このドキュメントでは、 NetskopeテナントからJSON形式のNetskopeアラート、イベント、およびウェブトランザクションログをCrowdStrike LogScale Cloud Exchangeに取り込む方法について、CLS CrowdStrike LogScaleプラグインを使用して説明します。 このプラグインは、アラート、イベント、およびWebTXログを変換してCrowdStrike LogScale HTTPイベントコレクターに取り込みます。
前提条件
この設定を完了するには、以下が必要です。
- Netskopeテナント（または、例えば本番環境と開発／テスト環境など、複数のテナント）。
- Netskope Cloud Exchangeテナントには、テナントプラグインとログシッパープラグインが既に設定済みです。
- AWS Netskope Log StreamingまたはAzure Netskope Log Streamingプラグインが既に設定されているNetskope Cloud Exchangeテナント。
- LogScaleの設定パラメータ。
- CrowdStrike LogScale プラットフォームへの接続。 例： https://cloud.community.humio.com 。
LogScaleプラグインのサポート
CrowdStrike LogScale プラグインは、 Netskopeイベント、 Netskopeアラート データ、およびウェブ トランザクション データを JSON 形式で LogScale プラットフォームに取り込むために使用されます。
| データ型 | サポート |
|---|---|
イベントサポート | はい |
アラートサポート | はい |
WebTxサポート | はい（Netskope LogStreaming経由） |
すべてのNetskopeイベント、アラート ログ、および Web トランザクション ログが共有されます。
注記
- Google Pub Sub Lite をベースにした CLS WebTX は非推奨となりました。Netskope製品のサポート終了/サポート終了に関するお知らせについては、Netskopeナレッジポータルをご覧ください。
- WebTXログをSIEM、SOAR、XDR、データレイクなどのログ配信先に取り込むには、 AWS Netskope LogStreamingまたはAzure Netskope LogStreamingプラグインを使用します。
権限
インジェストトークンを生成するには、ユーザーアカウントに「インジェストトークンの変更」オプションが有効になっていることを確認してください。そうでない場合は、組織の所有者に連絡して、変更取り込みトークンのアクセスを生成し、ユーザーに提供してください。
APIの詳細
使うAPI一覧
| APIエンドポイント | 方法 | 使うケース |
|---|---|---|
| /api/v1/ingest/hec | 役職 | CrowdStrike LogScale へのデータの取り込み |
データを取り込む
API Endpoint: https://cloud.community.humio.com/api/v1/ingest/hec
Method: POST
Parameters:
N/A
Headers:
Authorization: Bearer <API Token>
Content-Type: application/json
Data:
{"event": {"_id": "224663acb2caf3ed8f833dd2", "justification_type": 23, "_insertion_epoch_timestamp": 1659017873, "access_method": "Client", "severity": "medium", "activity": "Upload", "activity_status": "Access Denied", "alert": "no", "app": "Alfresco", "app_session_id": 3606717343140728736, "appcategory": "Business Process Management", "browser": "Chrome", "browser_session_id": 2888757212810986401, "browser_version": "54.0.2840.90", "category": "Business Process Management", "cci": 56, "ccl": "low", "policy": "abc_ga_ti", "alert_name": "Malware found", "connection_id": 465830538214629538, "count": 1, "device": "Windows Device", "device_classification": "unmanaged", "dst_country": "US", "dst_geoip_src": 1, "dst_latitude": 47.682899, "dst_location": "Redmond", "dst_longitude": -122.120903, "dst_region": "Washington", "dst_timezone": "America/Los_Angeles", "dst_zipcode": "98052", "dstip": "13.107.6.151", "file_size": 105224532, "instance_id": "autoskope", "managed_app": "yes", "md5": "018c06f8ebef9e4c2ee6075db5825e24", "object": "TestResult_20170904-002256_demo.jpg", "object_type": "File", "organization_unit": "", "os": "Windows Server 2012", "os_version": "Windows Server 2012", "other_categories": ["Cloud Storage"], "page": " ", "page_site": "alfresco.com", "parent_id": "/personal/autotest3_autoskope_com/Documents", "referer": "https:// ", "site": "Alfresco.com", "slc_latitude": 13.0878400803, "slc_longitude": 80.2784729004, "src_country": "IN", "src_geoip_src": 2, "src_latitude": 12.8996, "src_location": "Chennai", "src_longitude": 80.2209, "src_region": "Tamil Nadu", "src_timezone": "N/A", "src_zipcode": "600001", "srcip": "52.172.6.204", "telemetry_app": "", "traffic_type": "CloudApp", "transaction_id": 1131464417688413744, "type": "nspolicy", "ur_normalized": "valeri.bradshaw@kkrlogistics.com", "url": "autoskope-my.sharepoint.com/personal/autotest3_autoskope_com/_api/web/GetFolderByServerRelativeUrl(@a1)/Files/Add(url=@a2,overwrite=@a3)", "user": "Valeri.Bradshaw@kkrlogistics.com", "userip": "10.0.0.5", "userkey": "v@kkrlogistics.com", "@timestamp": "2022-07-28T14:17:49Z"}}
Sample API Response:
{
"text": "Success",
"code": 0,
"eventCount": 2
}
パフォーマンスマトリックス
このパフォーマンス測定値は、これらのVM仕様でテストされた大規模スタックCEに関するものです。これらの数値は、15秒間に1万件のアラートとイベントを取り込むことを考慮に入れて算出されています。
| デスクリプション | 仕様 |
|---|---|
| スタックの詳細 | サイズ：大 RAM：32 GB CPU：16コア |
| イベント、アラートはサードパーティのSIEMに取り込まれる。 | 200K EPM |
ユーザーエージェント
netskope-ce-5.0.0-cls-crowdstrike-logscale/1.1.0
ワークフロー
- LogScaleの設定パラメータを取得してください。
- LogScaleプラグインを設定します。
- LogScaleのログシッパービジネスルールを設定します。
- LogScale の Log Shipper ログ配信を設定します。
- LogScaleプラグインを検証してください。
再生ボタンをクリックして動画をご覧ください。
LogScaleの設定パラメータを取得する
Netskope Log Shipper 用の CrowdStrike LogScale プラグインを設定するには、以下の設定パラメータが必要です。
- CrowdStrike LogScale Host : CrowdStrike LogScale プラットフォームの URL。
- インジェストトークン:インジェストトークンはリポジトリを特定し、そのリポジトリにデータを送信するための一意の文字列です。
インジェストトークンを生成する
- CrowdStrike LogScaleインスタンスにログインしてください。
- リポジトリとビューのページからリポジトリSelect 、 [設定]をクリックします。
- 「トークンを取り込む」に移動し、 「トークンを追加」をクリックします。
- トークン名を追加し、割り当て済みパーサーリストからJSONパーサーを選択して、JSONパーサーを選択します。
- 「保存」をクリックしてください。
- 作成したトークンの「インジェストトークン」ページにある目のアイコンをクリックすると、インジェストトークンの値が表示されます。プラグインの設定中にそれを「使う」にコピーします。
CrowdStrike LogScaleプラグインを設定する
- 設定 > プラグインストアに移動してください。CrowdStrike LogScale v1.1.0 (CLS)プラグインを検索して選択してください。
- 構成名を追加し、CrowdStrike LogScaleのデフォルトマッピングが選択されていることを確認してください。
トグルボタンを無効にしてください 生のログを変換するには、プラグインが JSON 形式のデータの共有のみをサポートしているためです。
- 「次へ」をクリックし、以下のパラメータを入力してください。
- CrowdStrike LogScale Host
- Ingest Token
- 「保存」をクリックしてください。新しいプラグインの設定は、Log Shipper > プラグインで確認できます。
LogScale のログシッパービジネスルールを設定する
- Log Shipper > ビジネスルールに移動すると、デフォルトで、すべてのアラートとイベントをフィルタリングするビジネスルールが設定されています。
- 特定の種類のアラートまたはイベントをフィルターで除外する場合は、 [新しいルールの作成] をクリックし、ルール名とフィルターを追加して新しいビジネス ルールを構成します。 完了したら、 「保存」をクリックしてください。
LogScale の Log Shipper ログ配信の設定
- Log Shipper > Log Deliveryに移動してAdd Log Delivery Configurationをクリックしてください。
- アラートやイベントについては、Sourceプラグイン(Netskope CLS)とDestinationプラグイン(CrowdStrike LogScale)を選択し、ビジネスルールを選択して Saveをクリックします。
- WebTx の場合は、ソース プラグイン (AWS Netskope LogStreaming または Azure Netskope LogStreaming)、宛先プラグイン ( CrowdStrike LogScale ) を選択し、 Saveをクリックします。
- ログ配信構成が追加されると、データがNetskopeテナントから取得され、 CrowdStrike LogScale プラットフォームに取り込まれ始めます。
LogScaleプラグインを検証する
プルを検証する
Cloud Exchange で、 Loggingに移動して、フィルターメッセージに pulled が含まれているログを検索します。
プッシュ通知を検証する
Validate in Cloud Exchange
- ログ記録に移動してください。
- フィルターメッセージに「insted」が含まれるようにして、取り込まれたアラートを検索します。
- 取り込まれたログはフィルタリングされます。
Validate in CrowdStrike LogScale
- 検索タブに移動してください。
- フィルターを適用して、特定のデータを表示してください。
トラブルシューティング
取り込まれたデータは LogScale プラットフォームには表示されません。
LogScaleクラウドコミュニティのデータ保持期間は7日間です。データ保持期間より古いデータは、 CrowdStrike LogScale プラットフォームでは利用できなくなります。
What to do: Settings > Data retentionからプラットフォームのデータ保持時間を確認してください。
データ保持時間を更新してください。データ保持期間を更新するためのアクセス権がない場合は、 CrowdStrike LogScale 管理チームに連絡してください。