻度。	等しく、かつ含まれる（正規表現もサポート）。
Reputation	sources.reputation	情報の信頼性。最低1～最高10。	!=、<、<=、>、>=
Netskope Hits	sources.netskopeHits	NetskopeがこのIoCを検出した回数。	!=、<、<=、>、>=
その他のヒット曲	sources.externalHits	第三者がこのIoC（侵害指標）を確認した回数。	!=、<、<=、>、>=
初めて目撃された	sources.firstSeen	CTEがプラグインから初めてIoCを見た時のこと	!=、、>=
最後に目撃された日時	sources.lastSeen	CTEがプラグインからIoCを最後に見たのはいつだったか	!=、、>=
Tags	sources.tags	IoC データに関連付けられたタグ	いずれか1つ、含まれない演算子（複数選択）
Comments	sources.comments	そのIoCに対して提供されたコメント。	等しく、かつ含まれる（正規表現もサポート）。

複数のフィルター条件を設定するには、フィルターボックスの右上隅にマウスカーソルを移動し、 Add ruleをクリックします。左上にある「否定」ボタンにマウスカーソルをSelectと、適切な比較演算子「And 」または「 Or」が表示されます。
代替の複数データ基準については、 Add groupをクリックしてください。規則は上から順に処理されます。フィルターボックスの右上隅にマウスカーソルを移動すると、 Add groupオプションが表示されます。
目的のフィルターを選択したら、 Apply Filterをクリックしてください。フィルタリング条件に一致するIoC（侵害指標）がUIに表示されます。
適用済みのフィルターを削除するには、 Clearをクリックしてください。UIはデフォルトのフィルターに戻り、画面が更新されると、デフォルトのフィルターに一致するIoCが一覧表示されます。

ユーザーは、フィルターを適用した後にルールエンジンで作成されたフィルター文字列をコピーできます。Copy Filterをクリックすると、実際の検索文字列がコピーされます。コピーされた文字列は任意のプラグイン構成のフィルタとして、Threat Exchange がサードパーティプラグインに送信するデータを制限できます。
また、ユーザーはフィルタークエリを手動で入力し、そのクエリに基づいてフィルターを読み込むこともできます。

タグSelectて変更する

書き込み権限を持つユーザーはタグを変更できます。タグは IoC にメタデータを追加するために使用され、SecOps チームが特定の IoC をフィルタリング、表示、ステージング、またはプラグインにプッシュするためのワークフローを作成できるようにします。タグの管理に関する詳細は、「タグの管理」セクションをご覧ください。