FortiSIEM log Shipperプラグイン

このドキュメントでは、 Netskope Cloud Exchangeの Log Shipper モジュールを使用して FortiSIEM v1.0.0 プラグインを構成する方法について説明します。このプラグインは、アラート (侵害されたクレデンシャル、ポリシー、マルサイト、マルウェア、DLP、セキュリティ評価、検疫、修復、UBA、ウォッチリスト、CTEP)、イベント (ページ、アプリケーション、監査、インフラストラクチャ、ネットワーク、インシデント、エンドポイント)、ウェブトランザクションデータ、および CE ログ (デバッグ、情報、エラー、警告) の JSON 形式での FortiSIEM への取り込みをサポートします。

前提条件

Netskopeテナント（または、例えば本番環境と開発／テスト環境など、複数のテナント）。
Netskope Cloud Exchangeテナントには、テナントプラグインとログシッパープラグインが既に設定済みです。
Netskope Cloud Exchangeテナントには、 AWS Netskope Log StreamingまたはAzure Netskope Log Streamingプラグインが既に構成されています（Netskope Log StreamingプラグインからWebTxを取得するため）。
Netskope Cloud Exchangeテナントに、CEログを取得するためにSyslog for CEプラグインが既に設定されていること。
以下のホストへの接続：FortiSIEMサーバー。
CEF形式で取り込む際に収集したログを解析するにはパーサーが必要となり、パーサーはユーザーが作成および管理する必要があります。

FortiSIEMプラグインのサポート

FortiSIEMプラグインはすべてのアラート、イベント、WebTx（ Netskope LogStreaming経由）、およびCEログをJSON形式で指定されたFortiSIEMサーバーに取り込むためのものです。 CEF形式でのデータ取り込みはサポートされていません。

データ型	サポート
イベント	はい（監査、アプリケーション、インフラストラクチャ、ネットワーク、インシデント、ページ、エンドポイント）
アラート	はい (DLP、マルウェア、ポリシー、侵害されたクレデンシャル、マルサイト、検疫、修復、セキュリティ評価、ウォッチリスト、CTEP、UBA)
ウェブテキサス	はい（Netskope LogStreaming経由）
Syslog CEログ	はい（情報、デバッグ、警告、エラー）

注記

Google Pub Sub Lite をベースにした CLS WebTX は非推奨となりました。Netskope製品のサポート終了/サポート終了に関するお知らせについては、Netskopeナレッジポータルをご覧ください。
WebTXログをSIEM、SOAR、XDR、データレイクなどのログ配信先に取り込むには、 AWS Netskope Log StreamingまたはAzure Netskope Log Streamingプラグインを使用します。

APIの詳細

プラグインサードパーティ製のログ記録ライブラリを使用して、データをFortiSIEMコレクターに送信します。

Library: logging

このモジュールは、アプリケーションやライブラリ向けの柔軟なイベントログシステムを実装する関数とクラスを定義します。

標準ライブラリモジュールによってログ記録APIが提供されることの主な利点は、すべてのPythonモジュールがログ記録に参加できるため、アプリケーションログに独自のメッセージとサードパーティモジュールからのメッセージを統合できることです。

ロギングライブラリの詳細については、公式ドキュメントを参照してください。

https://docs.python.org/3/library/logging.html

使うメソッドのリスト

Method: logging.getLogger(name=None)

指定された名前のロガーを返します。名前がNoneの場合は、階層のルートロガーであるロガーを返します。

指定された名前でこの関数を呼び出すと、すべて同じロガーインスタンスが返されます。これは、ロガーインスタンスをアプリケーションの異なる部分間で受け渡す必要がないことを意味します。

Method: setLevel(level)

このロガーのしきい値をレベルに設定します。レベルよりも深刻度の低いログメッセージは無視されます。深刻度レベル以上のログメッセージは、このロガーを処理するハンドラーによって出力されます。ただし、ハンドラーのレベルがレベルよりも高い深刻度レベルに設定されている場合はこの限りではありません。

Method: handlers

ハンドラーのリストは、このロガーインスタンスに直接関連付けられています。

この属性は専用として扱う必要があることに注意してください。通常は addHandler() および removeHandler() メソッドを介して変更され、スレッドセーフな動作を保証するためにロックされます。

Method: addHandler(hdlr)
- 指定されたハンドラ hdlr をこのロガーに追加します。
Method: removeHandler(hdlr)
- 指定されたハンドラ hdlr をこのロガーから削除します。

パフォーマンスマトリックス

このパフォーマンス測定は、以下のVM仕様を持つ大規模Cloud Exchangeスタック上で実施されました。これらの読み取り値は、2 秒間に約 10,000 個のイベントが FortiSIEM プラットフォームに取り込まれることを考慮して追加されます。

デスクリプション	仕様
スタックの詳細	サイズ：大 RAM：32 GB CPU：16コア
SIEMに取り込まれたアラート/イベント	約20万EPM

ワークフロー

Configure the FortiSIEM plugin.
FortiSIEM のログシッパービジネスルールを設定します。
FortiSIEMのログシッパーによるログ配信を設定します。
Validate the FortiSIEM plugin.

動画を見る

再生ボタンをクリックして動画をご覧ください。

Configure the FortiSIEM Plugin

Cloud Exchange で、 Settings > Plugin Storeに移動します。FortiSIEM v1.0.0 (CLS)プラグインを検索して選択してください。

設定名を追加し、FortiSIEMのデフォルトマッピングファイルが選択されていることを確認してください。

注記

プラグインはJSON形式での取り込みのみをサポートしているため、ログをJSON形式に変換するトグルボタンを無効にしてください。エンドポイントイベントタイプの取り込みは、CEバージョン5.1.0以降でサポートされています。

Nextをクリックして、以下のパラメータの値を入力してください。
- FortiSIEMサーバー：データが取り込まれるFortiSIEMサーバーのIPアドレス/FQDN。
- FortiSIEM プロトコル: データの取り込み中に使用されるプロトコル。
- FortiSIEM ポート: データ入力構成の作成中に使用されるポートです。

Saveをクリックしてください。新しいプラグインはLog Shipper > Pluginsページで利用可能になります。

FortiSIEM のログシッパービジネスルールを設定する

Log ShipperでBusiness Rulesに移動します。
デフォルトでは、すべてのアラートとイベントをフィルタリングするビジネスルールが設定されています。特定の種類のアラートやイベントを除外したい場合は、 Create New Ruleをクリックして、ルール名とフィルターを追加して新しいビジネスルールを設定します。

Saveをクリックしてください。

FortiSIEM の Log Shipper ログ配信の設定

Log ShipperでLog Deliveryに移動し、 Add Log Delivery Configurationをクリックします。
アラートとイベントについては、ソースプラグイン（CLS Netskope）、宛先プラグイン（CLS FortiSIEM）、およびビジネスルールを選択します。Saveをクリックしてください。
WebTx の場合は、AWS Netskope LogStreaming または Azure Netskope LogStreaming および Destination プラグイン (CLS FortiSIEM) を選択し、 Saveをクリックします。
ログ共有の場合、ソースプラグイン（CLS Syslog for CE）、宛先プラグイン（CLS FortiSIEM）、およびビジネスルールを選択し、 Saveをクリックします。
Log Delivery 構成が追加されると、 Netskopeテナントからのデータの取得、変換、FortiSIEM プラットフォームへの取り込みが開始されます。