このドキュメントでは、 Netskope Cloud Exchangeの Log Shipper モジュールを使用して Darktrace v1.0.0 プラグインを構成する方法について説明します。 このプラグインは、アラート (異常、DLP、マルウェア、ポリシー、侵害されたクレデンシャル、訴訟ホールド、マルサイト、検疫、修復、セキュリティ評価、ウォッチリスト、UBA、CTEP、デバイス、コンテンツ)、イベント (ページ、アプリケーション、監査、インフラストラクチャ、ネットワーク、インシデント、エンドポイント、クライアント ステータス)、BWAN イベント (認証、監査、クライアント、ゲートウェイ、システム)、WebTx の取り込みをサポートします。 [ Netskope LogStreaming 経由] およびログ (デバッグ、情報、エラー、警告)。 データは SIEM プラットフォームに取り込まれます。 このプラグインは、CEF形式とJSON形式でのデータ取り込みをサポートしています。
前提条件
この設定を完了するには、以下が必要です。
- Netskopeテナント（または、例えば本番環境と開発／テスト環境など、複数のテナント）。
- Netskope Cloud Exchangeテナントには、テナントプラグインとログシッパープラグインが既に設定済みです。
- BWANプラグインが既に設定されているNetskope Cloud Exchangeテナント。
- Netskope Cloud Exchangeテナントには、 AWS Netskope Log StreamingまたはAzure Netskope Log Streamingプラグインが既に構成されています（Netskope Log StreamingプラグインからWebTxを取り込むため）。
- Darktraceサーバー。
注記
エンドポイントイベントタイプを使用するには、Cloud Exchangeの最小バージョンが5.1.0である必要があります。BWANイベント、クライアントステータスタイプのイベント、およびデバイスとコンテンツタイプのアラートには、Cloud Exchangeの最小バージョンが5.1.1である必要があります。
Darktraceプラグインのサポート
Darktraceプラグインは すべてのアラート、イベント、WebTx（ Netskope LogStreming経由）、およびCEログをCEFおよびJSON形式で指定されたDarktraceサーバーに取り込むためのものです。
| データ型 | サポート |
|---|---|
| イベント | はい（ページ、アプリケーション、監査、インフラストラクチャ、ネットワーク、インシデント、エンドポイント、クライアントステータス） |
| アラート | はい (DLP、マルウェア、ポリシー、侵害されたクレデンシャル、マルサイト、検疫、修復、セキュリティ評価、ウォッチリスト、UBA、CTEP、デバイス、コンテンツ) |
| Syslog CEログ | はい（情報、エラー、警告、デバッグ） |
| BWANイベント | はい（認証、監査、クライアント、ゲートウェイ、システム） |
| ウェブテキサス | はい（Netskope LogStreaming経由） |
注記
- Google Pub Sub Lite をベースにした CLS WebTX は非推奨となりました。Netskope製品のサポート終了/サポート終了に関するお知らせについては、Netskopeナレッジポータルをご覧ください。
- WebTXログをSIEM、SOAR、XDR、データレイクなどのログ配信先に取り込むには、 AWS Netskope Log StreamingまたはAzure Netskope Log Streamingプラグインを使用します。
APIの詳細
このプラグインは、「ロギング」サードパーティ ライブラリを使用して、データを Syslog コレクターにプッシュします。
Library: logging
このモジュールは、アプリケーションやライブラリ向けの柔軟なイベントログシステムを実装する関数とクラスを定義します。
標準ライブラリモジュールによってログ記録APIが提供されることの主な利点は、すべてのPythonモジュールがログ記録に参加できるため、アプリケーションログに独自のメッセージとサードパーティモジュールからのメッセージを統合できることです。
ロギングライブラリの詳細については、公式ドキュメントを参照してください。
使うメソッドのリスト
Method: logging.getLogger(name=None)
指定された名前のロガーを返します。名前がNoneの場合は、階層構造のルートロガーを返します。
指定された名前でこの関数を呼び出すと、すべて同じロガーインスタンスが返されます。これは、ロガーインスタンスをアプリケーションの異なる部分間で受け渡す必要がないことを意味します。
Method: setLevel(level)
このロガーのしきい値をレベルに設定します。レベルよりも深刻度の低いログメッセージは無視されます。深刻度レベル以上のログメッセージは、このロガーを処理するハンドラーによって出力されます。ただし、ハンドラーのレベルがレベルよりも高い深刻度レベルに設定されている場合はこの限りではありません。
Method: handlers
ハンドラーのリストは、このロガーインスタンスに直接関連付けられています。
注記：
この属性は操作として扱うべきです。
のみ。通常は addHandler() メソッドと removeHandler() メソッドを介して変更されます。 スレッドセーフ性を確保するためにロックします。
- Method: addHandler(hdlr): 指定されたハンドラ hdlr をこのロガーに追加します。
- Method: removeHandler(hdlr): 指定されたハンドラ hdlr をこのロガーから削除します。
ワークフロー
- Darktraceプラグインの設定
- Darktraceプラグインのログシッパービジネスルールを設定します。
- Darktraceプラグインのログシッパーによるログ配信を設定します。
- Darktraceプラグインを検証します。
Darktraceプラグインの設定
- Cloud Exchange で、 Settings > Plugin Storeに移動します。Darktrace v1.0.0 (CLS)プラグインを検索して選択してください。
- プラグイン構成名を追加し、Darktrace デフォルトマッピングファイルが選択されていることを確認してください (必要に応じて CEF マッピング)。
注記
データをJSON形式で取り込む場合は、ログ変換の切り替えボタンを無効にしてください。データをCEF形式で取り込む場合は、有効のままにしてください。
- Nextをクリックして、設定パラメータを入力してください。
- Darktrace server: データを取り込むDarktraceサーバーのIPアドレス/FQDN。
- Darktrace Protocol: データの取り込み中に使用するプロトコル。
- Darktrace Port: Darktraceの移植版。
- Darktrace Certificate: 証明書はTLSプロトコルを使用する場合にのみ必要です。
- Log Source Identifier: これはすべてのログの接頭辞として追加されます。
- Saveをクリックしてください。プラグインの設定はLog Shipper > Pluginsで確認できます。
Darktraceプラグインのログシッパービジネスルールを設定する
- Business Rulesへ移動してください。
- デフォルトでは、すべてのアラートとイベントをフィルタリングするビジネスルールが設定されています。特定の種類のアラートやイベントを除外したい場合は、 Create New Ruleをクリックして、ルール名とフィルターを追加して新しいビジネスルールを設定します。
Darktraceプラグインのログシッパーログ配信を設定する
- Log ShipperでLog Deliveryに移動し、 Add Log Delivery Configurationをクリックします。
- ソースプラグイン（CLS Netskope ）、宛先プラグイン（CLS Darktrace）、およびビジネスルールSelect 。
- WebTxの場合は、ソースプラグイン（AWS Netskope Log StreamingまたはAzure Netskope Log Streaming）と宛先プラグイン（CLS Darktrace）を選択してください。
- ログを共有するには、ソースプラグイン（CLS Cloud Exchange Logs）と宛先プラグイン（CLS Darktrace）を選択してください。
- Saveをクリックしてください。
- Log Delivery 構成が追加されると、 Netskopeテナントからのデータの取得、変換、Darktrace プラットフォームへの取り込みが開始されます。
Darktraceプラグインを検証する
プルを検証する
Netskopeテナントからイベント、アラート、ログ、WebTx（Netskope LogStreaming経由）が取得されたことを検証するには、Cloud ExchangeのLoggingに移動して、取得されたログを検索します。
プッシュ通知を検証する
Cloud Exchange でプラグインのワークフローを検証するには、 Loggingに移動し、フィルターメッセージに ingested が含まれているものを使用して、取り込まれたイベント、アラート、WebTx、CE ログを検索します。取り込まれたログはフィルタリングされます。
Darktraceプラグインのトラブルシューティング
Darktraceプラグインの設定中にエラーが発生しました
すべてのパラメータを入力してSaveをクリックしてもエラーが発生する場合は、以下のいずれかの理由が考えられます。
- サーバー/ポートの設定は、指定された設定と異なる場合があります（Netskope CE/Darktrace）。
- このポートはDarktraceサーバー上で公開されていません。
What to do:
Darktraceサーバー上でポートを公開してください。
CEからDarktraceへのデータ取り込み中にエラーが発生しました。
Darktrace プラットフォームでアラート/イベント/ログ/webtx データをプッシュできない場合は、次のいずれかの理由が考えられます。
- ポートは Darktrace プラットフォームで削除/無効化されています。
- Darktraceサーバーのストレージ容量がいっぱいです。
What to do:
- ポートが存在し、有効になっていることを確認してください。そうでない場合は、新しいポートを作成してください。
- 必要でない場合はイベントデータを削除するか、Darktraceサーバーのストレージ容量を増やしてください。
取り込んだデータがDarktraceプラットフォームに反映されない場合
Darktrace プラットフォームでアラート/イベント/ログ/webtx データを表示できない場合は、次のいずれかの理由が考えられます。
- Darktrace プラットフォームのフィルターが正しくありません。
- エラーが発生している可能性がありますが、Darktraceプラグインの設定時にポートでUDPが選択されました。
What to do:
- 正しいフィルターを使用してデータが検索されていることを確認してください。
- 問題がないかどうかを確認するために、必ずTCPポートを選択してください。
ネットワークセッションIDフィールドの型が予期しないため、ネットワークイベントはスキップされました。
ネットワークセッションIDフィールドの値を取得できない場合は、 ネットワークセッションIDフィールドが数値型になっている古いDarktraceプラグインが原因である可能性があります。
What to do:
非数値データを処理できるように、ネットワークセッションIDフィールドを文字列型に更新します。
- To update mappings, go to Settings > Log Shipper > Clone Darktrace Default Mappings and add name for cloned mapping. Click Events > Network > Extension and select the String Type for
networkSessionId. Click Save. - プラグイン設定内の更新されたマッピングファイル。
