このドキュメントでは、 Netskope Cloud Exchangeの Log Shipper モジュールを使用して FortiSIEM v1.0.0 プラグインを構成する方法について説明します。 このプラグインは、アラート (侵害されたクレデンシャル、ポリシー、マルサイト、マルウェア、DLP、セキュリティ評価、検疫、修復、UBA、ウォッチリスト、CTEP)、イベント (ページ、アプリケーション、監査、インフラストラクチャ、ネットワーク、インシデント、エンドポイント)、ウェブ トランザクション データ、および CE ログ (デバッグ、情報、エラー、警告) の JSON 形式での FortiSIEM への取り込みをサポートします。
前提条件
- Netskopeテナント（または、例えば本番環境と開発／テスト環境など、複数のテナント）。
- Netskope Cloud Exchangeテナントには、テナントプラグインとログシッパープラグインが既に設定済みです。
- Netskope Cloud Exchangeテナントには、 AWS Netskope Log StreamingまたはAzure Netskope Log Streamingプラグインが既に構成されています（Netskope Log StreamingプラグインからWebTxを取得するため）。
- Netskope Cloud Exchangeテナントに、CEログを取得するためにSyslog for CEプラグインが既に設定されていること。
- 以下のホストへの接続：FortiSIEMサーバー。
- CEF形式で取り込む際に収集したログを解析するにはパーサーが必要となり、パーサーはユーザーが作成および管理する必要があります。
FortiSIEMプラグインのサポート
FortiSIEMプラグインは すべてのアラート、イベント、WebTx（ Netskope LogStreaming経由）、およびCEログをJSON形式で指定されたFortiSIEMサーバーに取り込むためのものです。 CEF形式でのデータ取り込みはサポートされていません。
| データ型 | サポート |
|---|---|
| イベント | はい（監査、アプリケーション、インフラストラクチャ、ネットワーク、インシデント、ページ、エンドポイント） |
| アラート | はい (DLP、マルウェア、ポリシー、侵害されたクレデンシャル、マルサイト、検疫、修復、セキュリティ評価、ウォッチリスト、CTEP、UBA) |
| ウェブテキサス | はい（Netskope LogStreaming経由） |
| Syslog CEログ | はい（情報、デバッグ、警告、エラー） |
注記
- Google Pub Sub Lite をベースにした CLS WebTX は非推奨となりました。Netskope製品のサポート終了/サポート終了に関するお知らせについては、Netskopeナレッジポータルをご覧ください。
- WebTXログをSIEM、SOAR、XDR、データレイクなどのログ配信先に取り込むには、 AWS Netskope Log StreamingまたはAzure Netskope Log Streamingプラグインを使用します。
APIの詳細
プラグイン サードパーティ製のログ記録ライブラリを使用して、データをFortiSIEMコレクターに送信します。
Library: logging
このモジュールは、アプリケーションやライブラリ向けの柔軟なイベントログシステムを実装する関数とクラスを定義します。
標準ライブラリモジュールによってログ記録APIが提供されることの主な利点は、すべてのPythonモジュールがログ記録に参加できるため、アプリケーションログに独自のメッセージとサードパーティモジュールからのメッセージを統合できることです。
ロギングライブラリの詳細については、公式ドキュメントを参照してください。
使うメソッドのリスト
Method: logging.getLogger(name=None)
指定された名前のロガーを返します。名前がNoneの場合は、階層のルートロガーであるロガーを返します。
指定された名前でこの関数を呼び出すと、すべて同じロガーインスタンスが返されます。これは、ロガーインスタンスをアプリケーションの異なる部分間で受け渡す必要がないことを意味します。
Method: setLevel(level)
このロガーのしきい値をレベルに設定します。レベルよりも深刻度の低いログメッセージは無視されます。深刻度レベル以上のログメッセージは、このロガーを処理するハンドラーによって出力されます。ただし、ハンドラーのレベルがレベルよりも高い深刻度レベルに設定されている場合はこの限りではありません。
Method: handlers
ハンドラーのリストは、このロガーインスタンスに直接関連付けられています。
この属性は 専用として扱う必要があることに注意してください。通常は addHandler() および removeHandler() メソッドを介して変更され、 スレッドセーフな動作を保証するためにロックされます。
- Method: addHandler(hdlr)
- 指定されたハンドラ hdlr をこのロガーに追加します。
- Method: removeHandler(hdlr)
- 指定されたハンドラ hdlr をこのロガーから削除します。
パフォーマンスマトリックス
このパフォーマンス測定は、以下のVM仕様を持つ大規模Cloud Exchangeスタック上で実施されました。 これらの読み取り値は、2 秒間に約 10,000 個のイベントが FortiSIEM プラットフォームに取り込まれることを考慮して追加されます。
| デスクリプション | 仕様 |
|---|---|
| スタックの詳細 | サイズ：大 RAM：32 GB CPU：16コア |
| SIEMに取り込まれたアラート/イベント | 約20万EPM |
ワークフロー
- Configure the FortiSIEM plugin.
- FortiSIEM のログシッパービジネスルールを設定します。
- FortiSIEMのログシッパーによるログ配信を設定します。
- Validate the FortiSIEM plugin.
動画を見る
再生ボタンをクリックして動画をご覧ください。
Configure the FortiSIEM Plugin
- Cloud Exchange で、 Settings > Plugin Storeに移動します。FortiSIEM v1.0.0 (CLS)プラグインを検索して選択してください。
- 設定名を追加し、FortiSIEMのデフォルトマッピングファイルが選択されていることを確認してください。
注記
プラグインはJSON形式での取り込みのみをサポートしているため、ログをJSON形式に変換するトグルボタンを無効にしてください。エンドポイントイベントタイプの取り込みは、CEバージョン5.1.0以降でサポートされています。
- Nextをクリックして、以下のパラメータの値を入力してください。
- FortiSIEMサーバー：データが取り込まれるFortiSIEMサーバーのIPアドレス/FQDN。
- FortiSIEM プロトコル: データの取り込み中に使用されるプロトコル。
- FortiSIEM ポート: データ入力構成の作成中に使用されるポートです。
- Saveをクリックしてください。新しいプラグインはLog Shipper > Pluginsページで利用可能になります。
FortiSIEM のログシッパービジネスルールを設定する
- Log ShipperでBusiness Rulesに移動します。
- デフォルトでは、すべてのアラートとイベントをフィルタリングするビジネスルールが設定されています。特定の種類のアラートやイベントを除外したい場合は、 Create New Ruleをクリックして、ルール名とフィルターを追加して新しいビジネスルールを設定します。
- Saveをクリックしてください。
FortiSIEM の Log Shipper ログ配信の設定
- Log ShipperでLog Deliveryに移動し、 Add Log Delivery Configurationをクリックします。
- アラートとイベントについては、ソースプラグイン（CLS Netskope）、宛先プラグイン（CLS FortiSIEM）、およびビジネスルールを選択します。Saveをクリックしてください。
- WebTx の場合は、AWS Netskope LogStreaming または Azure Netskope LogStreaming および Destination プラグイン (CLS FortiSIEM) を選択し、 Saveをクリックします。
- ログ共有の場合、ソースプラグイン（CLS Syslog for CE）、宛先プラグイン（CLS FortiSIEM）、およびビジネスルールを選択し、 Saveをクリックします。
- Log Delivery 構成が追加されると、 Netskopeテナントからのデータの取得、変換、FortiSIEM プラットフォームへの取り込みが開始されます。
Validate the FortiSIEM Plugin
プルを検証する
Netskopeテナントからイベント、アラート、ログ、およびWebtxを取得することを検証します。
Netskope Cloud Exchangeのログイン画面に移動してください。抽出されたログを検索してください。
プッシュ通知を検証する
Cloud Exchange でプラグインのワークフローを検証するには：
Loggingに移動し、フィルターメッセージに ingested が含まれているものを検索して、取り込まれたイベント、アラート、WebTx、およびログを検索します。取り込まれたログはフィルタリングされます。
Troubleshooting the FortiSIEM Plugin
CEからFortiSIEMへのデータ取り込み中にエラーが発生しました。
FortiSIEM プラットフォームでアラート/イベント/ログ/webtx [via Netskope LogStreaming] データをプッシュできない場合は、FortiSIEM プラットフォームでポートが削除または無効になっていることが原因である可能性があります。
What to do:
ポートが存在し、有効になっていることを確認してください。そうでない場合は、新しいポートを作成してください。
取り込んだデータがFortiSIEMプラットフォームに反映されない場合
FortiSIEM プラットフォームでアラート/イベント/ログ/webtx データを表示できない場合は、次のいずれかの理由が考えられます。
- フィルタは SIEM プラットフォームでは正しくありません。
- エラーが発生している可能性がありますが、FortiSIEMプラグインの設定時にポートとしてUDPが選択されました。したがって、取り込まれたログは表示されます。
What to do:
- 正しいフィルターを使用してデータが検索されていることを確認してください。
- 問題がないかどうかを確認するために、必ずTCPポートを選択してください。