Log Shipper 用 Microsoft Defender for Cloud Apps プラグイン

このドキュメントでは、 Netskope Cloud Exchangeプラットフォームの Log Shipper モジュールを使用して Microsoft Defender for Cloud Apps v2.1.1 プラグインを構成する方法について説明します。 このプラグインを使用すると、 Netskopeテナントから CEF 形式でNetskopeイベント (ページ、アプリケーション) を Microsoft Defender for Cloud Apps に取り込むことができます。 Microsoft Defender for Cloud Apps プラグインを介してCloud Exchangeに取り込むことができます。 このプラグインはJSON形式でのデータ取り込みをサポートしていません。

前提条件

この設定を完了するには、以下が必要です。

Microsoft Defender for Cloud Apps プラグインのサポート

このプラグインは、アプリケーション タイプおよびページ タイプのイベントを Microsoft Defender プラットフォームのガバナンス ログ ページに取り込むために使用されます。 このプラグイン は、Microsoft Defender プラットフォームへのNetskopeアラートと WebTx トランザクションの取り込みをサポートしていません。 このプラグインはCEF形式のデータ取り込みのみをサポートしており、JSON形式のデータ送信はサポートしていません。

データ型	サポート
イベント	Page 応用
アラート	サポートされていません
ログ	サポートされていません
ウェブテキサス	サポートされていません

権限

これらの権限は、プラグインがMicrosoft Defender for Cloud Appプラグインを構成するために必要です。

• クラウドアプリインスタンス用のMicrosoft Defenderにアクセスするには、クラウド検出グローバル管理者ロールが必要です。

• Microsoft App Security for OAuth 2.0 (アプリケーションコンテキスト)
  • Discovery.manage
  • Discovery.read

APIの詳細

使うAPI一覧

APIエンドポイント	方法	使うケース
/oauth2/v2.0/token	役職	Generate Token
/api/v1/discovery/upload _url/	得る	ファイルアップロードの開始 – クラウドディスカバリーAPI
<initiate_file_upload_response_url>	PUT	ファイルアップロードを実行する – Cloud Discovery API （「ファイルアップロードの開始」から取得）
/api/v1/discovery/done _アップロード/	役職	ファイルアップロードの完了 – クラウドディスカバリーAPI

Generate Token

API Endpoint: https://login.microsoftonline.com/<tenant_id>/oauth2/v2.0/token
Method: POST
Headers

鍵	Value
ユーザーエージェント	netskope-ce-5.0.1-cls-microsoft-defender-for-cloud-apps-v2.1.1
Content-Type	application/x-www-form-urlencoded

Payload

パラメータ	Value
grant_type	client_credentials
client_id	client_id
client_secret	client_secret
scope	05a65629-4c1b-48c1-a78b-804c4abdd4af/.default

Sample API Response

{
    "token_type": "Bearer",
    "expires_in": 3599,
    "ext_expires_in": 3599,
    "access_token": "eyJ0eXAiOiJKV1QiLCJhbGciOiJSUzI1NiIsIng1dCI6IlQxU3QtZExUdnlXUmd4Ql82NzZ1OGtyWFMtSSIsImtpZCI6IlQxU3QtZExUdnlXUmd4Ql82NzZ1OGtyWFMtSSJ9.eyJhdWQiOiIwNWE2R1QVRFcTkxSzk5QUFBLiIsInJvbGVzIjpbImRpc2NvdmVyeS5tYW5hZ2UiXSwic3ViIjoiNzljMEHIywny8JmtEONTPUcOahramZDIYLL8JBGvUH5V-ebPIrAOnCZGvwcbYbVZy7joFwmjeIK22Er_4eCVDXDAzAWuF5uD-KFZp7DkZNSR06i7OD-Yo6YiGEzAP5fMW8anHREJDwh0OtkMn5GRf15ccuhBhNlGiT17uPNzAct*************************************5_DsDgVK109p1yVTrGTw"
}

ファイルアップロードを開始する

API Endpoint: https://<tenant_id>.<tenant_region>.contoso.com/api/v1/discovery/upload_url/?filename=my_discovery_file.txt&source=GENERIC_CEF
Method: GET
Headers

鍵	Value
ユーザーエージェント	netskope-ce-5.0.1-cls-microsoft-defender-for-cloud-apps-v2.1.1
Authorization	Bearer <token>
Accept	アプリケーション/json

Payload

Parameter	Value
source	GENERIC_CEF
filename	140351985108800-ingestion_file.txt

Sample API Response

{
    "url": "https://prod5usw2console1.blob.core.windows.net/discovery-logs/2023-11/115979866_1701326176744_GENERIC_CEF_140351985108800-ingestion_file.txt?se=2023-12-01T06%3A36%3A16Z&sp=w&sv=2014-02-14&sr=b&sig=7EjuI4qdniikC5ehECtNzjjiaHFQ0FMix5Y1sPDDfhs=",
    "provider": "azure"
}

ファイルアップロードを実行する

API Endpoint: https:// <initiate_file_upload_response_url>
Method: PUT
Headers

鍵	Value
ユーザーエージェント	netskope-ce-5.0.1-cls-microsoft-defender-for-cloud-apps-v2.1.1
x-ms-blob-type	BlockBlob
Accept	アプリケーション/json

Payload
該当なし
Sample API Response

Status: 201 created

ファイルアップロードを完了する

API Endpoint: https://<tenant_id>.<tenant_region>.contoso.com/api/v1/discovery/done_upload/
Method: GET
Request Body:

{
"uploadUrl":"",
"inputStreamName":""
}

Headers

鍵	Value
ユーザーエージェント	netskope-ce-5.0.1-cls-microsoft-defender-for-cloud-apps-v2.1.1
Authorization	Bearer <token>
Accept	アプリケーション/json
Content-Type	アプリケーション/json

Payload

パラメータ	Value
source	GENERIC_CEF
filename	140351985108800-ingestion_file.txt

Sample API Response

{
    "success": true,
    "inputStreamId": "6166e2d26e047397777e71e8",
    "taskId": "656830c12339fba78191038a"
}

パフォーマンスマトリックス

このパフォーマンス測定は、以下のVM仕様を持つ大規模Cloud Exchangeスタック上で実施されました。 これらの読み取り値は、3 秒間に約 10,000 個のイベントが Microsoft Defender for Cloud Apps プラットフォームに取り込まれることを考慮して追加されます。

デスクリプション	仕様
スタックサイズ	大きい CPU: 16コア RAM: 32 GB
Microsoft Defender for Cloud Apps SIEMに取り込まれたイベント	200K EPM

ユーザーエージェント

netskope-ce-5.0.1-cls-microsoft-defender-for-cloud-apps-v2.1.1

ワークフロー

動画を見る

再生ボタンをクリックして動画をご覧ください。

レガシーメソッド用のAPIトークンを生成する（APIトークン）

APIトークンを生成するには、以下の手順に従ってください。トークンを生成する方法については、こちらのドキュメントもご参照ください。

1. Microsoft Defender ポータルで、 Settingsを選択します。
2. Cloud Appsをクリックしてください。
3. 「システム」の下にあるAPI tokensをクリックします。
4. Add tokenをクリックしてください。
5. トークンを識別するための名前を入力し、 Generateをクリックしてください。
6. トークン値をコピーして使うに保存し、プラグインの設定をします。 紛失した場合は、トークンを再発行する必要があります。そのトークンは、発行したユーザーの権限を持つ。例えば、セキュリティリーダーはデータを改ざんできるトークンを発行できません。トークンは、ステータス（アクティブ、非アクティブ、生成済み）でフィルタリングできます。
   1. 生成済み: 一度も使用されていないトークン。
   2. アクティブ：生成され 過去7日以内に発行されたトークン。
   3. 非アクティブ：トークン しかし、過去 7 日間にアクティビティがありませんでした。
7. 新しいトークンを生成すると、Defender for Cloud Apps ポータルにアクセスするための新しい URL が提供されます。

OAuth 2.0（アプリケーションコンテキスト）用のクライアントID、テナントID、およびクライアントシークレットを生成します。

Microsoft Defender for Cloud Apps プラグインを構成するためのクライアント ID、テナント ID、およびクライアント シークレットを生成するには、以下の手順に従ってください。 OAuth 2.0 (アプリケーション コンテキスト)。

1. Microsoft Azureポータルにログインしてください。
2. App registrationsを検索して選択します。
3. New registrationをクリックしてください。
4. アプリケーション名を入力して、 Registerをクリックしてください。
5. クライアントIDとテナントIDを保存してください プラグインの設定に保存してください。
6. シークレットIDを生成するには、 Certificate and secretsをクリックしてください。
7. New client secretをクリックし、デスクリプションと有効期限を入力し、Addをクリックします。
8. クライアントシークレットフィールドの値をコピーしてください。コピーしたクライアント値は二度と表示されないため、安全な場所に保管してください。
9. 左側のパネルからAPI permissionsをクリックしてください。
10. データを取り込むために必要な権限を付与するには、 Add permissionをクリックしてください。
11. APIs my organization usesに移動し、Microsoft Cloud App Security を検索してクリックします。
12. Application permissions Select 。
13. Select the discovery.manage and discovery.read permissions and then click Add permission. 
14. 管理者の同意を必ず提供してください。

データソースを作成する

1. Microsoft DefenderでSettings > Cloud Appsに移動します。
2. クラウド検出の下で、 Automatic log uploadをクリックします。
3. Add data sourceをクリックしてください。
4. データソース名を入力し、ソースは Generic CEF log 、受信機タイプは Syslog – TCP を選択します。Addをクリックしてください。

Microsoft Defender for Cloud Apps プラグインを構成する

1. Cloud Exchangeで Settings > Pluginsに行ってください。Microsoft Defender for Cloud Apps v2.1.1 (CLS)プラグインボックスを検索して選択します。
2. 構成名を入力し、「Microsoft Defender for Cloud Apps 既定のマッピング」が選択されていることを確認してください。ログをJSON形式でデータを取り込むように変換する場合は、トグルボタンを無効にするか、CEF形式でデータを取り込む場合は有効のままにしてください。
3. Nextをクリックし、確認パラメータ
   For Legacy Method (API Token)を入力してください。
   • ポータル URL: Microsoft Defender for Cloud Apps プラットフォームの URL (https:// は含まない)。
   • 認証方法：従来方式（APIトークン）。
   • APIトークン：Microsoft Defender for Cloud Appsポータルでの認証に使用するAPIトークン。APIトークンは、「設定」＞「クラウドアプリ」＞「APIトークン」ページから生成できます。APIトークンは、レガシーメソッド（APIトークン）を選択した場合にのみ必要です。
   • データ ソース: Log Shipper からのトラフィック ログがアップロードされるデータ ソース。 データソースは、[設定] > [クラウドアプリ] > [クラウド検出] > [自動ログアップロード]で確認できます。
     

   For OAuth 2.0 Method (Application context)

   • ポータル URL: Microsoft Defender for Cloud Apps プラットフォームの URL (https:// は含まない)。
   • 認証方法：OAuth 2.0（アプリケーションコンテキスト）。
   • クライアントID：AzureアプリケーションのクライアントID。クライアントIDは、「アプリ登録」＞「アプリ名」＞「概要」ページで確認できます。これは、OAuth 2.0（アプリケーションコンテキスト）方式を選択した場合にのみ必要です。
   • テナントID：AzureアプリケーションのテナントID。テナントIDは、「アプリ登録」＞「アプリ名」＞「概要」ページで確認できます。これは、「OAuth 2.0（アプリケーションコンテキスト）」方式を選択した場合にのみ必要です。
   • クライアントシークレット：Azureアプリケーションのクライアントシークレット。クライアントシークレットは、「アプリ登録」＞「アプリ名」＞「証明書とシークレット」ページから生成できます。これは、OAuth 2.0（アプリケーションコンテキスト）方式を選択した場合にのみ必要です。
   • データ ソース: CLS からのトラフィック ログがアップロードされるデータ ソース。 データソースは、[設定] > [クラウドアプリ] > [クラウド検出] > [自動ログアップロード]で確認できます。

     

4. Saveをクリックしてください。プラグインの設定は Cloud Log Shipperの>プラグイン ページでご覧いただけます。

Microsoft Defender のログシッパービジネスルールを構成する

1. Log Shipper > Business Rulesへ移動してください。
2. デフォルトでは、すべてのアラートとイベントをフィルタリングするビジネスルールが設定されています。特定の種類のアラートやイベントを除外したい場合は、 Create New Ruleをクリックして、ルール名とフィルターを追加して新しいビジネスルールを設定します。

   

3. 完了したら、 Saveをクリックしてください。

   

Microsoft Defender 用の Log Shipper SIEM マッピングを構成する

1. Log Shipper > SIEM Mappingsに移動してAdd SIEM Mappingをクリックしてください。
2. Sourceプラグイン(NetskopeCLS)、Destinationプラグイン(Microsoft Defender for Cloud Apps)、ビジネスルールをSelectし、Saveをクリックします。
3. SIEM マッピングが追加されると、 Netskopeテナントからのデータの取得、変換、Microsoft Defender for Cloud Apps プラットフォームへの取り込みが開始されます。

   

プラグインを検証する

プルを検証する

Netskopeテナントから指標を取得することを検証する。

1. Cloud Exchange のLoggingに移動し、取得したログを検索してください。

   

プッシュ通知を検証する

Cloud Exchange でプラグインのワークフローを検証するには：

1. Loggingに移動し、フィルターメッセージに ingested が含まれるようにして取り込まれたイベントを検索すると、取り込まれたログがフィルタリングされます。

   

Microsoft Defender プラットフォームへのプッシュを検証するには:

1. Microsoft Defender for Cloud Apps プラットフォームに移動します。
2. On the left panel, under Cloud apps, click Governance log.
3. ファイルをチェックして、取り込まれたデータが正しくリストされていることを確認してください。

   

4. Settings > Cloud apps > Automatic log uploadへ移動してください。プラグインの設定時に指定したデータソースの数を確認してください。
   
5. ログから抽出されたユーザーを表示するには、 Home > Cloud Discovery .
   にアクセスしてください。

Microsoft Defender for Cloud Apps プラグインのトラブルシューティング

指標の取り込み中に証明書検証失敗エラーが発生しています

• NetskopeからMicrosoft Defender for Cloud AppsへのSIEMマッピングを設定した後、イベントを取り込む際にエラーコード「CLS_1005」のエラーが発生した場合。
• お使いのコンピューターで、Microsoft Defender for Cloud Apps PortalのURLがブロックされていることが原因かもしれません。

What to do: この問題を解決するには、IT サポート チームに連絡して URL のブロックを解除してください。

プラグインのアップデート後、既存のプラグイン設定で問題が発生しています。

既存の Microsoft Defender for Cloud Apps プラグインが構成されている場合、Microsoft Defender for Cloud Apps プラグインを更新した後に、次の問題が発生する可能性があります。既存のプラグイン構成を編集しているときに CE が空白になります。

CE 4.2.0 および CE 5.0.0 では、プラグインのアップデート後にユーザーが設定パラメータページにアクセスし、既存のプラグイン設定を編集した場合に、この問題が発生する可能性があります。

What to do: お使いのCEバージョンを確認し、それに応じて以下の回避策に従ってください。

For 4.2.0: バージョン4.2.0における唯一の解決策は、既存のプラグイン設定を削除して新しい設定を作成することです。

For 5.0.0: プラグインがまだ更新されていない場合は、以下の手順に従って、更新中にプラグインの設定を保存してください。設定の保存をスキップしないでください。

• あなたがLegacy Method (API Token)であり、 レガシー方式を継続したい場合は、プラグインリポジトリページのプラグイン更新で設定を保存する前に、認証方法のドロップダウンでレガシー方式（APIトークン）が選択されていることを確認してください。
• 使用したい場合は OAuth 2.0 (Application context) メソッドを選択し、[認証方法] ドロップダウンでそれを選択し、すべての構成パラメーターを指定してください。 飛ばさないでください。

いずれにしても、プラグインリポジトリページでのプラグイン更新時のどの方法においても、解決策の一つは、プラグインの更新を保存し、スキップしないことです。

既にプラグインを更新済みで、更新時に「スキップ」を選択した場合は、既存のプラグイン構成を削除し、新しい Microsoft Defender for Cloud Apps プラグインを構成してください。

Microsoft Defender for Cloud Apps プラットフォームにイベントを取り込むときにファイル アップロード エラーを受け取る

プラグインが正しく設定されているにもかかわらず、以下のエラーが表示される場合は、プラグインの設定で指定されたデータソースが、Microsoft Defender for Cloud Apps プラットフォーム上で利用できないことを意味します。

What to do: Microsoft Defender for Cloud Apps プラットフォームにアクセスしてください。

1. Settings > Cloud Apps > Cloud Discoveryから自動ログアップロードに移動してください。
2. プラグイン設定でデータ ソース名「使う」を検索します。 データ ソース名が見つからない場合は、新しいデータ ソースを作成します。
3. データ ソース名が利用可能な場合は、正確なデータ ソース名が「使う」であることを確認してください。

取り込んだデータの追跡が困難

Microsoft Defender プラットフォームで複数のファイルが作成されているためにデータ取り込みの追跡が難しい場合は、ファイル名を検索するだけで済みます。

What to do:

Cloud Exchange のLoggingに移動し、Microsoft Defender for Cloud Apps プラグインからの API リクエストログを確認してください。ログには、取り込まれたデータ用に Microsoft Defender for Cloud Apps プラットフォームで作成されるファイル名が付いています。 ファイル名をコピーし、Microsoft Defender for Cloud Apps プラットフォームのガバナンス ログの [クラウド アプリ] でファイルを検索します。

制限事項

• Microsoft Defender for Cloud Appsには1つの制限があり、最大64MBのファイルしか送信できません。この制限を超えると、プラグインがデータを取り込む際に、ファイルが64MBより大きいことを示すエラーが発生します。
• Microsoft Defender for Cloud Appsのデータ 保持 に関しては制限があります。取り込まれたデータが90日を超えると、イベントが取り込まれたガバナンスログページで失敗状態が表示されます。