Threat Exchange 用 Darktrace プラグイン

このドキュメントでは、 Netskope Cloud Exchangeプラットフォームの Threat Exchange モジュールを使用して Darktrace v1.0.0 プラグインを設定する方法について説明します。 このプラグインは、Darktraceの「監視対象ドメインとIPアドレス」ページから、ドメイン、FQDN、ホスト名、IPv4、IPv6タイプのIoC（侵害指標）を取得します。このプラグインは、ドメイン、FQDN、ホスト名、IPv4、IPv6を監視対象ドメインとIPアドレスのページに共有することをサポートしています。このプラグインは、DarktraceからのIoC（侵害指標）のプルおよびプッシュによる削除をサポートします。

前提条件

• Netskopeテナント（または、例えば本番環境と開発／テスト環境など、複数のテナント）
• Netskope Cloud Exchangeテナント（テナントプラグインと脅威交換プラグインが既に構成済み）
• Darktraceインスタンス
• 以下のホストへの接続: https:// <region> .cloud.darktrace.com/

Darktraceプラグインのサポート

このプラグインは、Darktraceの「監視対象ドメインとIPアドレス」ページから、ドメイン、FQDN、ホスト名、IPv4、IPv6タイプのIoC（侵害指標）を取得します。このプラグインは、ドメイン、FQDN、ホスト名、IPv4、IPv6を監視対象ドメインとIPアドレスのページに共有することをサポートしています。このプラグインは、DarktraceからのIoC（侵害指標）のプルおよびプッシュによる削除をサポートします。

マッピング

プルマッピング

プルされたIoCの評判マッピング

プッシュマッピング

共有IoCの評判マッピング

IoC撤回

• IoC リトラクション（プル）：インジケーターは Darktrace から取得され、その後のプル サイクルで Darktrace 上で一部のインジケーターが削除された場合、Netskope Cloud Exchange でリトレース済みとしてマークされます。
• IoCの取り消し（プッシュ）：Cloud Exchange に存在する取り消されたインジケーターは、共有中に<third-party platform> から削除されます。

権限

以下の権限が必要です。

• ドメインを編集する 
• Visualizer 
• Edit Tags 

[
    "Default",
    "threatintel",
    "external",
    "cloud-exchange",
    "netskope"
]

[
    {
        "name": "101.44.42.56",
        "strength": "45",
        "description": "malicious IP",
        "source": "threat"
    },
    {
        "name": "db-08a3ed2f40.corp-internal.local",
        "hostname": true,
        "strength": "45",
        "description": "malicious hostname",
        "source": "threat"
    },
]

{
    "addlist": "malsite.malware.com,exploit.com,76.83.2.190",
    "description": "Netskope CE | <3rd party plugin name>",
    "strength": 50,
    "source": "external-source"
}

{
    "response": "SUCCESS",
    "added": 3,
    "updated": 0,
    "addedList": [
        "malsite.malware.com",
        "exploit.com",
        "76.83.2.190"
    ]
}

{
    "removeentry": "db-08a3ed2f40.corp-internal.local",
    "source": "threatintel"
}

{
    "response": "SUCCESS"
}

パフォーマンスマトリックス

以下は、これらの仕様を持つ大規模Cloud Exchangeスタック上で、Darktraceとの間で10万個のインジケーターをプルおよび共有することによって実施されたパフォーマンス測定結果です。

ユーザーエージェント

netskope-ce-6.0.1-cte-darktrace-v1.0.0

ワークフロー

1. Darktraceでユーザーを作成します。
2. 公開トークンと非公開トークンを取得してください。
3. Darktraceプラグインを設定します。
4. ビジネスルールを設定します。
5. 共有を設定する。
6. Darktraceプラグインを検証してください。

動画を見る

再生ボタンをクリックして動画をご覧ください。

Darktraceでユーザーを作成する

1. DarktraceインスタンスにログインしてAdmin > Permissions Adminに移動してください。

   

2. Created Accountsに移動してCreate new userをクリックしてください。

   

3. ユーザー名とパスワードを入力し、 User Templateをクリックしてください。

   

4. 「ユーザーテンプレートSelectでは、「なし」を選択してください。

   

5. 脅威トレイの動作カテゴリページで、すべてのトグルがオンになっていることを確認してください。

   

6. Make sure all toggles are checked on the Flags page.

   

7. ドメインの編集、ビジュアライザー、タグの編集の権限を付与してから、 Summaryをクリックします。

   

8. Create new accountをクリックしてください。

   

パブリックトークンとプライベートトークンを取得する

1. 先ほど作成したユーザーアカウントでログインし、 Account Settingsにアクセスしてください。

   

2. API Accessをクリックして、生成された公開トークンと秘密トークンをコピーしてください。これらはDarktraceプラグインの設定に必要です。

   

Darktraceプラグインの設定

1. Cloud Exchange で、 Settings > Plugin Storeに移動します。Darktrace v1.0.0 (CTE)プラグインを検索して選択してください。

   

3. 基本情報を入力してください：
   • Configuration Name: プラグイン設定名。
   • Sync Intervalこのプラグインソースからデータを取得する間隔。
   • Indicator Aging Criteria: 特定の時間が経過したら、インジケーターの有効期限を切れるように設定する。
   • Override Reputationこの設定から受信したインジケーターの評判を上書きする値を設定します。デフォルト設定のままにする場合は空欄のままにしてください。
   • Enable SSL ValidationSSL証明書の検証を有効にします。
   • Tags Aggregate Strategy: 既存のIoCに新しいタグを追加するか、上書きするかを選択してください。この設定パラメータは、この設定用に取得されたインジケーターのタグの保存方法を決定します。

   

4. Nextをクリックして、設定パラメータを入力してください。
   • Base URL: DarktraceインスタンスのベースURL。
   • Public Token: Darktrace プラットフォームから生成されたパブリック トークン。
   • Private Token: Darktraceプラットフォームから生成されたプライベートトークン。
   • Source Name: IoC（侵害指標）を取得するIntelフィードソースの名前。このパラメータには、ソース名を1つだけ入力してください。利用可能な情報源は、Intel > 監視対象ドメインのページで確認できます。
   • Enable Polling: Darktraceからの脅威IoCのポーリングを有効/無効にします。脅威IoCをDarktraceにプッシュするだけでよい場合は、無効にしてください。

   

5. Saveをクリックしてください。

   

Darktrace 用の Threat Exchange ビジネスルールを設定する

ビジネスルールは 共有する指標をフィルタリングするためのものです。 DarktraceとIoCを共有するには、ビジネスルールを作成します。

1. Threat ExchangeでBusiness Rulesに移動し、 Create New Ruleをクリックします。
2. ルール名を入力し、IoCをフィルタリングするフィールドを選択してください。

   

3. Saveをクリックしてください。

Darktraceの脅威交換共有を設定する

IntelフィードソースアクションにIoCを追加します。共有を設定するには：

1. Threat ExchangeでSharingに移動し、 Add Sharing Configurationをクリックします。
2. ソース（Darktraceにデータを共有する元のソース）、ビジネスルール、および宛先Select 。
3. 目標値Select 、要件に応じてアクションパラメータを設定してください。
   • Source Name: IoC（侵害指標）を追加するIntelフィードソース名。Darktraceプラットフォームで新しいソースを作成するSelect Create new source。
   • Custom Source: 存在しない場合に作成するカスタムソースの名前。
   • Exact Hostnames: 追加された項目をドメイン名ではなくホスト名として扱うには、trueに設定します。IPタイプのIoCには適用されません。ホスト名タイプの IoC の場合、共有設定で「正確なホスト名」が false に設定されていても、常に True になることに注意してください。
   • Flag for Response: エントリが検出された場合、Darktraceの自律応答アクションが自動的にトリガーされるように設定します。
4. Saveをクリックしてください。

   

Darktraceプラグインを検証する

プルを検証する

Darktraceの指標は、 「監視対象ドメインとIPアドレス」ページから取得されます。

Darktraceインスタンスにログインしてください。

Intel > Watched Domainsへ移動してください。

Cloud Exchangeに保存されている指標はThreat Exchange > Threat IoCsで確認できます。Darktraceのインジケータをフィルタリングして、DarktraceのIoC（侵害指標）を検索します。

例: 「sources.source Is equal “CTE Darktrace” && type IN (“<IOC_TYPE>”)」のようなクエリを追加します。

また、Cloud Exchangeで取得したインジケーターは、 Loggingで利用可能なログから確認できます。

プッシュ通知を検証する

Darktraceと共有されているIoCは、 Loggingで入手可能なログから確認できます。 

Darktrace で共有 IoC を検証するには、 Intel > Watched Domainsにアクセスしてください。

Cloud Exchangeでこのインジケーターが取得され、Darktrace に共有された元のソースを確認するには、その特定の IoC のデスクトップリプションを確認してください。

例えば、Threat Exchange から Darktrace にインジケーターが共有された場合、その特定の IoC の Darktrace の ブレーク リプションにはNetskope CE | Netskope Threat Exchangeと表示されます。 

DarktraceからNetskopeテナントまたはサードパーティプラットフォームに共有されたIoCが取り下げられると、取り下げ結果に<plugin-config-name>: retractedとマークされます。第三者プラットフォームから削除されない場合、取り消し結果は保留状態となります。

撤回を検証する

Darktraceから取り下げられたIoCを確認するには、ログでIoCの取り下げに関する項目を確認してください。例：「メッセージ Like CTE Darktrace [configuration_name] [Retraction] 」。 

プッシュ取り消し時のログ例：

Cloud Exchangeで撤回されたIoCを確認するには、 Threat IoCs にアクセスして 「sources.source Like "CTE Darktrace" & & sources.retracted Is equal"で検索してください。 

このプラグインはプッシュの取り消しもサポートしています。つまり、 Netskopeまたはサードパーティのプラットフォームから取得され、Darktrace プラットフォームに共有され、 Cloud Exchangeで取り消し済みとしてマークされている IoC は、そのプラットフォームが IoC の削除をサポートしている場合、共有プラットフォームからも削除されます。 撤回結果欄で確認できます。 

Darktraceプラグインのトラブルシューティング

プラグインの設定中にエラーが発生しました

Darktraceプラグインの設定中に問題が発生しました。

What to do:

正しいクレデンシャルが提供されていることを確認してください。 クレデンシャルを生成するには、次の手順に従います。

Darktrace プラットフォームからデータを取得できません

Darktraceプラグインからデータを取得する際にエラーが発生しています。

What to do:

1. ログページにアクセスして、エラーが発生していないか確認し、修正を試みてください。
2. 公開トークンと秘密トークンの有効期限が切れていないことを確認してください。

Cloud ExchangeからDarktraceにIoCを共有できません

NetskopeからDarktraceにIoCを共有できない場合、以下のいずれかの理由が考えられます。

• Netskopeプラグインに存在するIoCは無効なタイプです。
• 公開トークンとプライベートトークンは期限切れです。

What to do:

1. 有効なタイプのIoCが存在することを確認してください。Darktraceは、ドメイン、FQDN、ホスト名、IPv4、IPv6を「監視対象ドメインとIPアドレス」ページに共有することをサポートしています。
2. 公開トークンと秘密トークンの有効期限が切れていないことを確認してください。

既知の行動

• Darktraceプラグインは、同期間隔ごとに設定されたソース名からすべてのIoC（侵害指標）を取得するため、同期間隔ごとにすべてのIoCのヒット数が1ずつ増加します。
• DarktraceからIoCを削除する際（プッシュリトラクション）、ソース名は必須パラメータです。
  例：
  • Initial State:
    • Action 1 (Source 1): IoC 1～5をフィルタリングしてプッシュします。
    • Action 2 (Source 2): IoC 6～10をフィルタリングしてプッシュします。
  • Retraction Event:
    • IoC 1、2、6、および7は撤回済みとしてマークされています。
  • Current Core Behavior:
    • プラグインは、[1, 2, 6, 7]のような取り下げられたインジケーターのリストと、設定済みのアクションのリスト[アクション1(ソース1), アクション2(ソース2)]を受け取ります。
  • The Conflict: プラグインは、1と2がソース1に属し、6と7がソース2に属することを認識していません。そのため、対象を絞った撤回を実行するためのコンテキストがありません。
  • Current Implementation: このプラグインは、ソース1とソース2の両方からIoC 1、2、6、7を削除します。 

• 上記のケースに関連するもう1つの問題は、アクションが設定されていない場合（最初に設定され、IoCがプッシュされたが、今は削除されている場合）、IoCを削除するソース名がないため、IoCの取り消しが機能しないことです。
• IoCがシステム間で繰り返しプッシュおよびプルされるシナリオを防ぐため、このプラグインは特定の保護策を実装しています。

  Cloud Exchangeからプッシュされた IoC が Darktrace からCloud Exchangeにプルバックされた場合、それは IoC のデスクトップリプションが手動またはサードパーティのエンティティソース API を介して更新されたことが原因です。 プラグインは IoC をチェックし、 Cloud Exchangeから IoC がプッシュされたときにNetskope CE|<plugin_name>のようなソース ラベルを探します。 このソースラベルがIoCに見つからなければ、Cloud Exchangeで取得されます。