Threat Exchange 向けデジタルシャドウプラグイン

このドキュメントでは、 Netskope Cloud Exchangeの Threat Exchange モジュールを使用して Digital Shadow を構成する方法について説明します。この統合により、Digital ShadowからNetskopeにURL（フィッシングサイト警告、サブドメインなりすまし警告、ドメインなりすまし警告）を取得できます。

前提条件

この設定を完了するには、以下が必要です。

Netskopeテナント（または、例えば本番環境と開発／テスト環境など、複数のテナント）。
URL 共有のための Secure Web Gateway サブスクリプション。
Netskope Cloud Exchangeテナント（テナントプラグインと脅威交換プラグインが既に構成済み）
ElevateまたはExtendパッケージが適用されたDigital Shadowインスタンス。Digital Shadow の担当者に連絡し、API クレデンシャルを要求してください (昇格/拡張の一部として付与されたすべてのキーには、必要な権限が付与されます)。
APIキーは6文字の英数字の組み合わせになります（例： ABCD1E ）。API シークレットは 32 文字の文字/数字の組み合わせになります (例: ABCDEF12GHIJKL345MNO6PQRSTUVWXYZ 。
次のホストへの接続: https://api.searchlight.app/ 。

Digital Shadowプラグインのサポート

取得したインジケータータイプ	共有指標タイプ
URL	サポートされていません

ワークフロー

カスタムファイルプロファイルを作成します。
マルウェア検出プロファイルを作成します。
リアルタイム保護ポリシーを作成します。
デジタルシャドウクレデンシャルを作成します。
デジタルシャドウプラグインを設定します。
NetskopeとDigital Shadow間の共有設定を行います。
デジタルシャドウプラグインを検証してください。

動画を見るにはこちらをクリックしてください。

Digital Shadow 用の Secure Web Gateway カスタムファイルプロファイルの作成

Netskope UIで、 Policiesに移動し、 Fileを選択して、 New File Profileをクリックします。
左側のパネルでFile Hashをクリックし、ファイルハッシュのドロップダウンリストからSHA256を選択します。
テキストフィールドに一時的な値を入力してください。Netskope はこのフィールドに値が入力されていない状態で先に進むことをサポートしておらず、文字fで構成される 64 文字の文字列を入力することを推奨しています。例えば、 ffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffff 。有効なファイル形式と一致する可能性は非常に低いでしょう。
Click Next.
プロファイル名とデスクリプションを入力します。プロフィール名に空白文字を含めないことをお勧めします。スペースはアンダースコアで置き換えてください。
Saveをクリックしてください。
このプロファイルをテナントに公開するには、右上のApply Changesをクリックしてください。

Digital Shadow用のマルウェア検出プロファイルを作成する

Netskope UIで、 Policiesに移動し、 Threat Protectionを選択して、 New Malware Detection Profileをクリックします。
Nextをクリックしてください。
注記
この設定例では、このリストのインテリジェンスをブロックリストとして扱います。 Netskopeは、脅威プロファイルに許可リストとブロックリストの両方を含めることをサポートしています。
もう一度Nextクリックしてください。
前のセクションで作成したファイルプロファイルをSelectし、Nextをクリックします。
マルウェア検出プロファイル名を入力し、 Save Malware Detection Profileをクリックします。
このプロファイルをテナントに公開するには、右上のApply Changesをクリックしてください。

Digital Shadow のリアルタイム脅威防御ポリシーを作成する

NetskopeのUIで Policies > Real-time Protectionに移動します。
注記
ここで設定されているポリシーはあくまで一例です。貴組織の状況に合わせて適宜修正してください。
New PolicyをクリックしてThreat Protectionを選択してください。
For Source, leave the default (User = All Users)
For Destination: select Category
カテゴリセクションを展開すると、カテゴリを検索して選択できるようになります。Select Allをクリックしてください。
完了したら、カテゴリセクションの外側をクリックしてください。
「アクティビティと制約」セクションが開いたら、 Editをクリックします。
Select Upload と Downloadを選んでから Saveをクリックします。
For Profile & Action, click in the text field.
前のセクションで作成したマルウェア検出プロファイルSelect 。
重要度レベルについては、すべてのアクション設定をAction: AlertからAction: Blockに変更してください。
テンプレートSelect 、ユーザーに送信されるブロックメッセージを選択してください。
For Set Policy, enter a descriptive Policy Name.
ポリシーを保存するには、右上のSaveをクリックしてください。
表示されたらTo the topを選択してください。（または、セキュリティポリシー内の適切な箇所）
このポリシーをテナントに公開するには、右上のApply Changesを選択してください。

デジタルシャドウを入手するクレデンシャル

Digital Shadow プラットフォームから API キー、API シークレット、および Searchlight アカウント ID を取得するには、Digital Shadow の担当者に連絡し、API クレデンシャルを要求してください (昇格/拡張の一部として付与されたすべてのキーには、必要な権限が付与されます)。

APIキーは6文字の英数字の組み合わせになります（例： ABCD1E ）。API シークレットは 32 文字の文字/数字の組み合わせになります (例: ABCDEF12GHIJKL345MNO6PQRSTUVWXYZ 。

Threat Exchange 用の Digital Shadow プラグインを設定する

Cloud Exchangeで Settings に移動し、 Pluginsをクリックします。
「Digital Shadow」ボックスを検索して選択すると、プラグイン作成ページが開きます。
最初のページで基本情報を入力して選択してください。
- 構成名：構成の一意の名前。
- 同期間隔：デフォルトのまま
- 有効期限基準：プラグインの有効期限（日数）。デフォルト値は90です。
- 評判の上書き：この設定から受信した指標の評判を上書きする値を設定します。
- SSL検証を有効にする：SSL証明書の検証を有効にします。
- システムプロキシ：通信にプロキシが必要な場合は有効にしてください。
Nextをクリックしてください。
2ページ目で設定パラメータを入力してください。
- APIキー：DigitalShadow APIキー。
- APIシークレット: DigitalShadow APIシークレット。
- SearchlightアカウントID：DigitalShadow SearchlightアカウントID。
Saveをクリックしてください。

NetskopeとDigital Shadowの共有設定

Threat Exchangeに移動してSharingを選択してください。「共有」ページには、以下に示すように、各共有設定における既存の関係がグリッドビューで表示されます。共有ページには、あるプラグインから別のプラグインへの新しい共有を設定するための入力欄もあります。
Add Sharing Configurationをクリックし、ソース構成のドロップダウンリストからDigital Shadowを選択します。
ビジネスルールSelect 、次に宛先構成にNetskopeを選択します。設定の共有は一方向です。あるプラグインから取得したデータは、別のプラグインと共有されます。双方向または多方向の共有を実現するには、それぞれを個別に設定してください。
対象Select 。各プラグインは、IoC（侵害指標）のターゲットまたは宛先が異なります。
Saveをクリックしてください。
手順2～5を繰り返しますが、ソース構成としてNetskope 、宛先構成としてDigital Shadowを選択してください。
Saveをクリックしてください。

アクティブなソースポーリングに新しい共有設定を追加すると、ソース設定の既存のIoCが宛先設定に共有されます。新しい共有構成が構築されるたびに、送信元と送信先の組み合わせに一致する場合、すべてのアクティブなIoCも共有対象として検討されます。

注記

データを取り込むためのAPIを持たないプラグインは、脅威データを受信できません。これは、インストールされたプラグインAPI Sourceにも当てはまります。これは、データをプッシュするリモートサードパーティシステムの API エンドポイントに関連付けられたバケットを提供します。共有ポリシーが追加されると、それが有効になります。

共有構成が作成されると、共有テーブルには、呼び出されるルール、潜在的なIoC一致を提供するソースシステム、一致するIoCを受信する宛先システム、およびそのルールに適用されるターゲットが表示されます。複数の共有構成を設定することで、システム宛先システム上であっても、特定のIoCを複数のターゲットにマッピングすることをサポートできます。

共有構成の変更、テスト、または削除

各設定は3つのアクションをサポートします。

鉛筆アイコンをクリックしてルールを編集してください。
同期アイコンをクリックして、ルールをテストしてください。これは、指定された期間とルールに基づいて、実際に宛先システムに送信されるIoC（侵害指標）の数をテストするものです。
ゴミ箱アイコンをクリックしてルールを削除してください。

デジタルシャドウプラグインを検証する

プラグインの設定に基づいて、インジケーターはDigital Shadowからデータを取得します。受信したIoCを表示するには、 Threat Exchange > Threat IoCsにアクセスしてください。