Risk ExchangeのためのInfoblox BloxOneプラグイン

このドキュメントでは、Infoblox BloxOne v1.0.0プラグインをNetskope Cloud ExchangeプラットフォームのRisk Exchangeモジュールで構成する方法を説明します。このプラグインは、Monitor > Reports > Security > Application Discovery > All Applications からアプリケーションデータを、Infoblox BloxOne プラットフォームの Configure > Security > Endpoints ページからデバイスをフェッチします。このプラグインは、アプリケーションに対してアプリケーションステータスの更新アクションを実行することをサポートしますが、デバイスに対するアクションはサポートしません。

前提条件

この統合を完了するには、以下が必要です。

• Netskopeテナント（または、例えば本番環境と開発／テスト環境など、複数のテナント）。
• Netskope Cloud Exchangeテナントには、テナントプラグインとリスクエクスチェンジプラグインが既に設定済みです。
• Infoblox BloxOneのベースURLとAPIキー。
• Infoblox BloxOneプラットフォームへの接続。

Infobloxプラグインのサポート

このプラグインは、Infoblox BloxOneプラットフォームのMonitor > Reports > Security > Application Discovery > All Applicationsページからアプリケーションデータを、Configure > Security > Endpointsページからデバイスデータをフェッチします。このプラグインは、アプリケーションに対するアクションの実行である「アプリケーションステータスの更新」をサポートしており、デバイスに対するアクションはサポートしていません。

マッピング

以下のマッピングを使用して、アプリケーションとデバイスおよびそれぞれの詳細をプルできます。プラグイン構成中にマッピングされたフィールドは、データがプルされると[レコード]ページに表示されます。以下に、プラグインの構成時に使う必要がある推奨マッピングを示します。

アプリケーションのプルマッピング

デバイスのプルマッピング

{
  "results": [
    {
      "app_name": "<Application Name>",
      "status": "<APPROVED or UNAPPROVED>"
    }
  ]
}

{"results":[{"calculated_status":"ACTIVE","city_name":"san francisco","client_id":"b1a011e8328f75e7233db3c2a6d9c217","connected_time":"2024-09-12T05:34:19.398Z","country_name":"united states","created_time":"2024-09-12T05:34:19.398Z","device_info":"S-1-5-21-804185182-4086767973-266869295","device_region":"california","elb_ip_list":["string"],"group_id":53212,"group_name":"endpoint_group_a","is_uploading_logs":false,"log_level":"INFO","name":"endpoint_device_a","net_info":{"fqdn":"example1.corp-device.com","ipv4_addr_list":["10.5.77.12","11.2.5.39"],"mac_addr":["00:a0:c9:14:c8:29","12:cb:c0:31:ff:ee"],"state":{"protection":"UNKNOWN_SUB_STATUS","upgrade":"NO_OPERATION"}},"os_platform":"Windows 7 Enterprise","public_ip":"string","region":"ap-northeast-1","region_name":"Asia Pacific (Seoul)","serial_number":"string","tags":{},"updated_time":"2024-09-12T05:34:19.398Z","user_id":"user_a","user_id_verified":true,"version":"1.5.2"}],"total_result_count":0}

{
    "inserted_approvals": [
        {
            "app_name": "<Application Name>",
            "status": "<APPROVED or UNAPPROVED>"
        }
    ]
}

{
  "results": [
    {
      "app_name": "<Application Name>",
      "status": "<APPROVED or UNAPPROVED>"
    }
  ]
}

ユーザーエージェント

netskope-ce-5.1.0-cre-infoblox-bloxone-v1.0.0

ワークフロー

1. Infoblox BloxOneプラグインを構成します。
2. ビジネスルールを設定します。
3. アクションを設定します。
4. プラグインを検証してください。

Infoblox BloxOneプラグインの構成

1. Cloud Exchange で、 Settings > Plugin Storeに移動します。Infoblox BloxOne v1.0.0 (CRE)プラグインを検索して選択してください。

   

2. プラグインの設定名を入力し、必要に応じて同期間隔を変更してください。

   

3. Nextをクリックし、Infoblox BloxOneのベースURLとAPIキーを入力します。

   

4. Nextをクリックし、エンティティ ドロップダウンから Applications エンティティを選択して、必要に応じてフィールドマッピングを指定します。

   

   アプリケーションをプルし、プルされたアプリケーションに対してアクションを実行するには、アプリケーション名が必要です。

   

   デバイスを取得するには、[デバイスID]フィールドが必要です。

5. Saveをクリックしてください。

Infoblox BloxOne用のRisk Exchangeビジネスルールの設定

1. Risk Exchangeの Business Rules に移動し、右上隅の Create New Rule をクリックします。

2. Infoblox BloxOneプラグインに設定されたフィールドのルール名を入力し、エンティティを選択してから、要件に基づいてクエリを設定します。アプリ名に Akamai を含むアプリを取得する例を以下に示します。

   

3. Saveをクリックしてください。

   

Infoblox BloxOneのためのRisk Exchangeアクションを構成する

InfoBlox BloxOneは次のアクションをサポートします：

• Update Application Status: アプリケーションステータスの更新では、アプリケーションのステータスが更新されます。
• No Action: このアクションに対して実行されるアクションはありません。ユーザーは、このアクションを使用し、[アラートの生成]トグルボタンを有効にすることで、CTOでアラートを生成できます。

アプリケーションステータスの更新

1. Risk ExchangeでActionsに移動し、 Add Action Configurationをクリックします。
2. それぞれのドロップダウンから、必要なビジネスルール、プラグイン構成、およびアプリケーションステータスの更新アクションを選択します。
3. アプリケーションに対するアクションを実行する前に承認が必要な場合は、承認を必須にするトグルを有効にします。
4. Saveをクリックしてください。

No Action

1. Risk ExchangeでActionsに移動し、 Add Action Configurationをクリックします。
2. それぞれのドロップダウンから必要なビジネスルール、プラグインの構成、および「アクションなし」アクションを選択します
3. Enable the Generate Alert toggle to generate alerts in the Ticket Orchestrator module.
4. デバイスに対してアクションを実行する前に承認が必要な場合は、Require Approval トグルを有効にします。
5. Saveをクリックしてください。

Infoblox BloxOneプラグインのトラブルシューティング

データをプルできません

CRE Infoblox BloxOneプラグインからデバイスとアプリケーションを取得できない場合、その理由は以下のいずれかである可能性があります。

• プラットフォームにデバイスまたはアプリケーションが存在しません。
• プラットフォームからデバイスとアプリケーションをプル中にエラーが発生しました。
• エンティティソースページでプラグインを設定する際に、マッピングは追加されません。

What to do:

1. InfoBlox BloxOneプラットフォームで、デバイスまたはアプリケーションが存在するかどうかを確認します。
2. 500エラーを受信しました：サーバーがダウンしている可能性があります。しばらく待ってから再度確認してください。
3. 401エラーを受信しました：プラグイン設定パラメータで提供されたAPIキーが無効か、有効期限が切れています。
4. マッピングが追加され、デバイスIDフィールドがデバイスエンティティにマップされ、アプリ名がアプリケーションエンティティにマップされていることを確認します。

レコードページにデバイスまたはアプリケーションの詳細を表示できません

レコードテーブルにデバイスとアプリケーションの詳細を表示できない場合は、次のいずれかの理由が考えられます。

• Infoblox BloxOneプラグインを構成する際、すべてのInfoblox BloxOneフィールドのマッピングが提供されませんでした。
• プルされたデバイスまたはアプリケーションは、カンマ区切り値の行に表示されます。

What to do:

1. プラグインを構成するときに必要なマッピングが提供されていることを確認してください。
2. エンティティで作成されたフィールドが、推奨されるマッピングに従っていることを確認してください。