Risk Exchange 用 Illumio プラグイン

このドキュメントでは、 Netskope Cloud Exchangeプラットフォームの Risk Exchange モジュールを使用して Illumio v1.0.1 プラグインを設定する方法について説明します。 このプラグインは、 Illumio > Serversおよびエンドポイント > Workloadsからワークロードを取得するために使用します。 このプラグインはホスト上での操作をサポートしていません。

前提条件

このプラグインを設定するには、以下が必要です。

• Netskopeテナント（または、例えば本番環境と開発／テスト環境など、複数のテナント）。
• テナントプラグインとリスクエクスチェンジプラグインが既に設定済みのNetskope Cloud Exchangeインスタンス。
• API 認証用の Illumio プラットフォーム クレデンシャル (PCE URL、PCE ポート番号、PCE 組織 ID、API 認証ユーザー名、API シークレット、ラベル スコープ)。
• 以下のホストへの接続:Illumio プラットフォーム URL(https://login.illum.io/login と同じ)。

Illumioプラグインのサポート

このプラグインは、Illumio > サーバーとエンドポイント > ワークロードからワークロードを取得します。

マッピング

マッピングは プルされたワークロードとその詳細を表示するためのものです。 プラグイン設定時にマッピングされたフィールドは、データ取得後にレコードページに表示されます。以下は、プラグインの設定時に推奨されるマッピングです。 プラグインの設定時に使用します。

ワークロードのプルマッピング

権限

すべてのスコープに対してグローバルアクセス権限が付与されていることを確認してください。My Roles右上隅にあるプロフィール名をクリックすると確認できます。

pce = PolicyComputeEngine(
                url=configuration.get("pce_url", "").strip().strip("/"),
                port=configuration.get("pce_port"),
                org_id=configuration.get("org_id"),
                **kwargs
            )
            pce._session.headers.update(headers)
            pce.set_credentials(configuration.get("api_username").strip(), configuration.get("api_secret"))
            pce.set_tls_settings(verify=self.ssl_validation)
            if self.proxy:
                pce.set_proxies(
                    http_proxy=self.proxy.get('http', ''),
                    https_proxy=self.proxy.get('https', '')
                )

pce.must_connect()

labels = self.pce.labels.get(
                    params={"key": key, "value": value}
                )

パフォーマンスマトリックス

これらのパフォーマンス測定は、Illumioプラグインから50万個のワークロードを取得し、これらのVM仕様を持つ大規模CEスタック上で実施されました。

ユーザーエージェント

netskope-ce-6.0.0-cre-illumio-v1.0.1

ワークフロー

1. API認証用のユーザー名、パスワード、組織IDを生成します。
2. ラベルを取得します。
3. Illumioプラグインを設定します。
4. ビジネスルールを追加します。
5. アクションを追加します。
6. プラグインを検証してください。

動画を見る

再生ボタンをクリックして動画をご覧ください。

API認証用のユーザー名、パスワード、および組織IDを生成します。

1. Illumio プラットフォームにログインします。
2. 右上隅でアカウント名を選択し、 My API Keysをクリックします。
   

   

3. Addをクリックしてください。あなたの組織IDが表示されます。プラグインで使うためにコピーしてください。API認証ユーザー名パスワードを作成するための名前とデスクリプションを入力し、 Createをクリックします。
   

   

4. 認証ユーザー名とシークレット値を保存してください。これらは プラグインを設定するためのもので、今回のみ表示されます。
   

   

ラベルを取得

1. IllumioでServers and Endpoints > Workloadsに移動します。
2. 検索タブで利用可能なラベルを検索してください。必要なラベルを取得します データ取得用プラグインで。 ラベル名にカーソルを合わせると、ラベルの種類を確認できます。
   

   

Illumioプラグインの設定

1. Cloud Exchangeで Settings > Plugin Storeに行ってください。Illumiov1.0.1 (CRE)プラグインボックスを検索して選択します。
   

   

2. プラグイン設定名を追加し、必要に応じて同期間隔を変更してください。
   

   

3. 「次へ」をクリックし、設定パラメータを入力してください。
   • PCE URL: Illumio プラットフォームのベース URL。
   • ポート: PCE ポート番号 – SaaSインスタンスの場合は 443 を使用します。
   • 組織 ID: My API キーからの Illumio PCE 組織 ID。
   • API認証ユーザー名： Illumio PCE上で「マイAPIキー」から生成されたAPI認証ユーザー名。
   • API認証パスワード： Illumio PCE上でMy API Keysから生成されたAPIシークレット。
   • ラベルスコープ：脅威ワークロードのポリシー範囲を構成する、1つ以上のラベルキー/値ペア。これらはkey1:value1,key2:value2,…の形式である必要があります。例: env:Quarantine,loc:ca。
   
   
4. Nextをクリックし、エンティティのドロップダウンリストからエンティティを選択します。エンティティフィールドは、スキーマエディタページで作成することも、 フィールドドロップダウンの「+ フィールドを追加」オプションから作成することもできます。 現場のマッピング情報を提供してください。推奨されるマッピングについては、 「マッピング」を参照してください。
   

   

   ホストを取得するには、ワークロードIDとホスト名のフィールドが必要になりますのでご注意ください。

5. Saveをクリックしてください。プラグインの設定は、 Risk Exchange > プラグインで確認できます。
   

   

Illumio のリスク交換ビジネスルールを追加する

1. Risk ExchangeでBusiness Rulesに移動し、 Create New Ruleをクリックします。
2. ルール名を入力してください。Illumioプラグイン用にフィールドが設定されているエンティティをSelect 、要件に基づいてクエリを設定します。 この例では、Illumioプラグインから取得したすべてのxyzをフィルタリングします。
   

   

3. Save .
   をクリックしてください

   

Illumio のリスク交換アクションを追加する

Illumioプラグインは、以下のアクションタイプのみをサポートしています。

No Action

この件に関して、いかなる措置も講じられません。ユーザーは、Ticket OrchestratorでUBAアラートを生成するには、 このアクションを実行し、アクション内の「アラートの生成」トグルを有効にします。

1. Risk ExchangeでActionsに移動し、 Add Action Configurationをクリックします。
2. それぞれのドロップダウンメニューから、必要なビジネスルール、設定、およびアクションSelect 。
3. ホストに対して操作を実行する前に承認が必要な場合は、 「承認が必要」トグルを有効にしてください。
4. 「承認が必要」が有効になっている場合は、アクションを承認するには、 Cloud Risk Exchange > Action Logsに移動し、承認するアクションを選択してから、 Approveをクリックします。
5. Save .
   

   

   をクリックしてください

Illumioプラグインを検証する

Cloud Exchangeで検証する

Cloud Exchange でのプルを検証するには：

1. リスクエクスチェンジに移動して、 Recordsをクリックしてください。ホストのフィールドマッピングを設定して取得したホストを閲覧する際に選択したエンティティSelect。
   

   

2. Loggingに移動して、プラグインのログを検索してください。
   

   

3. ユーザーが設定済みのビジネスルールのいずれかに一致すると、設定されたアクションがホスト上で実行されます。これは、リスク交換 > アクションログで確認できます。
   

   

Illumioで検証する

ホストはホーム > サーバーとエンドポイント > ワークロードから取得されます。すべてのワークロードのホスト名と、関連するインターフェイスのアドレスは、Illumio プラットフォームから取得されます。

Illumioプラグインのトラブルシューティング

CRE Illumioプラグインの設定ができません。

プラグインの設定中にエラーが発生した場合。

CRE Illumio [CRE Illumio]: Invalid format provided for the Label Scope: must be key1:value1,key2:value2...

CRE Illumio [CRE Illumio]: Illumio API Exception occurred while connecting to PCE for validating credentials. Validate the provided configuration parameters. Error: HTTPSConnectionPool(host='poc1.illum', port=443): Max retries exceeded with url: /api/v2/health (Caused by NewConnectionError(': Failed to establish a new connection: [Errno -2] Name or service not known'))

これらのエラーは、以下のいずれかの理由による可能性があります。

• APIキーとシークレットが無効または削除されています。
• PCE URLが無効です。
• CEで提供されたラベルはプラットフォーム上に存在しないか、ラベルの形式が正しくありません。

What to do:

1. API キーとシークレットが有効かどうか、プラグイン クレデンシャルを確認してください。 有効な場合は、使用しているクレデンシャルがまだ Illumio で利用可能かどうかを確認してください。
2. 設定に追加されたラベルを確認し、それらが Illumio プラットフォームに存在するかどうかを確認します。
3. プラグインに追加されたラベル形式を確認してください。ラベルは、 loc:caのようなキー:値のペア形式で追加されることが想定されています。

Cloud Exchange でホストの詳細を取得できません

レコードテーブルでホストの詳細を表示できない場合は、以下のいずれかの理由が考えられます。

• Illumio プラットフォームにホストが存在しません。
• CRE Illumioプラグインの設定時に、すべてのIllumioフィールドのマッピングは提供されません。
• プラグインのライフサイクル中にエラーが発生しました。

What to do:

1. ホストがIllumio プラットフォームに存在することを確認してください。
2. プラグインの設定時には、必要なマッピングを必ず指定してください。
3. エンティティに作成されたフィールドがマッピングに従っていることを確認してください。
4. プラグインのログをログページで確認し、エラーがないか確認してください。409 Conflict エラーが発生した場合は、しばらくすると自動的に解決されますが、プラグイン設定の同期間隔が 10 分～60 分であることを確認してください。