ExtraHop Reveal(x) 360プラグイン（脅威エクスチェンジ用）

このドキュメントでは、 Netskope Cloud Exchangeプラットフォームの Threat Exchange モジュールを使用して ExtraHop Reveal(x) 360 v1.1.1プラグインを構成する方法について説明します。このプラグインは、ExtraHop プラットフォームの[検出]ページから攻撃者の IP アドレス (ipv4) とホスト名を取得します。このプラグインは、ExtraHop Reveal(x) 360 プラットフォームへのインジケーターの共有をサポートしていません。

前提条件

この設定を完了するには、以下が必要です。

Netskopeテナント（または、例えば本番環境と開発/テスト環境など、複数のテナント）。
Netskopeテナントに設定されたURLリスト。
Netskope Cloud Exchangeテナントには、テナントプラグインと脅威交換プラグインが既に設定済みです。
APIアクセスが有効になっているExtraHop Reveal(x) 360アカウント。
以下のホストへの接続: ExtraHop Reveal(x) 360 ログイン URL。例： https ://extrahop-bd.cloud.extrahop.com/ 。

ExtraHop Reveal(x) 360プラグインのサポート

このプラグインは、ExtraHop プラットフォームの[検出]ページから攻撃者の IP アドレス (ipv4) とホスト名を取得します。プラグインは、ExtraHop Reveal(x) 360 プラットフォームへのインジケーターの共有をサポートしていません。

取得したインジケータータイプ	共有指標タイプ
IPv4, Hostname	サポートされていません

マッピング

プルマッピング

Cloud Exchangeフィールド	エクストラホップ・フィールズ
Value	オブジェクト値、ホスト名
タイプ	IPv4, hostname
重大度	risk_score
Comments	Id: “id”, リスクスコア: “risk_core” タイプ: “タイプ”、 Mattire情報: “mitre_tactics” デスクリプション：「デスクリプション」
Firstseen	mod_time
Lastseen	mod_time

重症度マッピング

Cloud Exchange重要度	エクストラホップの深刻度
LOW	1～30
MEDIUM	31歳から79歳
HIGH	80～99
UNKNOWN	other

権限

システムに対して REST API アクセスとクレデンシャルアクセスの生成を有効にする必要があります。詳細については、こちらのExtraHop Reveal(x) 360 ドキュメントを参照してください。
APIアクセス。

Functionality	権限
プルインジケーター	システムアクセス > 全文読む専用。 NDRモジュールへのアクセス > フルアクセス。

APIの詳細

ExtraHop Reveal(x) 360 REST API は、クレデンシャルを認証し、ExtraHop Reveal(x) 360 からデータを取得するために使用されました。

使うAPI一覧

APIの詳細	方法	APIエンドポイント
Generate Token	役職	/oauth2/token
プルインジケーター	役職	/api/v1/detections/search

Generate Token

API Endpoint: https://extrahop-bd.api.cloud.extrahop.com/oauth2/token?grant_type=client_credentials

Method: 役職

Parameters:

付与タイプ: クライアント認証情報

Headers:

コンテンツタイプ: application/x-www-form-urlencoded

認証: 根拠<base64 encoded client id and client secret separated by colon>

Sample API Response:

{
"access_token": "eyJraWQiOiJkbndoem42RUNpaW9mSDRSTWdVV0FlZ1lhRHMrVlRDeDhXN1dJZnpVYjZjPSIsImFsZyI6********mZGhkcXR0dWM5aXFwc2pndWxzaXEifQ.pw-cbQTSVC1HlRdl_v63si5Jvz6fILbT-wFWua-AEBvk-GXGMXBUKCYs4g-ZvnWnSpcfsMAJZTTOO-05qpbnYE-K3N7qOQ",
"expires_in": 600,
"token_type": "Bearer"
}

データ取得

API Endpoint: https://extrahop-bd.api.cloud.extrahop.com/api/v1/detections/search

Method: 役職

Parameters: なし

Body:

{
"offset": 0,
"limit": 1,
"mod_time": 1696524883357,
"filter": {
"risk_score_min": 0
},
"sort": [
{
"direction": "asc",
"field": "mod_time"
}
]
}

Sample API Response

[
{
“id”: 21474836485,
“start_time”: 1696521252445,
“update_time”: 1696521252445,
“end_time”: 1696521252445,
“mod_time”: 1696524883357,
“title”: “ET SMB トラフィックにおける Ipconfig コマンド - 横方向の移動の可能性”,
cph0} “ リプション”: “ExtraHop システムは、署名 ID\n(SID) 2027185 のルール値に一致するアクティビティを観測しました。\n\n * フロー: [tcp] any → internal 445\n * ペイロード: `/SMB.*(?i)ipconfig(?-i)/s`\n\n\nルール作成日時: 2019-04-11 \n\n\n”,
“risk_score”: 45,
“type”: “ids_bad_unknown”,
“recommended_factors”: [],
“recommended”: false,
“categories”: [
“sec”,
“sec.ids”
],
“properties”: {
“sid”: “2027185”
},
“participants”: [
{
“role”: “offender”,
“object_id”: 12884901896,
“object_type”: “”,
“object_value”: “10.1.0.86”,
“hostname”: “pc2.i.rx.tours”,
“id”: 2171,
“external”: false,
“scanner_service”: null
},
{
“role”: “victim”,
“object_id”: 12884901899,
“object_type”: “”,
“object_value”: “10.1.0.238”,
“hostname”: “pc3.i.rx.tours”,
“id”: 2174,
“external”: false,
“scanner_service”: null
}
],
“ticket_id”: null,
“assignee”: null,
“status”: null,
“resolution”: null,
“mitre_tactics”: [],
“mitre_techniques”: [],
“appliance_id”: 5,
“is_user_created”: false
}
]

パフォーマンスマトリックス

以下は、下記の仕様を持つ大規模CEインスタンスで10万件のIoC（Instruction of Code）を実行した後に実施したパフォーマンス測定結果です。

デスクリプション	Specifications
スタックの詳細	サイズ：L RAM: 32 GB CPU: 16コア
ExtraHop Reveal(x) 360から取得した指標	~14K per minute

ユーザーエージェント

netskope-ce-6.0.0-cte-extrahop-reveal(x)-360-v1.1.1

ワークフロー

ExtraHop Reveal(x) 360のベースURL、クライアントID、およびクライアントシークレットを取得してください。
ExtraHop Reveal(x) 360プラグインを設定します。
ExtraHop Reveal(x) 360 のビジネスルールを設定します。
ExtraHop Reveal(x) 360とThreat Exchange間の共有を設定します。
ExtraHop Reveal(x) 360プラグインを検証します。

動画を見る

再生ボタンをクリックして動画をご覧ください。

ExtraHop Reveal(x) 360のベースURL、クライアントID、およびクライアントシークレットを取得してください。

ExtraHop Reveal(x) 360でSettings > API Accessに移動します。
下にスクロールしてCreate Credentialsをクリックしてください。
Rest API クレデンシャルの名前を入力し、このアクセスを提供します。
- システムアクセス > 全文読む専用。
- NDRモジュールへのアクセス > フルアクセス。
Saveをクリックしてください。
API エンドポイントをコピーし、そこから oath2/token を削除します。これはプラグインのベースURLになります。
IDとシークレットをコピーしてください。この秘密は後で表示されなくなるので、必ずメモしておいてください。

ExtraHop Reveal(x) 360プラグインを設定する

Cloud Exchange で、 Settings > Plugin Storeに移動します。CTE ExtraHop Reveal(x) 360 v1.1.1 (CTE)プラグインボックスを検索して選択します。
基本情報を入力してください：
- Configuration Name: 設定の一意の名前
- Sync Intervalデフォルト設定のままにします。
- Aging Criteria: プラグインの有効期限（日数）。（デフォルト値：90）
- Override Reputationこの設定から受信したインジケーターの評判を上書きする値を設定します。
- Enable SSL ValidationSSL証明書の検証を有効にします。
Nextをクリックして、設定パラメータを入力してください。
- Base URLExtraHop Reveal(x) 360 API ベース URL。このベース URL は、Reveal(x) 360 API Access ページの API エンドポイントに表示されます。ベースURLには/oauth/tokenを含めてはいけません。
- Client IDExtraHop Reveal(x) 360 API ID。
- Client SecretExtraHop Reveal(x) 360 API シークレット。
- Minimum Risk Score: 指定された値以上の深刻度を持つ指標のみが取得されます。0～99の間の値Select 。値が指定されていない場合は、すべての指標が取得されます。
- Retraction Interval: ExtraHopインジケーターのIoC（インシデントオブジェクト）の撤回を実行するまでの撤回間隔（日数）。注：このパラメータは、脅威交換設定でIoC（侵害指標）の撤回が有効になっている場合にのみ考慮されます。
- Initial Range: 初回実行時にデータを取得するのにかかる日数。
Saveをクリックしてください。

ExtraHop Reveal(x) 360 の脅威交換ビジネスルールを設定する

ExtraHop Reveal(x) 360から取得した指標をCloud Exchangeに共有するには、共有したい指標をフィルタリングするビジネスルールが必要です。

脅威交換では、 Business RulesとCreate New Ruleに移動します。
要件に基づいてフィルターを追加し、 Saveをクリックしてください。

ExtraHop Reveal(x) 360プラグインの共有設定

ExtraHop Reveal(x) 360プラグインからNetskopeにIoCを共有するには：

Threat ExchangeでSharingに移動し、 Add Sharing Configurationをクリックします。
ソース構成（ExtraHop Reveal(x) 360）、ビジネスルール、宛先構成（ Netskope ）、およびターゲットをSelect 。既存の IoC リスト名Selectか、新しい IoC リストを作成します。
Saveをクリックしてください。

ExtraHop Reveal(x) 360プラグインを検証する

プルを検証する

Loggingにアクセスして、ExtraHop Reveal(x) 360 プラグインから取得したログを確認することで、プラグインから IoC が取得されていることを検証できます。

プルされたデータは、 Cloud Exchangeに保存され、 Threat Exchange > Threat IoCsで確認できます。プラグインから取得したIoC（侵害指標）を検索します。

タグに基づいてIoCをフィルタリングすることもできます。

ExtraHop Reveal(x) 360 プラットフォームからのプルを確認するには、ExtraHop Reveal(x) 360 プラットフォームにログインし、 [検出]タブに移動します。検出結果が表示されます。このプラグインは、検出された違反者のホスト名とIPアドレスを取得します。

Cloud Exchange で撤回された IoC を確認するには、 Threat IoCsに移動して、撤回値がYes: sources.retracted Is equal true である IoC を検索します。

IoCの撤回は、Cloud Exchangeのログからも確認できます。Loggingに移動して、message Like “extrahop” && message Like “Rectracted”を検索します。

プッシュ通知を検証する

ExtraHop Reveal(x) 360プラグインは、IoCのプッシュをサポートしていません。

ExtraHop Reveal(x) 360から取得したIoC（侵害指標）をNetskopeやThreat Exchangeでサポートされているサードパーティ製プラグインにプッシュできます。IoC撤回を参照してください。

以下は、Cloud Exchangeで削除される前にNetskopeに共有されたIoC（侵害指標）です。

Cloud Exchangeで撤回済みとしてマークされたIoCは、共有されている場合、Netskopeテナントからも撤回されます。

ExtraHop Reveal(x) 360プラグインのトラブルシューティング

プラグインからIoCを取得できません

プラグインからIoCを取得できない場合は、以下のいずれかの理由が考えられます。

IoC（侵害指標）はプル処理には一切利用できません。
ExtraHop Reveal(x) 360 の検出結果には、攻撃者の情報（オブジェクト値やホスト名など）は含まれていません。
ExtraHop Reveal(x) 360 では、設定ページで選択された深刻度に一致する検出結果はありません。

What to do: この問題を解決するには、以下の手順をそれぞれ実行してください。

IoC（侵害指標）はプル処理には一切利用できません。ExtraHop Reveal(x) 360 プラットフォームにログインし、 [検出]タブに移動します。検出された内容が表示され、違反者セクションには検出されたホスト名とIPアドレスが表示されます。
ExtraHop Reveal(x) 360 の検出機能には、オブジェクト値やホスト名などの攻撃者の情報は含まれていません。プラットフォーム上の検出結果に、犯人の情報（ホスト名またはIPアドレス）が含まれているかどうか、 「検出結果」の項目を確認してください。検出結果は、これらの詳細情報のうち少なくとも1つが含まれている場合にのみ取得されます。
ExtraHop Reveal(x) 360 では、設定ページで選択された深刻度に一致する検出結果はありません。