Risk Exchange 用 Infoblox SOC Insights プラグイン

このドキュメントでは、 Netskope Cloud Exchangeプラットフォームの Risk Exchange モジュールを使用して Infoblox SOC Insights v1.0.0 プラグインを構成する方法について説明します。 このプラグインは、Infoblox SOC Insights の[Monitor] > [レポート] > [Security] > [Insights]ページからデバイスを取得するために使用されます。 このプラグインは、Infoblox SOC Insights上のデバイスに対して操作を実行することをサポートしていません。

Netskope 正規化スコアの計算 => デバイス脅威レベル情報 (-1): 1000、デバイス脅威レベル低 (1): 667、デバイス脅威レベル中 (2): 333、デバイス脅威レベル高 (3): 0。

前提条件

この統合を完了するには、以下が必要です。

• Netskopeテナント（または、例えば本番環境と開発／テスト環境など、複数のテナント）。
• Netskope Cloud Exchangeテナントには、テナントプラグインとリスクエクスチェンジプラグインが既に設定済みです。
• Infoblox プラットフォームへの接続。
• Infoblox SOC Insightsサービスのサブスクリプション。
• APIキーを生成し、デバイス情報を取得するためのアクセス権。
• 以下のホストへの接続: https://*.infoblox.com/

Infoblox SOC Insightsプラグインのサポート

このプラグインは、Infoblox SOC Insights の[モニター] > [レポート] > [セキュリティ] > [インサイト]ページからデバイスを取得するために使用されます。 このプラグインは、Infoblox SOC Insights上のデバイスに対して操作を実行することをサポートしていません。

マッピング

マッピングは、プルされたデバイスとそれぞれの詳細を表示するために使用されます。 プラグイン設定時にマッピングされたフィールドは、データ取得後にレコードページに表示されます。以下は、プラグインの設定時に推奨されるマッピングです。 プラグインの設定時に使用します。

Pull Mappings

権限

ユーザーはInfobloxインスタンスの管理者権限を持っている必要があります。

{
    "insightList": [
        {
            "tClass": "Suspicious",
            "tFamily": "EmergentDomain",
            "insightId": "a4b3eb6c-faa6-46cd-8fac-60894a309b09",
            "feedSource": "suspicious-noed",
            "startedAt": "2025-04-14T07:00:00Z",
            "threatType": "Suspicious",
            "status": "Active",
            "persistentDate": "2025-04-14T07:00:00Z",
            "spreadingDate": "2025-05-10T19:00:00Z",
            "numEvents": "148",
            "mostRecentAt": "2025-06-01T22:46:12.549319Z",
            "eventsBlockedCount": "148",
            "dateChanged": "2025-05-21T00:54:49.407214Z",
            "priorityText": "HIGH"
        },
    ]
}

{
    "assets": [
        {
            "cmac": "00:0c:29:a6:2f:6c",
            "count": 45,
            "qip": "10.196.217.119",
            "threatLevelMax": "2",
            "threatIndicatorDistinctCount": "45",
            "timeMax": "2025-05-07T10:00:00.000",
            "timeMin": "2025-05-07T10:00:00.000"
        },
        {
            "cmac": "00:0c:29:9e:95:c6",
            "count": 75,
            "qip": "10.196.217.122",
            "threatLevelMax": "2",
            "threatIndicatorDistinctCount": "75",
            "timeMax": "2025-05-07T10:00:00.000",
            "timeMin": "2025-05-07T10:00:00.000"
        },
    ]
}

パフォーマンスマトリックス

以下は、Infoblox SOC Insightsプラグインから50万台のデバイスを取得し、これらのVM仕様を持つ大規模CEスタックで実施した測定結果です。

ユーザーエージェント

netskope-ce-5.1.1-cre-infoblox-soc-insights-v1.0.0

ワークフロー

1. InfobloxのベースURLとAPIキーを取得してください。
2. Infoblox SOC Insightsプラグインを設定します。
3. ビジネスルールを追加します。
4. アクションを追加します。
5. Infoblox SOC Insightsプラグインを検証します。

再生ボタンをクリックして動画をご覧ください。

InfobloxのベースURLとAPIキーを取得してください。

ベースURLとAPIキーを取得するには、以下の手順に従ってください。

1. Infobloxアカウントにログインし、URLからベースURLを確認できます。ベースURLをコピーしてください。
   例えば、 https://*.infoblox.com/ 。

2. 右上隅からProfile へ移動してください。

3. User API Keysへ移動してください。
4. Createをクリックして、キーの名前と有効期限を入力してください。

5. Save and Closeをクリックして、APIキーをコピーしてください。あなたは Infolblox SOC Insightsプラグインを設定するために、これとベースURLを使用します。

Infoblox SOC Insightsプラグインの設定

1. Cloud Exchange で、 Settings > Pluginsに移動します。Infoblox SOC Insights v1.0.0 (CRE)プラグインボックスを検索して選択します。

2. プラグイン設定名を追加し、必要に応じて同期間隔を変更してください。

3. Click Next. Enter the configuration parameters:
   • Base URL: InfobloxインスタンスのAPIベースURL。例えば、 https ://csp.infoblox.com など。
   • API Key: Infobloxインスタンスから生成されたAPIキー。
   • Initial Range (in days): 初回実行時にデータを取得するのにかかる日数。

4. Nextをクリックしてください。エンティティのドロップダウンリストからエンティティSelect 。 エンティティフィールドは、スキーマエディタを使用して作成することも、 フィールドドロップダウンから+ Add Fieldを選択することもできます。 現場のマッピング情報を提供してください。推奨されるマッピングについては、 「マッピング」セクションを参照してください。

5. Saveをクリックしてください。

Infoblox SOC Insights のリスク交換ビジネスルールを追加する

1. Risk ExchangeでBusiness Rulesに移動してください。
2. 右上隅のCreate New Ruleクリックしてください。
3. ルール名を入力してください。Infoblox SOC Insightsプラグイン用に設定されたフィールドのエンティティをSelectし、要件に基づいてクエリを設定してください。完了したら、 Saveをクリックしてください。

Infoblox SOC Insights に Risk Exchange アクションを追加する

Infoblox SOC Insightsプラグインは「アクションなし」アクションのみをサポートしています。

No Action

この件に関して、いかなる措置も講じられません。ユーザーは、この操作を行い、 [アラートの生成]トグルを有効にすることで、Ticket Orchestrator で UBA アラートを生成できます。

アクションを設定する

1. Risk ExchangeでActionsに移動し、 Add Action Configurationをクリックします。
2. それぞれのドロップダウンリストから、必要なビジネスルール、設定、およびアクションSelect 。
3. アクションを実行する前に承認が必要な場合は、 「承認が必要」トグルを有効にしてください。
4. 「承認が必要」が有効になっている場合は、アクションを承認するには、 Risk Exchange > Action Logsに移動し、承認するアクションを選択してから、 Approveをクリックします。

Infoblox SOC Insightsプラグインを検証する

Cloud Exchangeで検証する

Infoblox SOC Insightsから取得したデバイスを確認するには、 Loggingに移動して、Infoblox SOC Insightsプラグインのログを検索してください。次のようなフィルターを指定できます: message Like “[CRE Infoblox SOC Insights]” 。

Cloud Exchangeに取得および保存されたレコードを確認するには、Risk ExchangeのRecordsに移動してください。プラグイン設定でマッピングを追加する際に、エンティティSelect 。 プラグイン設定でマッピングを追加する際に、エンティティを選択してください。

Infobloxで検証する

デバイスはInfoblox SOC Insightsから Monitor > Reports > Security > Insightsから抽出されています。

いずれかのインサイトでInvestigate Insight クリックした後、アセットセクションに移動してください。ここは、プラグインがCloud Exchangeのデバイスをプルする場所です。

Infoblox SOC Insightsプラグインのトラブルシューティング

プラグインのワークフローでエラーが発生しました

CRE Infoblox SOC Insights [configuration_name]: Validation error occurred, Received exit code 401, Unauthorized, Verify API Key provided in the configuration parameters.

What to do: Infoblox SOC InsightsのAPIキーを確認してください。参考までに、 InfobloxのベースURLとAPIキーを取得するには、こちらをご覧ください。

Infoblox SOC Insightsからデバイスは取得されません

デバイスのデータが取得できない場合、原因は以下のいずれかである可能性があります。

• プラットフォーム上にプルするためのデバイスがありません
• マッピングはプラグインに追加されません
• のユニークフィールドに null 値がある場合、 Cloud Exchangeには 1 つのレコードのみが保存されます。

What to do:

1. Infoblox SOC Insights にアクセスして、デバイスがMonitor > Reports > Security > Insightsから取得可能かどうかを確認してください。
2. プラグインの設定を編集し、「エンティティソース」ページを確認してください。同じ情報を取得するには、いくつかのフィールドをマッピングする必要があります。
3. フィールドが「一意」としてマークされており、複数のレコードにそのフィールドのnull値が含まれている場合、Cloud Exchangeは既存の値を最新のレコードの最新の値で上書きします。

取得したレコード数が実際の数と一致しません

取得したレコード数が実際の数と一致しない場合、複数のインサイトが同じデバイスを利用可能にしていることが原因である可能性があります。

What to do:

1. Infoblox SOC Insightsからデバイスを検証するには、 Infobloxプラットフォームの検証手順に従ってください。
2. 例えば、以下はプラットフォーム上で利用可能な2つの異なるインサイトですが、どちらも同じアセット「34.96.34.4」が利用可能です。

制限事項

• APIの制限により、Infoblox SOC Insightsからデバイスを取得する際、1つのインサイトに10,000台を超えるデバイスのデータが含まれている場合、最初の10,000台のみが取得されます。この制限を超える追加のデバイスは回収されません。
• 初期範囲設定パラメータは、1日から30日の間の値のみを受け付けます。APIの制限により、30日を超える値を指定すると、500内部サーバーエラーが発生します。
• APIの制限により、一部のデバイスのIPアドレス（特にEC2インスタンスの場合）は、プラットフォームに表示される値と異なる場合があります。