Risk Exchange 用 Illumio プラグイン

本書では、Netskope Cloud ExchangeプラットフォームのRisk ExchangeモジュールでIllumio v1.0.2プラグインを構成する方法について説明します。このプラグインは、IllumioプラットフォームのServers and Endpoints > Workloadsからホストを取得するために使用されます。このプラグインは、ホストに対するいかなるアクションもサポートしていません。

前提条件

このプラグインを設定するには、以下が必要です。

• Netskopeテナント（または、例えば本番環境と開発／テスト環境など、複数のテナント）。
• テナントプラグインとリスクエクスチェンジプラグインが既に設定済みのNetskope Cloud Exchangeインスタンス。
• API 認証用の Illumio プラットフォーム クレデンシャル (PCE URL、PCE ポート番号、PCE 組織 ID、API 認証ユーザー名、API シークレット、ラベル スコープ)。
• 以下のホストへの接続:Illumio プラットフォーム URL(https://login.illum.io/login と同じ)。

Illumioプラグインのサポート

このプラグインは、IllumioプラットフォームのServers and Endpoints > Workloadsからホストを取得するために使用されます。このプラグインは、ホストに対するいかなるアクションもサポートしていません。

マッピング

マッピングは、プルされたホストとその詳細を表示するために使用されます。プラグイン設定中にマッピングされたフィールドは、データがプルされた後に「Records」ページで確認できるようになります。プラグインの設定時に使用する推奨マッピングを以下に示します。

ホストのマッピングの取得

権限

すべてのスコープに対してグローバルアクセス権限が付与されていることを確認してください。My Roles右上隅にあるプロフィール名をクリックすると確認できます。

pce = PolicyComputeEngine(
                url=configuration.get("pce_url", "").strip().strip("/"),
                port=configuration.get("pce_port"),
                org_id=configuration.get("org_id"),
                **kwargs
            )
            pce._session.headers.update(headers)
            pce.set_credentials(configuration.get("api_username").strip(), configuration.get("api_secret"))
            pce.set_tls_settings(verify=self.ssl_validation)
            if self.proxy:
                pce.set_proxies(
                    http_proxy=self.proxy.get('http', ''),
                    https_proxy=self.proxy.get('https', '')
                )

pce.must_connect()

labels = self.pce.labels.get(
                    params={"key": key, "value": value}
                )

workloads = self.pce.workloads.get_async(
                # the labels query param takes a JSON-formatted nested list of
                # label HREFs - each inner list represents a separate scope
                params={
                    'labels': json.dumps(refs),
                    # include label keys/values in the response data
                    'representation': 'workload_labels'
                }
            )

パフォーマンスマトリックス

以下のパフォーマンス測定は、Illumioプラグインから50万台のホストをプルし、以下に記載するVM仕様を備えた大規模CEスタック上で実施されました。

ユーザーエージェント

netskope-ce-6.1.0-cre-illumio-v1.0.2

ワークフロー

1. API認証のユーザー名、パスワード、および組織IDを生成します。
2. ラベルを取得します。
3. Illumioプラグインを設定します。
4. ビジネスルールを設定します。
5. アクションを設定します。
6. プラグインを検証してください。

動画を見る

再生ボタンをクリックして動画をご覧ください。

API認証用のユーザー名、パスワード、および組織IDを生成します。

1. Illumio プラットフォームにログインします。
2. 右上隅でアカウント名を選択し、 My API Keysをクリックします。
   

   

3. Addをクリックしてください。あなたの組織IDが表示されます。プラグインで使うためにコピーしてください。API認証ユーザー名パスワードを作成するための名前とデスクリプションを入力し、 Createをクリックします。
   

   

4. 認証ユーザー名とシークレット値を保存してください。これらは プラグインを設定するためのもので、今回のみ表示されます。
   

   

ラベルを取得

1. IllumioでServers and Endpoints > Workloadsに移動します。
2. 検索タブで利用可能なラベルを検索してください。必要なラベルを取得します データ取得用プラグインで。 ラベル名にカーソルを合わせると、ラベルの種類を確認できます。
   

   

Illumioプラグインの設定

1. Cloud Exchange で、 Settings > Plugin Storeに移動します。Illumio v1.0.2 (CRE)プラグインを検索して選択してください。

   

2. 必要に応じて、構成名を追加し、同期間隔を変更してください。

   

3. Nextをクリックし、構成パラメータを入力してください。

   • PCE URL: Base URL of your Illumio Platform, like https://my.pce.com.
   • PCE Port Number：PCEポート番号。SaaSインスタンスには443を使用してください。
   • PCE Organization ID：My API Keysから取得したIllumio PCE Organization ID。
   • API Authentication Username：Illumio PCEの「My API Keys」から生成されたAPI認証ユーザー名。
   • API Secret：My API KeysからIllumio PCE上で生成されたAPIシークレット。
   • Label Scope：脅威ワークロードのポリシー範囲を構成する1つ以上のラベルキー/値ペア（形式：key1:value1,key2:value2,…）。

   

4. Next をクリックし、Entityドロップダウンからエンティティを選択します。エンティティフィールドは、Schema Editorで作成するか、フィールドのドロップダウンから+ Add Fieldを使用して作成できます。フィールドマッピングを提供してください。推奨されるマッピングについては、Mappingsセクションを参照してください。

   

   

5. Click Save. The plugin appears on the Plugins page.

   

Illumio用のRisk Exchangeビジネスルールを構成します

1. Risk ExchangeでBusiness Rulesに移動し、 Create New Ruleをクリックします。

2. ルール名を入力します。Select Illumioプラグイン用に構成されたフィールドのエンティティを選択し、要件に基づいてクエリを構成します。この例では、Illumioプラグインから取得したすべてのxyzをフィルタリングします。

   

3. Saveをクリックしてください。

   

Illumio用のRisk Exchangeアクションを構成する

Illumioプラグインは、以下のアクションタイプのみをサポートしています。

No Action

この件に関して、いかなる措置も講じられません。ユーザーは、Ticket OrchestratorでUBAアラートを生成するには、 このアクションを実行し、アクション内の「アラートの生成」トグルを有効にします。

Configure the Action

1. Risk ExchangeでActionsに移動し、 Add Action Configurationをクリックします。
2. それぞれのドロップダウンメニューから、必要なビジネスルール、設定、およびアクションSelect 。
3. ホストに対して操作を実行する前に承認が必要な場合は、 「承認が必要」トグルを有効にしてください。
4. 「承認が必要」が有効になっている場合は、アクションを承認するには、 Cloud Risk Exchange > Action Logsに移動し、承認するアクションを選択してから、 Approveをクリックします。
5. Saveをクリックしてください。

Illumioプラグインを検証する

Cloud Exchangeで検証する

Cloud Exchange でのプルを検証するには：

Risk Exchangeに移動し、Recordsをクリックします。Select the Entity that is selected while configuring the field mapping for Hosts to view the pulled Hosts.

Loggingに移動して、プラグインのログを検索してください。

ユーザーがいずれかの構成済みビジネスルールに一致すると、構成されたアクションがホストに対して実行されます。これはアクションログで確認できます。

Illumioで検証する

ホストは Servers & エンドポイント > Workloads から取得されます。すべてのワークロードのホスト名と、それに関連付けられたインターフェイスアドレスは、Illumioプラットフォームから取得されます。

Illumioプラグインのトラブルシューティング

CRE Illumioプラグインの設定ができません。

プラグインの設定中にエラーが発生した場合。

CRE Illumio [CRE Illumio]: Invalid format provided for the Label Scope: must be key1:value1,key2:value2...

CRE Illumio [CRE Illumio]: Illumio API Exception occurred while connecting to PCE for validating credentials. Validate the provided configuration parameters. Error: HTTPSConnectionPool(host='poc1.illum', port=443): Max retries exceeded with url: /api/v2/health (Caused by NewConnectionError('<urllib3.connection.HTTPSConnection object at 0x7f6eb920a700>: Failed to establish a new connection: [Errno -2] Name or service not known'))

これらのエラーは、以下のいずれかの理由による可能性があります。

• APIキーとシークレットが無効または削除されています。
• PCE URLが無効です。
• CEで提供されたラベルはプラットフォーム上に存在しないか、ラベルの形式が正しくありません。

What to do:

1. API キーとシークレットが有効かどうか、プラグイン クレデンシャルを確認してください。 有効な場合は、使用しているクレデンシャルがまだ Illumio で利用可能かどうかを確認してください。
2. 設定に追加されたラベルを確認し、それらが Illumio プラットフォームに存在するかどうかを確認します。
3. プラグインに追加されたラベル形式を確認してください。ラベルは、 loc:caのようなキー:値のペア形式で追加されることが想定されています。

Cloud Exchange でホストの詳細を取得できません

レコードテーブルでホストの詳細を表示できない場合、以下のいずれかの理由が考えられます。

• Illumio プラットフォームにホストが存在しません。
• CRE Illumioプラグインの設定時に、すべてのIllumioフィールドのマッピングは提供されません。
• プラグインのライフサイクル中にエラーが発生しました。

What to do:

1. ホストがIllumio プラットフォームに存在することを確認してください。
2. プラグインの設定時には、必要なマッピングを必ず指定してください。
3. エンティティに作成されたフィールドがマッピングに従っていることを確認してください。
4. プラグインのログをログページで確認し、エラーがないか確認してください。409 Conflict エラーが発生した場合は、しばらくすると自動的に解決されますが、プラグイン設定の同期間隔が 10 分～60 分であることを確認してください。