Thales Threat Exchange用プラグイン

このドキュメントでは、 Cloud Exchange プラットフォーム上でThales v1.0.0プラグインの設定方法を説明しています。 このプラグインは使うで、Thalesプラットフォームの Application > Attack Analytics > Incidentsページ からIPv4型のIoCを取得するためのものです。 このプラグインはThalesプラットフォームへのIoC共有をサポートしていません。 このプラグインはThalesプラットフォームから取得したIoCのリトラクションをサポートしています。

前提条件

この設定を完了するには、以下が必要です。

• Netskopeテナント（または、例えば本番環境と開発／テスト環境など、複数のテナント）。
• A URL List on your Netskope tenant.
• Netskope Cloud Exchangeテナントには、テナントプラグインと脅威交換プラグインが既に設定済みです。
• Thalesプラットフォームへの接続性。
• Thales Threat Response Moduleサービスのサブスクリプション。
• APIキーを生成するには、「APIキーの管理」ロールを持つユーザーが必要です。
• 以下のホストへの接続: https://api.thales.com

タレスプラグインサポート

このプラグインは使う、ThalesプラットフォームのApplication > Attack Analytics > IncidentsページからIPv4型のIoCを取得するためのものです。 このプラグインはThalesプラットフォームへのIoC共有をサポートしていません。 このプラグインはThalesプラットフォームから取得したIoCのリトラクションをサポートしています。

IoC撤回

IoCのリトラクション(プル)インジケーターはThalesから取得され、その後のプルサイクルでThalesで一部のインジケーターが削除された場合、Netskope Cloud Exchangeでリトラクトとしてマークされます。

マッピング

プルマッピング

プル型タスクの重要度マッピング

権限

APIキーを生成するには、ユーザーは「APIキーの管理」ロールを持っている必要があります。

[
    {
        "id": "db0cfbe0-d8ca-11f0-1f46-8bef9ba73c98",
        "main_sentence": "Illegal Resource Access attack by a single IP from Bulgaria using Go HTTP library HackingTool ",
        "secondary_sentence": "On host \"thales1.cdsys.io\" ",
        "false_positive": false,
        "events_count": 6,
        "events_blocked_percent": 0,
        "first_event_time": 1765702422735,
        "last_event_time": 1765702621854,
        "severity": "MINOR",
        "severity_explanation": "High risk, High confidence",
        "dominant_attack_country": {
            "country": "Bulgaria",
            "country_code": "BG",
            "dominance": "DOMINANT"
        },
        "dominant_attack_ip": {
            "ip": "195.178.110.158",
            "reputation": [
                "IP reputation Medium risk"
            ],
            "dominance": "STRONGLY_DOMINANT"
        },
        "dominant_attacked_host": {
            "value": "thales1.cdsys.io",
            "dominance": "STRONGLY_DOMINANT"
        },
        "dominant_attack_tool": {
            "name": "Go HTTP library",
            "type": "Suspicious",
            "dominance": "STRONGLY_DOMINANT"
        },
        "dominant_attack_violation": "Illegal Resource Access",
        "only_custom_rule_based": true,
        "how_common": "SPRAY_AND_PRAY",
        "incident_type": "REGULAR"
    }
]

パフォーマンスマトリックス

この測定は、Thalesから10万IoCを引き出して、これらのスペックを持つLarge Cloud Exchange Stack上で行われます。

ユーザーエージェント

netskope-ce-6.0.0-cte-thales-v1.0.0

ワークフロー

1. Thales上でAPIキーを作成してください。
2. Thalesプラグインを設定します。
3. Thales社向けのビジネスルールを追加します。
4. Thales向け共有設定を行います。
5. Thalesプラグインを検証してください。

動画を見る

再生ボタンをクリックして動画をご覧ください。

ThalesでAPIキーを作成する

1. Thalesにログインしてください。
2. 右上隅からAccount > Account Managementへ移動してください。

   

3. 行く User Management > My Profile.

   

4. 下にスクロールしてAPI Keysをクリックし、 Add API Keyをクリックしてください。

   

5. 名前を入力すると、APIキーは期限切れになり、ステータスが有効になります。Createをクリックしてください。

   

6. API IDとAPIキーをコピーしてから、 Closeをクリックしてください。

Thalesプラグインの設定

1. Cloud Exchangeでは Settings > Plugin Storeに行ってください。
2. Thales v1.0.0 (CTE)プラグインボックスを検索して選択します。

   

2. 基本情報を入力してください：
   • Configuration Name: 設定の一意の名前。
   • Sync Intervalこのプラグインからデータを取得し、他のソースからこのプラグインにデータを共有する間隔。
   • Aging Criteria: プラグインの有効期限（日数）（デフォルト：90）。
   • Override Reputationこの設定から受信したインジケーターの評判を上書きする値を設定します。
   • Enable SSL ValidationSSL証明書の検証を有効にします。
   • Use System Proxyプロキシが通信に必要な場合は有効にします。

   注記

   多数のIoCを取得したい場合は、同期間隔の値を大きくする方が良いでしょう。

   

3. 「次へ」をクリックし、設定パラメータを入力してください。
   • Account ID: アカウント固有の識別子。
   • API ID: Thalesインスタンスから生成されたAPI ID。
   • API Key: Thalesインスタンスから生成されたAPIキー。
   • Enable Tagging: タグ付け機能を有効／無効にします。
   • Retraction Interval: Thales IoC に対して IoC 撤回を実行する日数を指定してください。このパラメータはNetskope CEバージョン5.1.0にのみ適用されます。またはそれ以降で、脅威交換設定で I oC(s) 撤回が有効になっている場合。値は1から1800の間である必要があります。
   • Initial Range: 初回実行時にデータを取得するのにかかる日数。値は1から1800の間である必要があります。

5. Saveをクリックしてください。

   

Thalesプラグイン用の脅威交換ビジネスルールを追加する

Thalesから取得した指標をNetskope CEに共有するには、共有したい指標を除外するビジネスルールが必要です。ビジネスルールを設定するには、以下の手順に従ってください。

1. Threat ExchangeでBusiness Rulesに移動し、 Create New Ruleをクリックします。
2. ルールに要件に応じたフィルターを追加し、「保存」をクリックしてください。

   

Thalesの脅威交換共有を構成する

ThalesプラグインはIoCの共有をサポートしていませんが、このプラグインから取得したIoCはNetskope Tenantやその他のサードパーティプラットフォームに共有できます。

ThalesからCloud ExchangeへのIoCを共有するには:

1. Threat ExchangeでSharingに移動し、 Add Sharing Configurationをクリックします。
2. Select ソース構成(CTE Thales)、ビジネスルール、宛先設定(CTE Netskope)、そしてターゲットです。
3. Saveをクリックしてください。

Thalesプラグインを検証する

プルを検証する

抽出されたデータは、脅威IoC（侵害指標）ページに掲載されます。プラットフォームから取得した IoC をフィルタリングするには、フィルタを使用します: sources.source<plugin configuration name> “” のようにします 。

Cloud Exchangeでプルされたログを確認するには、 Logging に行き、Thalesプラグインのログを検索してください。
フィルター:メッセージ「CTE Thales」に類似

Thalesプラットフォームで取得可能なデータを確認するには、Thalesにログインして Application > Attack Analytics > Incidentsへ行ってください。

特定の事件の詳細を確認するには、ここをクリックしてください。 More details.

取り下げられたIoCを確認するには、ログでIoC取り下げに関する項目を確認してください。例：メッセージ例 [撤回]:

プラットフォームから撤回された IoC をフィルタリングするには 、次のフィルタを使用します。<plugin configuration name>

プッシュ通知を検証する

NetskopeテナントのURLリストにIoC（侵害指標）が追加されたことが、ここで確認できます。

共有されていたIoCの一部が撤回されたとマークされたため、リストから削除されました。

Thalesプラグインのトラブルシューティング

ThalesプラットフォームからIoCを取得できません

プラグインの設定後、プラットフォームからIoCが取得されない場合は、以下のいずれかの理由が考えられます。

• プラットフォーム上で取得できるIOC（侵害指標）はありません。
• 指定された構成パラメータ（初期範囲など）では、IoCは利用できません。

What to do: 上記から根本原因を特定し、適切な手順に従って問題を解決してください。

No IOCs are available on the platform to pull:

プラットフォーム上でIoC（侵害指標）が利用可能かどうかを確認してください。可能であれば、次の項目の解決策を確認してください。

IoCs are not available for the given time range

プラットフォーム上でIoCが取得可能で、プラグインがCloud ExchangeでIoCを取得していない場合は、プラグイン設定の初期範囲パラメータに記載されている日数を確認してください。Thalesプラットフォームで、指定された時間帯のデータがあるか確認してください。