CrowdStrike LogScale Log Shipper用プラグイン

このドキュメントでは、 NetskopeテナントからJSON形式のNetskopeアラート、イベント、およびウェブトランザクションログをCrowdStrike LogScale Cloud Exchangeに取り込む方法について、CLS CrowdStrike LogScaleプラグインを使用して説明します。 このプラグインは、アラート、イベント、およびWebTXログを変換してCrowdStrike LogScale HTTPイベントコレクターに取り込みます。

前提条件

この設定を完了するには、以下が必要です。

LogScaleプラグインのサポート

CrowdStrike LogScale プラグインは、 Netskopeイベント、 Netskopeアラート データ、およびウェブ トランザクション データを JSON 形式で LogScale プラットフォームに取り込むために使用されます。

データ型	サポート
イベントサポート	はい
アラートサポート	はい
WebTxサポート	はい（Netskope LogStreaming経由）

すべてのNetskopeイベント、アラート ログ、および Web トランザクション ログが共有されます。

権限

インジェストトークンを生成するには、ユーザーアカウントに「インジェストトークンの変更」オプションが有効になっていることを確認してください。そうでない場合は、組織の所有者に連絡して、変更取り込みトークンのアクセスを生成し、ユーザーに提供してください。

APIの詳細

使うAPI一覧

APIエンドポイント	方法	使うケース
/api/v1/ingest/hec	役職	CrowdStrike LogScale へのデータの取り込み

データを取り込む

API Endpoint: https://cloud.community.humio.com/api/v1/ingest/hec
Method: POST
Parameters:
N/A
Headers:
Authorization: Bearer <API Token>
Content-Type: application/json
Data:

{"event": {"_id": "224663acb2caf3ed8f833dd2", "justification_type": 23, "_insertion_epoch_timestamp": 1659017873, "access_method": "Client", "severity": "medium", "activity": "Upload", "activity_status": "Access Denied", "alert": "no", "app": "Alfresco", "app_session_id": 3606717343140728736, "appcategory": "Business Process Management", "browser": "Chrome", "browser_session_id": 2888757212810986401, "browser_version": "54.0.2840.90", "category": "Business Process Management", "cci": 56, "ccl": "low", "policy": "abc_ga_ti", "alert_name": "Malware found", "connection_id": 465830538214629538, "count": 1, "device": "Windows Device", "device_classification": "unmanaged", "dst_country": "US", "dst_geoip_src": 1, "dst_latitude": 47.682899, "dst_location": "Redmond", "dst_longitude": -122.120903, "dst_region": "Washington", "dst_timezone": "America/Los_Angeles", "dst_zipcode": "98052", "dstip": "13.107.6.151", "file_size": 105224532, "instance_id": "autoskope", "managed_app": "yes", "md5": "018c06f8ebef9e4c2ee6075db5825e24", "object": "TestResult_20170904-002256_demo.jpg", "object_type": "File", "organization_unit": "", "os": "Windows Server 2012", "os_version": "Windows Server 2012", "other_categories": ["Cloud Storage"], "page": " ", "page_site": "alfresco.com", "parent_id": "/personal/autotest3_autoskope_com/Documents", "referer": "https:// ", "site": "Alfresco.com", "slc_latitude": 13.0878400803, "slc_longitude": 80.2784729004, "src_country": "IN", "src_geoip_src": 2, "src_latitude": 12.8996, "src_location": "Chennai", "src_longitude": 80.2209, "src_region": "Tamil Nadu", "src_timezone": "N/A", "src_zipcode": "600001", "srcip": "52.172.6.204", "telemetry_app": "", "traffic_type": "CloudApp", "transaction_id": 1131464417688413744, "type": "nspolicy", "ur_normalized": "valeri.bradshaw@kkrlogistics.com", "url": "autoskope-my.sharepoint.com/personal/autotest3_autoskope_com/_api/web/GetFolderByServerRelativeUrl(@a1)/Files/Add(url=@a2,overwrite=@a3)", "user": "Valeri.Bradshaw@kkrlogistics.com", "userip": "10.0.0.5", "userkey": "v@kkrlogistics.com", "@timestamp": "2022-07-28T14:17:49Z"}}

Sample API Response:

 {
    "text": "Success",
    "code": 0,
    "eventCount": 2
}

パフォーマンスマトリックス

このパフォーマンス測定値は、これらのVM仕様でテストされた大規模スタックCEに関するものです。これらの数値は、15秒間に1万件のアラートとイベントを取り込むことを考慮に入れて算出されています。

デスクリプション	仕様
スタックの詳細	サイズ：大 RAM：32 GB CPU：16コア
イベント、アラートはサードパーティのSIEMに取り込まれる。	200K EPM

ユーザーエージェント

netskope-ce-5.0.0-cls-crowdstrike-logscale/1.1.0

ワークフロー

再生ボタンをクリックして動画をご覧ください。

LogScaleの設定パラメータを取得する

Netskope Log Shipper 用の CrowdStrike LogScale プラグインを設定するには、以下の設定パラメータが必要です。

• CrowdStrike LogScale Host : CrowdStrike LogScale プラットフォームの URL。
• インジェストトークン:インジェストトークンはリポジトリを特定し、そのリポジトリにデータを送信するための一意の文字列です。

インジェストトークンを生成する

1. CrowdStrike LogScaleインスタンスにログインしてください。
2. リポジトリとビューのページからリポジトリSelect 、 [設定]をクリックします。
3. 「トークンを取り込む」に移動し、 「トークンを追加」をクリックします。
   
4. トークン名を追加し、割り当て済みパーサーリストからJSONパーサーを選択して、JSONパーサーを選択します。
   
5. 「保存」をクリックしてください。
6. 作成したトークンの「インジェストトークン」ページにある目のアイコンをクリックすると、インジェストトークンの値が表示されます。プラグインの設定中にそれを「使う」にコピーします。

CrowdStrike LogScaleプラグインを設定する

1. 設定 > プラグインストアに移動してください。CrowdStrike LogScale v1.1.0 (CLS)プラグインを検索して選択してください。
   

   

2. 構成名を追加し、CrowdStrike LogScaleのデフォルトマッピングが選択されていることを確認してください。

   トグルボタンを無効にしてください 生のログを変換するには、プラグインが JSON 形式のデータの共有のみをサポートしているためです。

   

3. 「次へ」をクリックし、以下のパラメータを入力してください。
   • CrowdStrike LogScale Host
   • Ingest Token

   

4. 「保存」をクリックしてください。新しいプラグインの設定は、Log Shipper > プラグインで確認できます。

LogScale のログシッパービジネスルールを設定する

1. Log Shipper > ビジネスルールに移動すると、デフォルトで、すべてのアラートとイベントをフィルタリングするビジネスルールが設定されています。
   

   

2. 特定の種類のアラートまたはイベントをフィルターで除外する場合は、 [新しいルールの作成] をクリックし、ルール名とフィルターを追加して新しいビジネス ルールを構成します。 完了したら、 「保存」をクリックしてください。
   

   

LogScale の Log Shipper ログ配信の設定

1. Log Shipper > Log Deliveryに移動してAdd Log Delivery Configurationをクリックしてください。
2. アラートやイベントについては、Sourceプラグイン(Netskope CLS)とDestinationプラグイン(CrowdStrike LogScale)を選択し、ビジネスルールを選択して Saveをクリックします。
3. WebTx の場合は、ソース プラグイン (AWS Netskope LogStreaming または Azure Netskope LogStreaming)、宛先プラグイン ( CrowdStrike LogScale ) を選択し、 Saveをクリックします。
4. ログ配信構成が追加されると、データがNetskopeテナントから取得され、 CrowdStrike LogScale プラットフォームに取り込まれ始めます。

LogScaleプラグインを検証する

プルを検証する

Cloud Exchange で、 Loggingに移動して、フィルターメッセージに pulled が含まれているログを検索します。

プッシュ通知を検証する

Validate in Cloud Exchange

1. ログ記録に移動してください。
2. フィルターメッセージに「insted」が含まれるようにして、取り込まれたアラートを検索します。
3. 取り込まれたログはフィルタリングされます。

Validate in CrowdStrike LogScale

1. 検索タブに移動してください。
2.  フィルターを適用して、特定のデータを表示してください。
   

   

トラブルシューティング

取り込まれたデータは LogScale プラットフォームには表示されません。

LogScaleクラウドコミュニティのデータ保持期間は7日間です。データ保持期間より古いデータは、 CrowdStrike LogScale プラットフォームでは利用できなくなります。
What to do: Settings > Data retentionからプラットフォームのデータ保持時間を確認してください。
データ保持時間を更新してください。データ保持期間を更新するためのアクセス権がない場合は、 CrowdStrike LogScale 管理チームに連絡してください。