Log Shipper 用 Microsoft Sentinel プラグイン - Netskope ナレッジポータル

このドキュメントでは、 Netskope Cloud Exchangeの Log Shipper モジュールを使用して v3.0.3 Microsoft Sentinel プラグインを構成する方法について説明します。このプラグインは、アラート (DLP、マルウェア、ポリシー、侵害されたクレデンシャル、マルサイト、検疫、修復、セキュリティ評価、ウォッチリスト、CTEP、UBA)、イベント (ページ、アプリケーション、監査、インフラストラクチャ、ネットワーク、インシデント、エンドポイント)、および WebTx データ (非圧縮) を Microsoft Azure Sentinel プラットフォームに取り込みます。 JSON形式のログの取り込みのみをサポートしています。プラグインにアクセスするには、Microsoft Azure プラットフォーム上の Log Analytics ワークスペースが必要です。

前提条件

この設定を完了するには、以下が必要です。

Netskopeテナント（または、例えば本番環境と開発／テスト環境など、複数のテナント）。
Netskope Cloud Exchangeテナントには、テナントプラグインとログシッパープラグインが既に設定済みです。
Netskope Cloud Exchangeテナントには、 AWS Netskope Log StreamingまたはAzure Netskope Log Streamingプラグインが既に構成されている必要があります（Netskope Log StreamingプラグインからWebTxを取得するため）。
以下のホストへの接続性：
- https://portal.azure.com/
- Microsoft Azure プラットフォーム上の Log Analytics ワークスペース

Microsoft Sentinel プラグインのサポート

Microsoft Sentinel プラグインは、 Netskopeイベント、 Netskope Alerts データ、および WebTx データを JSON 形式で Microsoft Sentinel に取り込むために使用されます。

データ型	サポート
イベント	はい：ページ、アプリケーション、監査、インフラストラクチャ、ネットワーク、インシデント、エンドポイント
アラート	はい: DLP、マルウェア、ポリシー、侵害されたクレデンシャル、マルサイト、検疫、修復、セキュリティ評価、ウォッチリスト、CTEP、UBA
CEログ	サポートされていません
ウェブテキサス	はい（Netskope Log Streaming経由の非圧縮データ）

注記：

Google Pub Sub Lite をベースにした CLS WebTX は非推奨となりました。Netskope製品のサポート終了/サポート終了に関するお知らせについては、Netskopeナレッジポータルをご覧ください。
WebTXログをSIEM、SOAR、XDR、データレイクなどのログ配信先に取り込むには、 AWS Netskope Log StreamingまたはAzure Netskope Log Streamingプラグインを使用します。

権限

Log Analyticsワークスペースへのアクセス権を持つMicrosoft Sentinelアカウントが必要です。

APIの詳細

使うAPI一覧

APIエンドポイント	方法	使うケース
/api/logs	役職	HTTP データコレクターを使用してログデータを Log Analytics に送信する

API Endpoint: https://{CustomerID}.<Azure_Analytics_Domain>/<Resource>?api-version=2016-04-01

Method: POST
Parameters:
api-version=2016-04-01
Headers:
Content-Type: application/json
Log-Type: Netskope_Alerts1
x-ms-date: Wed, 06 Dec 2023 06:46:41 GMT
Authorization: SharedKey <WorkspaceID> : <Signature>
Request Body

{
	  "key1": "value1",
	  "key2": "value2",
	  "key3": "value3",
	  "key4": "value4”
}

Sample API Response

200 OK

パフォーマンスマトリックス

このパフォーマンス測定値は、これらのVM仕様でテストされた大規模Cloud Exchangeスタックに関するものです。以下の測定値は、アラートとイベントに関して約10,000件のログを11秒で取り込むことを考慮に入れて追加されています。

デスクリプション	仕様
スタックの詳細	サイズ：大 RAM：32 GB CPU：16コア
Microsoft Sentinelに取り込まれたイベント、アラート	200K EPM

ユーザーエージェント

このプラグインに追加されたユーザーエージェントは、以下の形式です。

 netskope-ce-<ce_version>-<module>-<plugin_name>-v<plugin_version>

例えば、

Netskope-ce-5.1.0-cls-microsoft-azure-sentinel-v3.0.3

ワークフロー

Microsoft Sentinel Workspace IDとプライマリキーを取得してください。
Microsoft Sentinelプラグインを設定します。
ログシッパーのビジネスルールを設定します。
Log Shipper SIEMマッピングを設定します。
プラグインを検証してください。

再生ボタンをクリックして動画をご覧ください。

Azure SentinelワークスペースIDとプライマリキーを取得します。

Entra IDポータルにログインしてください。
Microsoft Sentinelをクリックしてください。
Microsoft Sentinel のページでCreateをクリックします。
Click Create a new workspace.
リソースグループSelect 、名前を入力して、地域を選択してください。 Review + Createをクリックしてください。
Createをクリックしてください。
ワークスペースが作成されます。デプロイには数秒かかります。デプロイが成功したら、 Refreshをクリックしてください。作成したワークスペースをクリックし、 Addをクリックします。
ワークスペースの追加には数秒かかります。
ワークスペースの追加に成功したら、 Home > Log Analytics workspacesに移動してください。
作成したワークスペース名をクリックしてください。
Settings > Agentsをクリックしてください。
Log Analytics agent instructionsをクリックしてください。
Logs Analyticsエージェントの指示に従って、ワークスペースIDとプライマリキーをコピーします。これらはプラグインの設定に必要です。

Microsoft Sentinelプラグインの設定

Cloud Exchange で、 Settings > Plugin Storeに移動します。
Microsoft Azure Sentinel v3.0.3 (CLS)プラグインを検索して選択してください。
以下のパラメータを入力してください。
- Configuration Name設定に一意の名前を作成してください。
- Mapping: デフォルトのマッピングファイルを使用します。
- Transform the raw logs生データを送信する必要がある場合は、無効にしてください。（デフォルト：有効になり、変換されたデータが送信されます。）
- Use System Proxyプロキシが通信に必要な場合は有効にします。
Nextをクリックして、設定パラメータを入力してください。
- Azure Log Analytics Domain: Domain name for your Azure Log Analytics. For example, ods.opinsights.azure.com, ods.opinsights.azure.us, etc.
- Workspace IDMicrosoft Sentinelワークスペースの一意の識別子。
- Primary KeyMicrosoft Sentinelワークスペースの認証キー。
- Alerts Log Type Nameアラート用のカスタムログタイプ名。この名前に基づいて、Log Analytics Workspace にサフィックス_CLが付いたアラートのスキーマが作成されます。このパラメータの値 Netskope_Alerts または Netskope_Alerts_CL は、MicrosoftマーケットプレイスでNetskope公開されているプレイブックと一致しています。このログタイプでは、 _CLが Microsoft によって自動的に追加されます。
- < Events Log Type Name : イベントのカスタムログタイプ名。この名前に基づいて、イベントのスキーマがサフィックス_CLを付けて Log Analytics Workspace に作成されます。このパラメーターの値Netskope_EventsまたはNetskope_Events_CLは、Microsoftマーケットプレイスで公開されているNetskopeのプレイブックと一致することに注意してください。このログタイプでは、 _CLが Microsoft によって自動的に追加されます。
- WebTX Log Type Name: ウェブトランザクション用のカスタムログタイプ名。この名前に基づき、Log Analytics Workspaceでウェブトランザクション用のスキーマが作成され、接尾辞 _CL。このパラメータの値 Netskope_WebTx または Netskope_WebTX_CL は、MicrosoftマーケットプレイスでNetskope公開されているプレイブックと一致しています。このログタイプでは、 _CLが Microsoft によって自動的に追加されます。
Saveをクリックしてください。

Microsoft Sentinel のログシッパービジネスルールを構成する

取り込み前にアラートやイベントをフィルタリングしたくない場合は、この手順をスキップしてください。

行く Log Shipper > Business Rules.
Create New Ruleをクリックしてください。
注記
デフォルトでは、すべてのアラートとイベントをフィルタリングするビジネスルールが設定されています。特定の種類の警告やイベントを除外したい場合は、新しいビジネスルールを作成してください。
新しいルールを作成する場合は、ルール名を入力し、使用するフィルターを選択します。
Saveをクリックしてください。

Microsoft Sentinel の Log Shipper ログ配信を構成する

Log Shipper > Log Deliveryに移動してAdd Log Delivery Configurationをクリックしてください。
アラートやイベントについては、Sourceプラグイン(CLS Netskope)とDestinationプラグイン(CLS Microsoft Azure Sentinel)を選択し、ビジネスルールを選択してから Saveをクリックします。
WebTx を取り込むには、ソースプラグイン (AWS Netskope Log Streaming または Azure Netskope Log Streaming)、宛先プラグイン (CLS Microsoft Azure Sentinel) を選択し、 Saveをクリックします。
ログ配信構成が追加されると、 Netskopeテナントからのデータの取得と Azure Sentinel プラットフォームへの取り込みが開始されます。

Microsoft Sentinelプラグインを検証する

プラグインのワークフローを検証するには、Netskope Cloud ExchangeとMicrosoft Sentinelインスタンスの両方から確認できます。

プルを検証する

Loggingに移動し、プルされたログを含むメッセージを検索します。

プッシュ通知を検証する

Netskope Cloud Exchangeでプラグインのワークフローを検証するには：

Loggingに移動して、フィルターメッセージに ingested が含まれているという条件で、取り込まれたイベントを検索します。
取り込まれたログはフィルタリングされます。

Azure プラットフォームでプッシュを検証するには:

Entra IDポータルにログインしてください。
Log Analyticsワークスペースに移動し、作成したワークスペースをクリックします。プラグインの例では、使うスキーマ名使うを使うログをフィルタリングできます。Netskope_Alerts_CL | ここでalert_type_sは「dlp」を含む
イベントデータフィルターのログを確認するには、スキーマ名Netskope_Events_CLを使用します。
Webtx データフィルターを確認するには、ログでスキーマ名Netskope_WebTX_CLを使用します。

Microsoft Sentinelプラグインのトラブルシューティング

ユーザーが Microsoft Sentinel プラグインを構成できない場合

プラグインを設定できない場合は、クレデンシャルが提供したプラグインが無効であることが原因である可能性があります。

What to do: プラグイン設定で追加したワークスペースIDとプライマリキーを、Sentinelポータル上のワークスペースIDとプライマリキーと照合してください。また、Sentinel上でワークスペースが削除されていないことを確認してください。

データがCloud Exchangeから取り込まれない場合

データはCloud Exchangeからプラットフォームに取り込まれません。これが該当するケースであれば、以下のいずれかが原因である可能性があります。

データはソースプラグインから取得されません。
指定された初期範囲に対応するデータがソースプラグインに存在しません。

What to do:

データがCloud Exchangeから取得されない場合は、ログページに移動してログを確認してください。読み取りタイムアウトに関連する、以下のようなログが表示されます。エラーが解消されるまで待ち、ソースプラグイン側から問題を確認してください。

テナントごとにデータが存在する開始日を確認し、Cloud Exchangeでテナントを設定する際にその日付を指定してください。

取り込まれたデータが Microsoft Azure Sentinel プラグインに反映されない場合

データ取り込みログは受信されますが、データがプラットフォームに反映されません。これが該当するケースであれば、以下のいずれかが原因である可能性があります。

ワークスペースが新しく作成されました
ログが間違ったワークスペースでチェックされています
検索時に取り込まれたデータのファイル名が間違っています

What to do:

データが反映されない場合は、上記のオプションを確認してください。ワークスペースが新しく作成され、データが初めて取り込まれた場合は、データがプラットフォームに反映されるまでに数分かかる場合があります。
ログを取り込んでいるワークスペースを確認してください。
それがケースでない場合は、データ検証に使用しているファイル名または検索クエリを確認してください。プラグインの設定でファイル名を確認できます。

Sentinelでデータをフィルタリングする際は、テーブル名に必ず_CLを追加してください。Sentinelはデータを取り込む際にすべてのファイル名に上記の接尾辞を追加するため、そうしないと取り込まれたログが表示されなくなります。