Threat Exchange 用 Microsoft Defender for Cloud Apps プラグイン

このドキュメントでは、Microsoft Defender for Cloud Apps v1.1.0 の構成方法について説明します。Netskope Cloud Exchange プラットフォームの Threat Exchange モジュールとプラグインを組み合わせています。このプラグインは使うで、Microsoft Defenderプラットフォームの Show navigation > Cloud Apps > Cloud app catalog からDomains(Domains、FQDN、Hostnames)型のIoCを引き出します。 このプラグインは、Microsoft Defender からの IoC のプルリトラクトをサポートしています。このプラグインは、Microsoft DefenderプラットフォームへのIoCの共有をサポートしていません。

前提条件

この設定を完了するには、以下が必要です。

• Netskopeテナント（または、例えば本番環境と開発／テスト環境など、複数のインスタンス）
• TenantプラグインとThreat Exchangeプラグインが既に設定されており、Threat Exchangeモジュールが有効化されたNetskope Cloud Exchangeインスタンスです。
• A URL List on your Netskope tenant.
• A Destination Profile on your Netskope tenant.
• Netskopeテナント上のプライベートアプリ。
• A DNS Profile on your Netskope Tenant
• Microsoft Defender for Cloud Apps プラットフォーム クレデンシャル
• 以下のホストへの接続性：
  • Microsoft Defender Cloud Apps インスタンス URL
    例: https://your-instance.portal.cloudappsecurity.com

Microsoft Defender for Cloud Apps プラグインのサポート

このプラグインは使うで、Microsoft Defenderプラットフォームの Show navigation > Cloud Apps > Cloud app catalog からDomains(Domains、FQDN、Hostnames)型のIoCを引き出します。 このプラグインは、Microsoft Defender からの IoC のプルリトラクトをサポートしています。このプラグインは、Microsoft DefenderプラットフォームへのIoCの共有をサポートしていません。

インジデントの指標撤回

インジデントの指標Retraction (Pull):Microsoft Defenderで削除された、またはプラグイン設定で選択された状態にないIOCは Cloud Exchangeで再トレース済みとマークされます。

マッピング

Mappings for Pull(Netskope field – Microsoft Defender for Cloud Apps fields)

権限 

Microsoft Defender Cloud Apps API token with 読むのみアクセス権。

{
    "data": [
        {
            "_id": "mock0000abc1",
            "appId": 10000,
            "name": "Microsoft Office 365",
            "domainList": [
                "office.com",
                "outlook.com",
                "teams.com"
            ]
        },
        {
            "_id": "mock0000def2",
            "appId": 10001,
            "name": "Salesforce",
            "domainList": [
                "salesforce.com",
                "app.salesforce.com"
            ]
        }
    ]
}

パフォーマンスマトリックス

以下は、これらの仕様を持つ大規模CEインスタンス上で、各プラグインのライフサイクルにおいて10万個のIoCを取得する際に実施したパフォーマンス測定結果です。

ユーザーエージェント

netskope-ce-6.1.0-cte-microsoft-defender-for-cloud-apps-v1.1.0

ワークフロー

1. APIのURLとAPIトークンを取得してください。
2. Microsoft Defender for Cloud Apps プラグインを設定します。
3. ビジネスルールを設定します。
4. 共有を設定する。
5. プラグインを検証してください。

動画を見る

再生ボタンをクリックして動画をご覧ください。

Microsoft DefenderからAPI URLを取得してください。

1. Microsoft Defenderプラットフォームにログインし、 Show navigation > System > Settings > Aboutに移動します。

2. プラグインの設定時に使うするAPIのURLをコピーしてください。

   

Microsoft DefenderからAPIトークンを取得する

1. Microsoft Defenderプラットフォームにログインし、 Show navigation > System > Settings > API tokensに移動します。

   

2. Add tokenをクリックし、トークン名を入力して、 Generateをクリックします。

   

3. プラグインの設定時に使うとなるので、生成されたAPIトークンをコピーしてください。

Microsoft Defender for Cloud Appsプラグインの設定

1. Cloud Exchangeで、 Settings > Plugin Storeに行きます。

2. Microsoft Defender for Cloud Apps v1.1.0 (CTE)プラグインを検索して選択してください。

   

3. 基本情報を入力してください：

   • Configuration Name: プラグイン設定名。
   • Sync Intervalこのプラグインからデータを取得し、他のソースからこのプラグインにデータを共有する間隔。
   • Indicator Aging Criteria: 特定の時間が経過するとインジケーターが期限切れになります。デフォルト: 90)
   • Override Reputationこの設定から受信したインジケーターの評判を上書きする値を設定します。（デフォルト値：5）
   • Tags Aggregate Strategy: 既存のIoCに新しいタグを追加するか、上書きするかを選択してください。この設定パラメータは、この設定用に取得されたインジケーターのタグの保存方法を決定します。
   • Enable SSL ValidationSSL証明書の検証を有効または無効にします。

   

4. Nextをクリックして、設定パラメータを入力してください。

   • URL: 以前に取得したMicrosoft Defender Cloud AppsインスタンスのURL。例： https ://your-instance.portal.cloudappsecurity.com 。
   • API Token: 以前に作成した読む専用権限を持つMicrosoft Defender Cloud Apps APIトークン。
   • Status: Select CloudアプリのステータスタイプからIoCを引き出します。 ステータスが選択されていない場合、すべてのクラウドアプリからIoCが取得されます。
   • Enable Tagging: タグ付け機能を有効／無効にします。「はい」を選択すると、取得されたIoCにステータス固有のタグが追加されます。
   • Add Wildcard Prefix to IoCs: ワイルドカード接頭辞機能を追加します。「はい」を選択すると、取得された各IoCの先頭にワイルドカード文字が追加されます。
   • Wildcard: 「IoC にワイルドカード接頭辞を追加する」が「はい」に設定されている場合に、各 IoC の先頭に追加するワイルドカード文字。ワイルドカード文字と IoC の間には、自動的にドット (.) が挿入されます。プラグインの設定時にワイルドカードを空のままにしておくと、デフォルトで取得されたすべての IoC の先頭に '*' が追加され、プラグインの設定を編集する際にワイルドカードを設定するように検証エラーが発生することに注意してください。

   

   注記

   • 許可ステータスを選択すると、認可、非承認、保護アプリを除くすべてのアプリ関連インジケーターがクラウドアプリカタログページから Cloud Exchange に引き寄せられ、許可タグで割り当てられます。
   • IoCの撤回は、ステータスフィールドに基づいて行われます。例:プラグインがUnsanctioned、認可、Protectedステータスで設定され、プラグインを編集してUnsanctioned、認可ステータスのみを保持した場合、Protectedステータスのアプリから取得されたIoCはCloud Exchangeで撤回済みとしてマークされます。

5. Saveをクリックしてください。あなたのプラグインは、 Threat Exchangeの「プラグイン」ページに追加されます。

   

Microsoft Defender for Cloud Apps の脅威交換ビジネスルールを構成する

Microsoft Defender for Cloud Appsから取得した指標をNetskope Tenantやサードパーティプラットフォームに共有するには、共有したい指標をフィルタリングするビジネスルールが必要です。

1. Threat Exchange > Business RulesとCreate New Ruleへ移動してください。

   

2. ルールに要件に応じてフィルターを追加し、 Saveをクリックします。

   

Microsoft Defender for Cloud Apps の脅威交換共有を構成する

Microsoft Defender for Cloud AppsからNetskopeテナントやサードパーティプラットフォームにIOCを共有するには、共有設定を作成する必要があります。

1. Threat Exchange > Sharingに移動してAdd Sharing Configurationをクリックしてください。

2. ソース設定(CTE Microsoft Defender for Cloud Apps)、ビジネスルール、Destination Configuration(CTE Netskope Threat Exchange)、ターゲットを Select。 

   

3. Saveをクリックしてください。

   

Validation

プルを検証する

Microsoft Defender for Cloud Appsで取得可能なデータを検証するために。Microsoft Defenderプラットフォームにログインし、 Show navigation > Cloud apps > Cloud app catalogに移動します。

いずれかのアプリケーションを開くと、 「ドメイン」フィールドが表示されます。これらはCloud Exchangeで取り除かれるIOCです。

取得されたデータはCloud Exchangeの脅威IoCsページに掲載されます。プラットフォームから取得したIOCをフィルターで使うフィルター: sources.source(<plugin configuration name>」のようにフィルターできます。

「IoC にワイルドカード接頭辞を追加する」を「はい」に設定して取得した IoC のサンプルを以下に示します。

以下は、「IoC にワイルドカード接頭辞を追加する」を「いいえ」に設定して取得した IoC のサンプルです。

Cloud Exchangeでプルされたログを確認するには、Loggingに行き、CTE Microsoft Defender for Cloud Appsプラグインのログをプラグイン設定名で検索してください。

プルリトラクションを検証する

撤回に関連するログはfilter: sources.sourceを使うことでフィルタリングできます 。例えば「[Retractction]」

You can validate the retracted IoCs on the Threat IoCs page:

プッシュリトラクションを検証する

Microsoft Defender for Cloud Apps では、プッシュリトラクションはサポートされていません。Microsoft Defender for Cloud AppsからNetskopeへのIoCプッシュやIoC撤退ワークフローの確認は、 Netskopeプラグインガイドを参照してください。

Microsoft Defender for Cloud Apps から取得された IoC は、Netskope テナント上の Destination Profile CTE デモ に共有されました。

共有IoCのいずれかがCloud Exchangeで撤回とマークされている場合、Netskopeテナントからも削除され、その後撤回結果は CTE Netskope Threat Exchange: retractedとしてマークされます。 

ここでは、撤回スクリーンショットで「 はい 」とマークされたIoCが確認でき、NetskopeテナントのDestination Profileからも削除されています。

Microsoft Defender for Cloud Apps プラグインのトラブルシューティング

Microsoft Defender for Cloud Apps プラグインを構成できません

 Microsoft Defender for Cloud Apps のクレデンシャルが無効であるためかもしれません。

What to do: Microsoft Defenderプラットフォームの設定手順に従ってください。

Microsoft Defender for Cloud Apps プラットフォームから IoC を引き出せない

プラグイン設定後、プラットフォームからIoCが取得されない場合、それはプラットフォーム上にIoCが存在しないためかもしれません。

What to do: 上から根本原因を特定し、 プラットフォーム上で IoCが利用可能かどうかを確認しましょう。

既知の行動

• ワイルドカード「*」が先頭に付加されたIoCは、宛先プロファイルと共有できないことが確認されています。 
• 同じIoCが複数の異なるステータスのアプリケーションに存在する場合、そのIoCはCloud Exchangeで撤回されたとマークされません。