Risk ExchangeのためのForescout eyeFocusプラグイン

このドキュメントでは、Netskope Cloud ExchangeプラットフォームでForescout eyeFocus v1.0.0プラグインを構成する方法について説明します。このプラグインは、Forescout eyeFocus Cloudプラットフォームの Assets ページから資産を取得します。このプラグインは、資産に対するいかなるアクションもサポートしていません。

前提条件

この設定を完了するには、以下が必要です。

• Netskopeテナント（または、例えば本番環境と開発／テスト環境など、複数のテナント）。
• Netskope Cloud Exchangeテナントには、テナントプラグインとリスクエクスチェンジプラグインが既に設定済みです。
• Forescout eyeFocusインスタンスへの接続。例: https://<instance>.cloud.forescout.com

Forescout eyeFocusプラグインサポート

このプラグインは、Forescout eyeFocus Cloud プラットフォームの「資産」ページから資産を取得するために使用されます。このプラグインは、資産に対するいかなる操作もサポートしていません。

マッピング

マッピングは、取得した資産とそれらのそれぞれの詳細を表示するために使用されます。プラグイン構成中にマッピングされたフィールドは、データが取得された後に Records ページに表示されます。プラグインを構成するときに使う推奨マッピングを次に示します。

アセットのプルマッピング

権限

Forescout eyeFocusサポートチームにコンタクトしてください。

{
    "total_hits": 15451,
    "entities": [
        {
            "id": "7febb171-a8b5-493a-89ae-456c70c72ba9",
            "mac_addresses": [
                "08:00:19:b4:40:a0"
            ],
            "ip_addresses": [
                "10.22.16.140"
            ],
            "hostname": "hosp-rad-cts01",
            "last_seen": "2026-05-06T08:55:23.777Z",
            "rem_function": "CT Scanner",
            "rem_vendor": "GE Healthcare",
            "rem_os": "Linux",
            "rem_model": "Revolution EVO / Optima CT660",
            "rem_firmware": "19BW15.42",
            "rem_category": "Medical Device",
            "risk_score": 7.7,
            "risk_severity": "high",
            "risk_exposed_service_list": [
                {
                    "port_protocol": "22_tcp",
                    "service_name": "SSH",
                    "impact_level": "Control"
                },
                {
                    "port_protocol": "23_tcp",
                    "service_name": "Telnet",
                    "impact_level": "Control"
                }
            ],
            "open_ports": [
                {
                    "port": 60313,
                    "protocol": "tcp",
                    "service_name": "SSL"
                },
                {
                    "port": 23,
                    "protocol": "tcp",
                    "service_name": "Telnet"
                },
                {
                    "port": 22,
                    "protocol": "tcp"
                }
            ],
            "risk_device_criticality": "critical",
            "risk_matched_cves": [
                {
                    "cve_id": "CVE-2020-25175"
                },
                {
                    "cve_id": "CVE-2020-25179"
                }
            ],
            "medical_mds_has_document": false,
            "last_seen_online": "2026-05-06T06:05:54.000Z"
        }
}

パフォーマンスマトリックス

これは、50万個のアセットをプルしてこれらの仕様を備えた大規模なCEスタックで実行されたパフォーマンスマトリックスです。

ユーザーエージェント

netskope-ce-v6.1.0-cre-forescout-eyefocus-v1.0.0

ワークフロー

1. Generate a API Token.
2. Forescout eyeFocusプラグインを構成します。
3. ビジネスルールを設定します。
4. Risk Exchange のアクションの構成
5. プラグインを検証してください。

動画を見る

再生ボタンをクリックして動画をご覧ください。

Forescout eyeFocus APIトークンを取得する

APIトークンの生成については、このドキュメントを参照してください：https://docs.forescout.com/fs-cloud/eyefocus/cloud-data-exchange-plugin/generate-an-api-key-for-application-integration.htm

Forescout eyeFocusプラグインの構成

1. Cloud Exchange で、 Settings > Plugin Storeに移動します。Forescout eyeFocus v1.0.0 (CRE)プラグインを検索して選択してください。

   

2. プラグインの設定名を入力し、必要に応じて同期間隔を変更してください。

   

3. Nextをクリックして、設定パラメータを入力してください。

   • Base URL: Forescout eyeFocusクラウドインスタンスのベースURL。例https://demo.cloud.forescout.com.
   • API Token: Forescout eyeFocus REM資産検索APIに対する認証に使うBearer APIトークン。
   • Asset Categories: プルするアセットカテゴリ。Forescoutカテゴリがここで選択されたアセットのみがプルされます。このフィルタは、各API呼び出しの後にプラグインによって適用されます。デフォルトですべてのカテゴリが選択されています。すべてのカテゴリの資産を取得するには、空のままにします。Netskope Clientと互換性のあるホスト（ノートPC／デスクトップPC／電話）を除外し、ホスト／ヘッドレスでない資産のみを取得するには、「IT」の選択を解除します。
   • Pull Strategy: 各プルサイクルで日時の範囲を決定する方法。
     インクリメンタル：最初のプルは「初期範囲」を使用し、それ以降のプルは前回の成功した実行以降に見られた資産のみを取得します。
     フルウィンドウ：各プルは「初期範囲」内のすべての資産を再取得するため、既存の資産は各サイクルで更新されます。
   • Initial Range (in days): さかのぼって確認する日数。「インクリメンタル」プル戦略の場合、これは最初のプルにのみ適用されます。「フルウィンドウ」プル戦略の場合、これはすべてのプルに適用されます。有効な範囲：1から365。
   • Pagination Window (in days): プルがスライスされる各日時ウィンドウのサイズ (REM APIは、ページ番号ではなく、時間ウィンドウを狭めることによってページ分割されます)。依然として1000アセットのAPI制限を超えるウィンドウは、自動的に小さなサブウィンドウに分割されます。有効範囲：1から30。
   • Apply Risk Score Filter: Select Yesを選択して、Forescoutリスクスコアによって取得されたアセットをフィルタリングします。追加の最小リスクスコアおよび最大リスクスコアフィールドが表示され、REMアセット検索APIによってサーバー側で適用されます。Select Noして、すべてのリスクスコアのアセットをフェッチします。
   • Minimum Risk Score: Forescoutリスクスコアがこの値以上のアセットのみを取得します（0〜10のスケール、小数を指定可能、例：1.2）。REM アセット検索 API によってサーバー側で適用されます。下限なしの場合は空白のままにしてください。注：リスク境界を設定すると、APIはリスクスコアが0のアセットを除外します。
   • Maximum Risk Score: Forescoutリスクスコアがこの値以下（0～10のスケール。小数点以下も可。例：3）のアセットのみをフェッチします。REMアセット検索APIによってサーバー側で適用されます。上限なしの場合は空白のままにします。

   

4. Next をクリックし、エンティティドロップダウンから必要なエンティティを選択します。必要に応じてフィールドマッピングを提供します。Add New Entity をクリックして、新しいものを作成できます。

   

   新しいフィールドを作成するには、 Add Fieldをクリックしてください。

   

   必要に応じてフィールドラベル、データ型、正規化、および集計戦略を入力し、Saveをクリックします。

   

   作成したフィールドをマッピングします。

   

   

   プラグインを構成する前に、マッピングセクションを確認してください。

5. Click Save. Your plugin appears on the Plugins page.

   

Forescout eyeFocusプラグインのためのリスクエクスチェンジビジネスルールの構成

1. Risk ExchangeでBusiness Rulesに移動してください。

2. 右上隅のCreate New Ruleクリックしてください。

3. ルール名を入力します。Select the Forescout eyeFocusプラグイン用に構成したフィールドのエンティティを選択し、要件に基づいてクエリを構成します。

   

4. Saveをクリックします。この例では、プラグインから取得したデータをフィルタリングします。

   

Forescout eyeFocusプラグインのRisk Exchangeアクションを設定する

CRE Forescout eyeFocusは、次のアクションタイプをサポートしています：

アクションなし：このアクションに対してアクションは実行されません。このアクションを使用して、アラートの生成トグルを有効にすることで、Ticket OrchestratorでUBAアラートを生成できます。

No Action

1. Risk ExchangeでActionsに移動し、 Add Action Configurationをクリックします。
2. Select 必要なビジネスルール、構成、およびアクション（アクションなし）をそれぞれのドロップダウンから。
3. Enable the Generate Alert toggle.
4. 取得したレコードに対して操作を実行する前に承認が必要な場合は、 「承認が必要」トグルを有効にしてください。
5. Saveをクリックしてください。

Forescout eyeFocusプラグインを検証する

Cloud Exchangeで検証する

Risk Exchangeで、Records に移動します。フィールドマッピングを構成する際に選択されたエンティティを選択して、プルされたレコードを表示します。

取得したレコードに関連するログを確認するには、Settings > Logging に移動し、プラグイン名またはプラグイン構成名でフィルターを適用します。

実行された「アクションなし」のアクションのログ：

プルされたレコードが構成されたビジネスルールのいずれかに一致すると、構成されたアクションがそのレコードに対して実行されます。これは Risk Exchange > Action Logs で確認できます。

Forescout eyeFocusでの検証

Forescout eyeFocusで利用可能なアセットを表示するには、Forescout eyeFocusインスタンスにログインしてください。

Assetsに移動します。これは、アセットレコードを Cloud Exchange にプルするページです。

Forescout eyeFocusプラグインのトラブルシューティング

Forescout eyeFocus プラグインを構成できません

プラグインが保存に失敗しエラーが発生する場合、以下のいずれかの理由が考えられます。

• ベースURLが正しくないか、URLスキームがないか、CEインスタンスから到達できません。
• APIトークンが無効であるか、有効期限が切れているか、十分な権限がありません。

What to do:

1. ベースURLが正しいForescout eyeFocus CloudインスタンスURLであることを確認してください（スキーマを含む（https://demo.cloud.forescout.comなど））。
2. Forescout eyeFocusサポートチームにコンタクトし、Forescout eyeFocus CloudコンソールからAPIトークンを再生成してから、プラグイン構成を更新してください。

Forescout eyeFocusプラグインからアセットをプルできません

アセットレコードをプルできない場合、Forescout eyeFocusプラットフォームでアセットレコードが利用できない可能性があります。

What to do: プラグイン構成で使用される初期時間範囲の下で、Forescout eyeFocus プラットフォームに資産レコードが存在するかどうかを確認します。「Forescout eyeFocusでの検証」セクションを参照してください。

既知の行動

• Forescout eyeFocusサービスは、1回のリクエストで最大1,000個のアセットを返すことができます。一致するすべてのアセットを取得するために、プラグインは時間範囲とリスクスコアに基づいてリクエストを小さなバッチに自動的に分割します。稀に、最小のバッチでも1,000を超えるアセットが一致する場合、一部のアセットが取得されない可能性があります。これが発生するたびに、CEログにメッセージが記録されます。
• 最小リスクスコアまたは最大リスクスコアを送信すると、Forescout APIはリスクスコアが0のアセットを黙って除外します。プラグインは、選択したリスクスコア範囲を適用する前にすべてのアセットをチェックするため、リスクスコアが0のアセットも含まれます。