CrowdStrike 次世代SIEMプラグイン for Log Shipper

このドキュメントでは、 Netskope Cloud Exchangeプラットフォームの Log Shipper モジュールを使用してCrowdStrike Next-Gen SIEM v1.0.0 プラグインを構成する方法について説明します。このプラグインは、CrowdStrike 次世代 SIEM プラットフォーム上の HEC / HTTP イベントコネクタへのアラート (DLP、マルウェア、ポリシー、侵害されたクレデンシャル、マルサイト、検疫、修復、セキュリティ評価、 CrowdStrikeリスト、UBA、および CTEP) およびイベント (ページ、アプリケーション、監査、インフラストラクチャ、ネットワーク、インシデント、およびエンドポイント) の取り込みをサポートします。このプラグインは、 CrowdStrike Next-Gen SIEMへの生のJSONデータの共有のみをサポートしています。

前提条件

この設定を完了するには、以下が必要です。

Netskopeテナント（または、例えば本番環境と開発／テスト環境など、複数のテナント）。
テナントプラグインとログシッパープラグインが既に設定されているCloud Exchangeテナント。
API URLとAPIトークンを取得するには、CrowdStrike次世代SIEMサーバーへのアクセス権が必要です。
有効な証明書付きのCrowdStrike次世代SIEMサービスへのサブスクリプション。
次のホストへの接続: https://*.ingest.us-1.crowdstrike.com/services/collector 。

CrowdStrike次世代SIEMプラグインのサポート

このプラグインは、CrowdStrike 次世代 SIEM プラットフォーム上の HEC / HTTP イベントコネクタへのアラート (DLP、マルウェア、ポリシー、侵害されたクレデンシャル、マルサイト、検疫、修復、セキュリティ評価、 CrowdStrikeリスト、UBA、および CTEP) およびイベント (ページ、アプリケーション、監査、インフラストラクチャ、ネットワーク、インシデント、およびエンドポイント) の取り込みをサポートします。このプラグインは、 CrowdStrike Next-Gen SIEMへの生のJSONデータの共有のみをサポートしています。

サポートされているデータの種類

データ型	デスクリプション
アラートサポート	はい (侵害されたクレデンシャル、ポリシー、マルサイト、マルウェア、DLP、セキュリティ評価、ウォッチリスト、検疫、修復、UBA、CTEP)
イベントサポート	はい（ページ、アプリケーション、監査、インフラストラクチャ、ネットワーク、インシデント、エンドポイント）
WebTxサポート	サポートされていません
CEログ	サポートされていません

APIの詳細

使うAPI一覧

API Endpoint	Method	Use Case
/services/collector	役職	取り込みアラートとイベント

取り込みアラートとイベント

API endpoint: /services/collector
Method: POST
Headers

鍵	Value
Authorization	Bearer <API Token>
Content-Type	アプリケーション/json
ユーザーエージェント	netskope-ce-5.1.0-cls-crowdstrike-next-gen-siem/1.0.0

API Payload

鍵	Value
event	アラート/イベントJSONペイロード
タイムスタンプ	エポック形式のタイムスタンプ。eg1739436774
フィールド	#ce_log_source	Cloud Exchangeログの一意の識別子。値: Netskope -ce
	#ce_log_source_identifier	次世代SIEMで検索するためのログ識別子。デフォルト値:Netskope Cloud Exchange
	#ce_tenant_name	Cloud Exchange上のテナント構成名。例：プラグイン

Sample API Payload

{
  "event": "<JSONalert/event>",
  "timestamp": 1739436774,
  "fields": {
    "#ce_log_source": "netskope-ce",
    "#ce_log_source_identifier": "Netskope Cloud Exchange",
    "#ce_tenant_name": "Plugins"
  }
}

Sample API Response

{
 "text": "Success",
 "code": 0
}

パフォーマンスマトリックス

このパフォーマンス測定は、以下のVM仕様を持つ大規模スタックCE上で実施されました。これらの測定値は、 CrowdStrike次世代 SIEM プラットフォームに約 8.65 秒で約 10,000 件のアラートとイベントが取り込まれることを考慮して追加されます。

スタックの詳細	サードパーティのSIEMに取り込まれたアラート/イベント
サイズ：大 RAM：32 GB CPU：16コア	約20万EPM

ユーザーエージェント

netskope-ce-5.1.0-cls-crowdstrike-next-gen-siem/1.0.0

ワークフロー

CrowdStrike Next-Gen SIEM の HEC/HTTP イベントコネクタで設定を行います。
Configure the Netskope Tenant and Netskope CLS Plugins
CLS CrowdStrike Next-Gen SIEMプラグインの設定
ビジネスルールを追加する
Add SIEM Mapping
Validation

再生ボタンをクリックして動画をご覧ください。

CrowdStrike Next-Gen SIEMでコネクタを設定する

CrowdStrikeプラットフォームにログインします
左上隅のメニューをクリックして、 Next-Gen SIEM > Data onboardingに移動してください。
HEC / HTTP Event Connectorを検索します。
コネクターカードをクリックし、データソース(データタイプはJSON)とコネクタ名を追加し、 Netskope-sse パーサーを追加します。
利用規約の確認をクリックし、次にSaveをクリックしてください。これにより、 「マイコネクタ」ページにコネクタが作成されます。
API URLとAPIトークンを作成するには、 Generate API keyをクリックしてください。これにより、APIのURLとAPIトークンが表示されます。これらの情報は保存しておいてください。APIトークンは閉じると表示されなくなります。

CrowdStrike Next-Gen SIEMプラグインの設定

Cloud Exchangeで Settings > Pluginsに行ってください。CrowdStrike Next-Gen SIEM v1.0.0 (CLS)プラグインボックスを検索して選択します。
構成名を入力し、CrowdStrike Next-Gen SIEM デフォルトマッピングファイルが選択されていることを確認してください。ログをJSON形式でデータを取り込むように変換するには、トグルボタンを無効にしてください。
「次へ」をクリックし、設定パラメータを入力してください。
- API URL：以前取得したAPI URLを入力してください。例: https://<UniqueIdentifier>.ingest.<Region>.crowdstrike.com/services/collector 。
- APIトークン：以前取得したAPIトークンを入力してください。
- ログソース識別子：これは、すべてのアラートとイベントにタグとして追加されます。デフォルト値はNetskope Cloud Exchangeです。
Saveをクリックしてください。このプラグイン設定は、ログシッパーの「プラグイン」ページで確認できます。

CrowdStrike Next-Gen SIEMプラグインのログシッパービジネスルールを設定する

Log ShipperでBusiness Rulesに移動します。
デフォルトでは、すべてのアラートとイベントをフィルタリングするビジネスルールが設定されています。特定のアラートやイベントをフィルタリングしたい場合は、 Create New Rule をクリックしてルール名とフィルターを追加して新しいビジネスルールを設定してください。
完了したら、 Saveをクリックしてください。

CrowdStrike Next-Gen SIEMプラグイン用のログシッパーSIEMマッピングを設定する

Log ShipperでSIEM Mappingsに移動し、 Add SIEM Mappingをクリックします。
ソースプラグイン（CLS Netskope ）、宛先プラグイン（ CrowdStrike Next-Gen SIEM）、およびビジネスルールSelect 、 Saveをクリックします。
SIEM マッピングが追加されると、 Netskopeテナントからのデータの取得、変換、およびCrowdStrike次世代 SIEM プラットフォームへの取り込みが開始されます。

CrowdStrike Next-Gen SIEMプラグインを検証する

プルを検証する

Cloud Exchangeの Logging にアクセスして、取得したログを検索してください。

プッシュ通知を検証する

Cloud Exchange でプラグインのワークフローを検証するには：

Loggingに移動し、フィルターメッセージに ingested が含まれているものを使用して、取り込まれたイベントとアラートを検索します。取り込まれたログはフィルタリングされます。

CrowdStrike次世代 SIEM プラットフォームのプッシュを検証するには:

CrowdStrikeにログインしてください。
左上隅のメニューをクリックして、 Next-Gen SIEM > Advanced event searchに移動してください。
“(#type=” Netskope -sse”) | (#ce_log_source_identifier=” Netskope Cloud Exchange ”) | tail(1000)” のようなクエリを追加し、さらに(#event.kind=”alert”)を追加することでイベントとアラートを区別できます。または（#event.kind=”event”) 。