Threat Exchange 用 Imperva プラグイン

このドキュメントではCloud Exchangeプラットフォームで Imperva v1.0.0 プラグインを構成する方法について説明します。 このプラグインは、Imperva プラットフォームの[アプリケーション] > [攻撃分析] > [インシデント]ページから IPv4 タイプの IoC を取得するために使用されます。 このプラグインは、Imperva プラットフォームへの IoC の共有をサポートしていません。 このプラグインは、Imperva プラットフォームから取得された IoC の撤回をサポートしています。

前提条件

この設定を完了するには、以下が必要です。

• Netskopeテナント（または、例えば本番環境と開発／テスト環境など、複数のテナント）。
• A URL List on your Netskope tenant.
• Netskope Cloud Exchangeテナントには、テナントプラグインと脅威交換プラグインが既に設定済みです。
• Imperva プラットフォームへの接続。
• Imperva脅威対応モジュールサービスのサブスクリプション。
• APIキーを生成するには、「APIキーの管理」ロールを持つユーザーが必要です。
• 以下のホストへの接続: https://api.imperva.com

Impervaプラグインのサポート

このプラグインは、Imperva プラットフォームの [アプリケーション] > [攻撃分析] > [インシデント] ページから IPv4 タイプの IoC を取得するために使用されます。 このプラグインは、Imperva プラットフォームへの IoC の共有をサポートしていません。 このプラグインは、Imperva プラットフォームから取得された IoC の撤回をサポートします。

IoC撤回

IoC撤回（プル）インジケーターはImpervaから取得され、その後のプルサイクルでImperva上で一部のインジケーターが削除された場合、Netskope Cloud Exchangeで撤回済みとしてマークされます。

マッピング

プルマッピング

プル型タスクの重要度マッピング

権限

APIキーを生成するには、ユーザーは「APIキーの管理」ロールを持っている必要があります。

[
    {
        "id": "db0cfbe0-d8ca-11f0-1f46-8bef9ba73c98",
        "main_sentence": "Illegal Resource Access attack by a single IP from Bulgaria using Go HTTP library HackingTool ",
        "secondary_sentence": "On host \"imperva1.cdsys.io\" ",
        "false_positive": false,
        "events_count": 6,
        "events_blocked_percent": 0,
        "first_event_time": 1765702422735,
        "last_event_time": 1765702621854,
        "severity": "MINOR",
        "severity_explanation": "High risk, High confidence",
        "dominant_attack_country": {
            "country": "Bulgaria",
            "country_code": "BG",
            "dominance": "DOMINANT"
        },
        "dominant_attack_ip": {
            "ip": "195.178.110.158",
            "reputation": [
                "IP reputation Medium risk"
            ],
            "dominance": "STRONGLY_DOMINANT"
        },
        "dominant_attacked_host": {
            "value": "imperva1.cdsys.io",
            "dominance": "STRONGLY_DOMINANT"
        },
        "dominant_attack_tool": {
            "name": "Go HTTP library",
            "type": "Suspicious",
            "dominance": "STRONGLY_DOMINANT"
        },
        "dominant_attack_violation": "Illegal Resource Access",
        "only_custom_rule_based": true,
        "how_common": "SPRAY_AND_PRAY",
        "incident_type": "REGULAR"
    }
]

パフォーマンスマトリックス

この測定は、Impervaから10万個のIoCを取得することにより、これらの仕様を持つ大規模なCloud Exchangeスタック上で実施されました。

ユーザーエージェント

netskope-ce-6.0.0-cte-imperva-v1.0.0

ワークフロー

1. ImpervaでAPIキーを作成してください。
2. Impervaプラグインを設定します。
3. Imperva用のビジネスルールを追加します。
4. Impervaの共有設定を行います。
5. Impervaプラグインを検証してください。

動画を見る

再生ボタンをクリックして動画をご覧ください。

ImpervaでAPIキーを作成する

1. Impervaにログインしてください。
2. 右上隅からAccount > Account Managementへ移動してください。

   

3. 行く User Management > My Profile.

   

4. 下にスクロールしてAPI Keysをクリックし、 Add API Keyをクリックしてください。

   

5. 名前を入力すると、APIキーは期限切れになり、ステータスが有効になります。Createをクリックしてください。

   

6. API IDとAPIキーをコピーしてから、 Closeをクリックしてください。

Impervaプラグインの設定

1. Cloud Exchangeでは Settings > Plugin Storeに行ってください。
2. Imperva v1.0.0 (CTE)プラグインボックスを検索して選択します。

   

2. 基本情報を入力してください：
   • Configuration Name: 設定の一意の名前。
   • Sync Intervalこのプラグインからデータを取得し、他のソースからこのプラグインにデータを共有する間隔。
   • Aging Criteria: プラグインの有効期限（日数）（デフォルト：90）。
   • Override Reputationこの設定から受信したインジケーターの評判を上書きする値を設定します。
   • Enable SSL ValidationSSL証明書の検証を有効にします。
   • Use System Proxyプロキシが通信に必要な場合は有効にします。

   注記

   多数のIoCを取得したい場合は、同期間隔の値を大きくする方が良いでしょう。

   

3. 「次へ」をクリックし、設定パラメータを入力してください。
   • Account ID: アカウント固有の識別子。
   • API ID: Impervaインスタンスから生成されたAPI ID。
   • API Key: Impervaインスタンスから生成されたAPIキー。
   • Enable Tagging: タグ付け機能を有効／無効にします。
   • Retraction Interval: Imperva IoC に対して IoC 撤回を実行する日数を指定します。このパラメータはNetskope CEバージョン5.1.0にのみ適用されます。またはそれ以降で、脅威交換設定で I oC(s) 撤回が有効になっている場合。値は1から1800の間である必要があります。
   • Initial Range: 初回実行時にデータを取得するのにかかる日数。値は1から1800の間である必要があります。

5. Saveをクリックしてください。

   

Impervaプラグイン用の脅威交換ビジネスルールを追加する

Impervaから取得した指標をNetskope CEに共有するには、共有したい指標をフィルタリングするビジネスルールが必要です。ビジネスルールを設定するには、以下の手順に従ってください。

1. Threat ExchangeでBusiness Rulesに移動し、 Create New Ruleをクリックします。
2. ルールに要件に応じたフィルターを追加し、「保存」をクリックしてください。

   

Impervaの脅威交換共有を設定する

ImpervaプラグインはIoCの共有をサポートしていませんが、このプラグインから取得したIoCはNetskopeテナントやその他のサードパーティプラットフォームと共有できます。

ImpervaからCloud ExchangeにIoCを共有するには：

1. Threat ExchangeでSharingに移動し、 Add Sharing Configurationをクリックします。
2. ソース構成（CTE Imperva）、ビジネスルール、宛先構成（CTE Netskope ）、およびターゲットをSelect 。
3. Saveをクリックしてください。

Impervaプラグインを検証する

プルを検証する

抽出されたデータは、脅威IoC（侵害指標）ページに掲載されます。プラットフォームから取得した IoC をフィルタリングするには、フィルタを使用します: sources.source<plugin configuration name> “” のようにします 。

Cloud Exchange で取得したログを確認するには、 Loggingにアクセスして、Imperva プラグインのログを検索してください。
フィルター:メッセージ「CTE Imperva」に類似

Impervaプラットフォームで利用可能なデータを確認するには、Impervaにログインして Application > Attack Analytics > Incidentsへ行ってください。

特定の事件の詳細を確認するには、ここをクリックしてください。 More details.

取り下げられたIoCを確認するには、ログでIoC取り下げに関する項目を確認してください。例：メッセージ例 [撤回]:

プラットフォームから撤回された IoC をフィルタリングするには 、次のフィルタを使用します。<plugin configuration name>

プッシュ通知を検証する

NetskopeテナントのURLリストにIoC（侵害指標）が追加されたことが、ここで確認できます。

共有されていたIoCの一部が撤回されたとマークされたため、リストから削除されました。

Impervaプラグインのトラブルシューティング

Imperva プラットフォームから IoC をプルできません

プラグインの設定後、プラットフォームからIoCが取得されない場合は、以下のいずれかの理由が考えられます。

• プラットフォーム上で取得できるIOC（侵害指標）はありません。
• 指定された構成パラメータ（初期範囲など）では、IoCは利用できません。

What to do: 上記から根本原因を特定し、適切な手順に従って問題を解決してください。

No IOCs are available on the platform to pull:

プラットフォーム上でIoC（侵害指標）が利用可能かどうかを確認してください。可能であれば、次の項目の解決策を確認してください。

IoCs are not available for the given time range

プラットフォーム上でIoCが取得可能であるにもかかわらず、プラグインがCloud ExchangeでIoCを取得していない場合は、プラグイン設定の初期範囲パラメータで指定されている日数を確認してください。Imperva プラットフォームで、指定された時間範囲のデータがあるかどうかを確認します。