Ticket Orchestrator 用 Okta Webhook プラグイン

Okta WebhookとNetskope Cloud Exchangeの連携により、OktaとNetskope間のリアルタイム通信が可能になり、ユーザーデータとイベントの自動同期が実現します。この統合により、特別なセキュリティイベントを検出し、Okta のワークフローを使用してユーザー側で特別なアクションをトリガーすることができます。

前提条件

この設定を完了するには、以下が必要です。

• Netskopeテナント（または、例えば本番環境と開発／テスト環境など、複数のテナント）。
• Netskope Cloud Exchangeテナントには、テナントプラグインとチケットオーケストレータープラグインが既に設定済みです。
• スーパー管理者権限を持つOktaインスタンス。
• Webhook URL。
• 以下のホストへの接続性：
  • A Netskope Tenant.
  • Okta Webhook URL

Webhookプラグインのサポート

通知でサポートされているアラートの種類

異常、侵害されたクレデンシャル、ポリシー、訴訟ホールド、マルサイト、マルウェア、DLP、セキュリティ評価、ウォッチリスト、検疫、修復、uba、ctep

ワークフロー

• Okta ワークフロー API エンドポイントを作成して Webhook URL を取得します。
• Webhookプラグインを設定します。
• チケットオーケストレーターのビジネスルールを作成します。
• チケットオーケストレーターキューを作成します。
• Netskopeで検証してください。
• Okta ワークフローで検証します。

再生ボタンをクリックして動画をご覧ください。

Webhook URLを取得する

1. Webhook URLを作成するには、OktaインスタンスにログインしてAdmin > Workflows Consoleに移動します。

   

2. Flowsをクリックしてください。

   

3. New Flowをクリックしてください。

   

4. Add eventをクリックしてください。

   

5. API Endpointをクリックしてください。

   

6. API endpoint settingsを確認してください。

   

7. フロー名を入力してSaveをクリックしてください。

   

8. Copy the Invoke URL.

   

9. また、FlowがONになっていることを確認してください。

   

Webhookプラグインを設定する

1. Settings > Plugins.に移動し、 Webhook プラグイン ボックスを検索して選択します (CTO モジュールが有効になっていることを確認してください)。そうでない場合は、 Settings > Generalに移動してチケットオーケストレーターモジュールを有効にしてください。
2. 構成名を入力してください。
3. 同期間隔を適切な値に調整してください。推奨値は5分以上です。

   

4. Nextをクリックしてください。

   

5. Webhook URLを入力してください。形式は次のようになります。「https://netskope-tech.workflows.okta.com/api/flo/*****/invoke」。
6. Saveをクリックしてください。

   

OktaのWebhookを使用したチケットオーケストレータービジネスルールを作成する

Webhookプラグインでチケットを生成するために必要なフィルターに基づいて、ビジネスルールを作成します。

1. Ticket Orchestratorモジュールの下にある左側のパネルからBusiness Rules を選択してください。

   

2. Create new ruleをクリックしてください。
3. テキストボックスに適切なルール名を入力し、ビジネスルールのフィールドに対して適切なフィルタクエリ条件を作成してください。Filter Query ボタンを押して、クエリを手動で入力することもできます。

   

4. Saveをクリックしてください。
5. 新しく作成したビジネスルールをテストするには、 アイコンをクリックし、期間（日数）を入力して、 Fetchをクリックします。これにより、インシデント／チケット作成の対象となるアラートの数が表示されます。

   

Webhookを使用してOkta用のチケットオーケストレーターキューを作成する

1. Ticket OrchestratorでQueuesを選択します。

   

2. Add Queue Configurationをクリックしてください。

   

3. ドロップダウンリストから、以前に作成したBusiness RuleをSelect 。
4. ドロップダウンリストから、キューを設定するプラグイン  Select 。
5. ドロップダウンメニューからQueues Select 、「通知」が表示されます。 通知は、選択したWebhookに作成されます。
6. Map Fieldセクションの下に、アラートとインシデントの間で適切な値を追加/マッピングしてください。アラートの属性には、カスタムメッセージフィールド内の「$」記号を介してアクセスできます。

   注記

   フィールドの値はJSON形式で指定する必要があります：{“text”:”$user”}

7. Saveをクリックしてください。

   

8. ビジネスルールに基づいて、受信アラートに対するWebhook通知が自動的に作成されます。過去のアラートの Webhook 通知を作成するには、 設定済みのキューのアイコンをクリックし、期間（日数）を入力してから、 Fetchをクリックします。これにより、チケット作成の対象となるアラートの数が表示されます。これらのアラートのWebhookデータを作成するには、 Syncをクリックしてください。

   

Okta Webhookプラグインを検証する

Cloud Exchange

ワークフローを検証するには、Netskope Alertsが必要です。

1. Webhookで作成されたチケットの一覧を表示するには、Ticket OrchestratorのTicketsに移動してください。

   

2. Webhook でチケットが作成されない場合は、 Cloud Exchange > Loggingの監査ログを確認してください。フィルターを適用します:エラーに任意の文字を入力します。

Okta ワークフローで

1. OktaインスタンスでAdmin > Workflows Console > Flows > Execution historyに移動します。

   

Oktaセッションを終了するためのフローを作成する

Cloud Exchangeのアラートに基づいて Okta セッションを終了する Okta ワークフローを作成します。

1. OktaインスタンスでAdmin > Workflows Console > Flowsに移動します。

   

2. Add functionをクリックしてJSONを選択し、次にParseを選択します。

   

3. On Demand API エンドポイントから本文を JSON 解析文字列列にドラッグ アンド ドロップします。

   

4. Add functionをクリックしてObjectを選択し、次にGETを選択します。

   

5. JSON解析の出力結果をオブジェクトの列にドラッグアンドドロップし、データに応じてパスを設定します。

   

6. 出力結果を確認するには、 Runをクリックしてください。

   

7. 次のフローでデータを送る前に、Oktaアプリケーションと接続する必要があります。ワークフローコンソールで Connectionに移動します。

   

8. New Connectionをクリックし、 Oktaを選択してから、 Createをクリックします。

   

   

9. ドメイン、クライアントID、クライアントシークレットについては、 Okta管理コンソールでアプリケーションを作成するか、 既存のアプリケーションを作成する必要があります。 Application > Create App Integrationをクリックしてください。

   

10. Select OIDC と Web Application、そしてクリック Next。

    

11. アプリケーション名とサインインリダイレクトURIを指定します: https://oauth.workflows.okta.com/oauth/okta/cb。Saveをクリックしてください。

    

12. ワークフローを作成するアプリケーションにユーザーを割り当ててください。

    

13. アプリケーションにOkta APIスコープを割り当てます。アクセス権限を追加する:
    • okta.sessions.manage
    • okta.users.read
    • okta.users.manage

    

14. クライアントIDとシークレットをコピーしてください。これらの値をOkta接続タブに貼り付けてください。また、Oktaとの接続を確立するには、スーパー管理者権限を持っていることを確認してください。

    

    

    

15. 再び同じ流れに戻る。Add app actionをクリックしてOktaを選択し、次にFind Usersを選択します。

    

16. 結果セット:最初のマッチングレコードをSelectし、Saveをクリックします。入力にはQueryを選択し、出力にはID （ユーザーセッションを終了するためのIDのみ）を選択してください。Saveをクリックしてください。

    

17. オブジェクト取得の出力を、Okta Find Usersの入力にマッピングします。

    

18. Add app actionをクリックしてOktaを選択し、次にClear User Sessionsを選択します。Okta Find Users の出力を、入力 Okta Clear User Sessions にマッピングします。Revoke oauthTokens: をTrueに設定します。

    

19. ◇ワークフローを実行して確認します。

    

    

これはCloud Exchangeのアラートに基づいてユーザーセッションの終了を自動化する方法です。

トラブルシューティング

通知を使うプラグインを作成できません

プラグインから通知を共有できない場合、考えられる理由は以下のいずれかです。

• Webhook URLにデータを送信できない場合は、新しいアラートが取得されているかどうかを確認してください。

What to do: 上記の問題が発生している場合は、前述の点が原因である可能性があります。この問題を解決するには、以下の手順をそれぞれ実行してください。

• Webhook URLにデータを送信できない場合。
  1. Netskope CEにアクセスしてください。
  2. 「チケットオーケストレーター」をクリックしてください。
  3. 「アラート」をクリックしてください。
  4. 新しいアラートが表示されているかどうかを確認してください。

  

Oktaにおけるアクセス問題

アプリケーションのOkta APIスコープに適切なアクセス権限が付与されているかどうかを確認してください。

Oktaアプリケーションに関連する接続の問題については、ワークフローを実行するために接続が正常であることを確認してください。

制限

データをJSON形式に変換する際に、注目すべき制約が1つ生じます。JSON変換内の「区切りリプション」フィールドに二重引用符が含まれている場合、二重引用符を含む動的フィールドが存在するためエラーが発生し、JSONオブジェクトが無効になります。