CrowdStrike Falcon Identity Protection Plugin for Risk Exchange

このドキュメントでは、 Netskope Cloud Exchangeプラットフォームの Risk Exchange モジュールを使用してCrowdStrike Falcon Identity Protection v1.0.0 プラグインを構成する方法について説明します。このプラグインは、CrowdStrike Falcon Identity Protectionの「Identity Protection」>「ユーザー」ページから、ユーザーとそのスコアを取得します。このプラグインは、ユーザーに対して実行される操作をサポートしていません。

Netskope正規化スコアの計算式 = | (1 – (CrowdStrike Falcon Identity Protectionリスクスコア))|*1000

前提条件

この統合を完了するには、以下が必要です。

Netskopeテナント（または、例えば本番環境と開発／テスト環境など、複数のテナント）。
Netskope Cloud Exchangeテナントには、テナントプラグインとリスクエクスチェンジプラグインが既に設定済みです。
CrowdStrikeプラットフォームへの接続。
以下のいずれかのホストへの接続：
- CrowdStrike (商用クラウド ( CrowdStrike ))
- https://api.us-2. CrowdStrike .com (US 2 (api.us-2. CrowdStrike .com))
- CrowdStrike ( GovCloud上の Falcon ( CrowdStrike ))
- CrowdStrike (EUクラウド ( CrowdStrike ))

プラグインを使用するには、上記のURLのうちいずれか1つがあれば十分です。

CrowdStrike Falcon ID保護プラグインのサポート

このプラグインは、CrowdStrike Falcon Identity Protectionの「Identity Protection」>「ユーザー」ページから、ユーザーとそのスコアを取得します。このプラグインは、ユーザーに対して実行される操作をサポートしていません。

取得したデータの種類	ユーザー
サポートされているアクション	サポートされていません

マッピング

プラグインフィールド	想定されるデータ型	提案されたフィールド名	推奨される現場での対応策
emailAddress	String	電子メール	Unique
riskScore	Number	riskScore	Overwrite

表示されるユーザースコアは、 CrowdStrike Identity Protection プラットフォームで表示されるものとは異なることに注意してください。

プラットフォームは、CrowdStrikeのID保護リスクスコアを1～10のスケール（1＞最小リスク、10＞最大リスク）で表示しますが、レコード取得APIは、

Netskope正規化スコア計算 > | (1 – (CrowdStrike Falcon Identity Protectionリスクスコア))|*1000

権限

以下は、URE CrowdStrike Falcon Identity Protectionプラグインに必要な権限です。

範囲	Read	Write
ID保護GraphQL	–	はい
個人情報保護のタイムライン	はい	–
身元保護機関	はい	いいえ

APIの詳細

使うAPI一覧

APIエンドポイント	方法	APIクライアントのスコープ	使うケース
identity-protection/combined/graphql/v1	役職	ID保護GraphQL ID保護タイムライン	ユーザーとスコアを取得する

レコードを取得する

API Endpoint: identity-protection/combined/graphql/v1
Method: POST
Parameters:

鍵	Value	デスクリプション
creationTime	2022-12-26T17:05:20Z	タイムスタンプは「%Y-%m-%dT%H:%M:%SZ」形式です。
after	null	null for first API call and endCursor (eyJjcmVhdGlvblRpbWUiOnsiJGRhdGUiOiIyMDIyLTA5LTE3 VDA4OjI2OjM0LjAwMFoifSwiX2lkIjoiYjM2NTNmNTMtYjNjOS0zYTY5LWFlZDQtYzJjNDhiYzliYjNkIn0=)

Data:

query ($after: Cursor, $creationTime: DateTimeInput) {
                    entities(types: [USER], sortKey: CREATION_TIME, sortOrder: DESCENDING, first: 1000, accountCreationStartTime: $creationTime, after: $after,archived: false) {
                        nodes {
                        primaryDisplayName
                        secondaryDisplayName
                        ... on UserEntity {
                            emailAddresses
                        }
                        riskScore
                        }
                        pageInfo {
                        hasNextPage
                        endCursor
                        }
                    }
                    }

Sample API Response:

{
    "data": {
        "entities": {
            "nodes": [
                {
                    "primaryDisplayName": "Customer 2 Admin",
                    "secondaryDisplayName": "customer2@demo.netskope.pro",
                    "emailAddresses": [
                        "customer2@demo.netskope.pro"
                    ],
                    "riskScore": 0.15
                }
            ],
            "pageInfo": {
                "hasNextPage": true,
                "endCursor": "eyJjcmVhdGlvblRpbWUiOnsiJGRhdGUiOiIyMDIzLTExLTI3VDA5OjMzOjM2LjAwMFoifSwiX2lkIjoiZjY0YzNhYTctZmMwMi0zMDNlLWFiNTItNGU5MmViYzgxNTdjIn0="
            }
        }
    },
    "extensions": {
        "runTime": 569,
        "remainingPoints": 499999,
        "reset": 9969,
        "consumedPoints": 1
    }
}

スコアを取得

API Endpoint: identity-protection/combined/graphql/v1
Method: POST
Variables:

鍵	Value	デスクリプション
email	[“Dev7979user7979@bddev.com”]	電子メールアドレスのリスト。

Data:

query ($email: [String!]) {
                    entities(types: [USER], first: 1, emailAddresses: $email, archived: false) {
                        nodes {
                        ... on UserEntity {
                            emailAddresses
                        }
                        riskScore
                        }
                    }
                    }

Sample API Response:

{
    "data": {
        "entities": {
            "nodes": [
                {
                    "emailAddresses": [
                        "Dev7979user7979@bddev.com"
                    ],
                    "riskScore": 0.67
                }
            ]
        }
    },
    "extensions": {
        "runTime": 26,
        "remainingPoints": 499999,
        "reset": 6445,
        "consumedPoints": 1
    }
}

パフォーマンスマトリックス

以下は、CrowdStrikeからNetskope CEに50万件のユーザースコアを取得して、大規模なCEスタック上で実施したパフォーマンス測定結果です。

スタックの詳細	サイズ：大 RAM：32 GB CPU：16コア
取得および更新されたユーザーレコードを保存するのに要した時間	約25分

ユーザーエージェント

netskope-ce-5.1.0-cre-crowdstrike-falcon-identity-protection/1.0.0

ワークフロー

クライアントIDとクライアントシークレットを取得してください。
CrowdStrike Falcon Identity Protectionプラグインを設定します。
ビジネスルールを設定します。
アクションを設定します。
プラグインを検証してください。

再生ボタンをクリックして動画をご覧ください。

クライアントIDとクライアントシークレットを取得してください

CrowdStrikeプラットフォームにログインし、メニューアイコンに移動して、 Support and resources > API clients and Keysを選択します。
Add new API Client .
をクリックしてください
APIクライアントを追加する際に、以下のスコープを追加してください：

範囲 Read Write
ID保護GraphQL – はい
個人情報保護のタイムラインはい –
身元保護機関はいいいえ
ベースURL、クライアントID、およびシークレットをメモしておいてください。プラグインを設定するには、これらが必要です。

CrowdStrike Falcon Identity Protectionプラグインの設定

Cloud ExchangeにログインしてSettings > Pluginsに移動してください。CrowdStrike Falcon Identity Protection (CRE)プラグインボックスを検索して選択します。
構成名と同期間隔を入力してください。
Nextをクリックし、構成パラメータを入力してください。
- ベース URL: CrowdStrikeプラットフォームからのベース URL を入力します。
- クライアント ID: CrowdStrikeプラットフォームから生成されたクライアント ID を入力します。
- クライアントシークレット: CrowdStrikeプラットフォームから生成されたクライアントシークレットを入力します。
- 初期範囲（日数）：初回実行時にデータを取得する日数を入力してください。
Nextをクリックし、必要に応じてマッピングを指定してください。
Saveをクリックしてください。プラグインの設定はプラグインページで確認できます。

CrowdStrike Falcon Identity Protection のリスク交換ビジネスルールを追加します

Risk ExchangeでBusiness Rulesに移動してください。
Create New Ruleをクリックしてください。
ルール名を入力し、プラグインの設定時にマッピングしたエンティティとフィールドを選択し、必要に応じてフィルターを追加します。
Save .
をクリックしてください

CrowdStrike Falcon Identity Protection のリスク交換アクションを追加する

CrowdStrike Falcon Identity Protectionプラグインは、以下のアクションタイプをサポートしています。

No Action

この操作はユーザーに対して何らの操作も実行しませんが、「アラート生成」トグルボタンが有効になっている場合は、CTOでアラートを生成する可能性があります。

CrowdStrike Falcon Identity Protectionから取得したユーザーに対して、Netskopeテナント上でこれらの操作を実行できることに注意してください。

このアクションを設定するには：

Risk Exchange > Actionsに移動してAdd Action Configurationをクリックしてください。
ビジネスルール、プラグイン構成Select 、「アクション」ドロップダウンで「アクションなし」を選択します。アラート生成アクションを実行する前に承認が必要な場合は、 Require Approvalのトグルボタンを有効にしてください。
同様に、メンテナンスウィンドウ中に何らかの操作を実行したい場合は、 Perform action during the maintenance Window有効にしてください。Saveをクリックしてください。
ユーザーが既にレコードに存在する場合は、手動で同期を実行します。生成されたアラートを検証するには、 Ticket Orchestrator > Alertsにアクセスしてください。

CrowdStrike Falcon Identity Protectionプラグインを検証する

CE上で検証する

CrowdStrikeからCloud Exchangeへのユーザーの取得と保存を検証するには：

Loggingに移動して、プラグインのログを検索してください。
Recordsに移動し、CrowdStrike IPプラグインの設定時に選択したエンティティを選択して、取得したユーザーを表示します。

CrowdStrikeで検証する

プラットフォーム上でユーザー評価データが取得可能かどうかを確認するには、以下の手順に従ってください。

CrowdStrike Falcon プラットフォームにログインします。
Identity protection > Usersへ移動してください。
ここにユーザーが表示されます。

CrowdStrike Falcon Identity Protectionプラグインのトラブルシューティング

CrowdStrike Identity Protectionプラグインの設定ができません

CrowdStrike Identity Protectionプラグインの設定ができない場合、以下のいずれかの理由が考えられます。

特定のクライアントIDのクライアントシークレットがリセットされました。
APIクライアントに必要な権限が付与されていません。
Invalid values provided to the configuration parameters.

What to do:

最新のクライアントシークレットが APIクライアント用であることを確認してください
設定パラメータには有効な値が指定されていることを確認してください。ログページに移動して、ログメッセージを確認してください。
APIクライアントに必要な権限を付与します構成パラメータが作成されます。

CrowdStrikeプラットフォームからユーザースコアを取得できません

ユーザー評価を取得できない場合、以下のいずれかの理由が考えられます。

抽出可能なユーザーがいません。
クライアントIDとクライアントシークレットに対して、プラグインの権限が不足しています。
APIレスポンスのemailAddressesフィールドには値がありません。
API 応答には、電子メールアドレスフィールドに複数の電子メールアドレスが含まれています。