Rapid7 Plugin for Log Shipper - Netskope 技術文書

このドキュメントでは、 Netskope Cloud Exchangeの Log Shipper モジュールを使用してRapid7 v3.1.1 プラグインを構成する方法について説明します。このプラグインは、アラート (異常、訴訟ホールド、侵害されたクレデンシャル、ポリシー、マルサイト、マルウェア、DLP、セキュリティ評価、検疫、修復、UBA、ウォッチリスト、CTEP)、イベント (ページ、アプリケーション、監査、インフラストラクチャ、ネットワーク、インシデント、エンドポイント)、ウェブトランザクションデータ、および CE ログ (デバッグ、情報、エラー、警告) のRapid7への取り込みをサポートします。 JSON および CEF 形式。

前提条件

この設定を完了するには、以下が必要です。

Netskopeテナント（または、例えば本番環境と開発／テスト環境など、複数のテナント）。
Netskope Cloud Exchangeテナントには、テナントプラグインとログシッパープラグインが既に設定済みです。
AWS Netskope Log StreamingまたはAzure Netskope Log Streaming プラグインが既に設定されている Netskope Cloud Exchange テナント (Netskope Log Streaming プラグインから WebTx を取得するため)
Netskope Cloud Exchangeテナントに、CEログを取得するためにSyslog for CEプラグインが既に設定されていること。
Rapid7サーバー。
以下のホストへの接続: https://insight.rapid7.com/ 。

Rapid7プラグインのサポート

Rapid7プラグインはすべてのアラート、イベント、WebTx（ Netskope LogStreaming経由）、およびCEログをJSONおよびCEF形式で指定されたRapid7サーバーに取り込むためのものです。

データ型	サポート
イベント	はい（監査、アプリケーション、インフラストラクチャ、ネットワーク、インシデント、ページ、エンドポイント）エンドポイントイベントタイプの取り込みは、Cloud Exchange バージョン 5.1.0 以降でサポートされています。
アラート	はい (異常、訴訟ホールド、DLP、マルウェア、ポリシー、侵害されたクレデンシャル、マルサイト、検疫、修復、セキュリティ評価、ウォッチリスト、CTEP、UBA)
WebTx Logs	はい（Netskope Log Streaming経由）
Syslog CEログ	はい（情報、デバッグ、警告、エラー）

注記

Google Pub Sub Lite をベースにした CLS WebTX は非推奨となりました。Netskope製品のサポート終了/サポート終了に関するお知らせについては、Netskopeナレッジポータルをご覧ください。
WebTXログをSIEM、SOAR、XDR、データレイクなどのログ配信先に取り込むには、 AWS Netskope Log StreamingまたはAzure Netskope Log Streamingプラグインを使用します。
エンドポイントイベントタイプの取り込みは、Cloud Exchange バージョン 5.1.0 以降でサポートされています。

APIの詳細

このプラグインは、ログを記録するサードパーティライブラリを使用して、データを Syslog コレクターにプッシュします。

ライブラリ: ロギング

このモジュールは、アプリケーションやライブラリ向けの柔軟なイベントログシステムを実装する関数とクラスを定義します。

標準ライブラリモジュールによってログ記録APIが提供されることの主な利点は、すべてのPythonモジュールがログ記録に参加できるため、アプリケーションログに独自のメッセージとサードパーティモジュールからのメッセージを統合できることです。

ロギングライブラリの詳細については、公式ドキュメントを参照してください: https://docs.python.org/3/library/logging.html 。

使うメソッドのリスト

Method: logging.getLogger(name=None)

指定された名前のロガーを返します。名前がNoneの場合は、階層のルートロガーであるロガーを返します。

指定された名前でこの関数を呼び出すと、すべて同じロガーインスタンスが返されます。これは、ロガーインスタンスをアプリケーションの異なる部分間で受け渡す必要がないことを意味します。

Method: setLevel(level)

このロガーのしきい値をレベルに設定します。レベルよりも深刻度の低いログメッセージは無視されます。深刻度レベル以上のログメッセージは、このロガーを処理するハンドラーによって出力されます。ただし、ハンドラーのレベルがレベルよりも高い深刻度レベルに設定されている場合はこの限りではありません。

Method: handlers

ハンドラーのリストは、このロガーインスタンスに直接関連付けられています。

この属性は専用として扱う必要があることに注意してください。通常は addHandler() および removeHandler() メソッドを介して変更され、スレッドセーフな動作を保証するためにロックされます。

Method: addHandler(hdlr): Adds the specified handler hdlr to this logger.
Method: removeHandler(hdlr): Removes the specified handler hdlr from this logger.

パフォーマンスマトリックス

デスクリプション	仕様
スタックの詳細	サイズ：大 RAM：32 GB CPU：16コア
SIEMに取り込まれたアラート/イベント	約20万EPM

ワークフロー

Rapid7上にコレクターとイベントソースを作成します。
Rapid7プラグインを設定します。
Rapid7 用のログシッパービジネスルールを設定します。
Rapid7 用の Log Shipper ログ配信を設定する。
Rapid7プラグインを検証してください。

再生ボタンをクリックして動画をご覧ください。

Rapid7サーバーとポート情報を取得する

https://insight.rapid7.com のRapid7インスタンスにアクセスしてください。
Rapid7にログインしてください。
Data Collection 、 Collectorsをクリックしてから、 Download Collectorをクリックしてください。お使いのOSに対応したコレクターをダウンロードしてください。
お使いのコンピューターにコレクターをインストールしてください。（インストール手順：コレクターのインストールと展開｜InsightIDRドキュメント）
Data Collection 、 Event Sourcesをクリックしてから、 Add Event Sourceをクリックしてください。
Rapid7 Custom Logsボックスを検索して選択してください。
イベントソースに名前を付け、有効化したコレクターを選択してください。ポート番号を入力し、プロトコルを選択してください。
Saveをクリックしてください。
Data Collection Managementをクリックし、次にEvent Sourcesクリックすると、設定済みのイベントソースが表示されます。
サーバーのIPアドレスとポート番号をコピーしてください。Rapid7プラグインを設定するには、これらが必要です。

Rapid7プラグインの設定

Cloud Exchange で、 Settings > Plugin Storeに移動します。
Rapid7 v3.1.1 (CLS)プラグインを検索して選択してください。
構成名を入力し、Rapid7のデフォルトマッピングファイルが選択されていることを確認してください。カスタムマッピングが必要な場合は、 Create New Mappingをクリックしてください。JSON形式の場合、ログが変換されるトグルを無効にします。
Nextをクリックしてください。
以下のパラメータSelectて入力してください。
- Rapid7 Server: Rapid7サーバーのIPアドレス/FQDN(データが取り込まれる場所)。Rapid7 Protocol:データを取り込む際に使うプロトコル。Rapid7 Port:Rapid7でイベントソースポートを設定しました。Rapid7 Certificate:証明書はTLSプロトコルでのみ必要です。ログソース識別子：ログに追加されるプレフィックス。
Saveをクリックしてください。このプラグインの設定はLog Shipper > Pluginsページで確認できます。

Rapid7のログシッパービジネスルールの設定

Log Shipper > Business Rulesへ移動してください。
デフォルトでは、すべてのアラートとイベントをフィルタリングするビジネスルールが設定されています。特定の種類のアラートやイベントを除外したい場合は、 Create New Ruleをクリックして、ルール名とフィルターを追加して新しいビジネスルールを設定します。
ルール名を入力し、フィルターを選択してください。該当する場合はFolder Nameを入力してください。
Saveをクリックしてください。

Rapid7 のログシッパー SIEM マッピングを設定する

Log Shipper > Log Deliveryに移動してAdd Log Delivery Configurationをクリックしてください。
アラートとイベントについては、ソースプラグイン（CLS Netskope）、宛先プラグイン（CLS Rapid7）、およびビジネスルールを選択してください。
WebTxの場合は、ソースプラグイン（AWS Netskope Log StreamingまたはAzure Netskope Log Streaming）と宛先プラグイン（CLS Rapid7）を選択してください。
ログを共有するには、ソースプラグイン（CLS Syslog for CE）と宛先プラグイン（CLS Rapid7）を選択してください。
Saveをクリックしてください。

Log Delivery 構成が追加されると、 Netskopeテナントからのデータの取得、変換、 Rapid7プラットフォームへの取り込みが開始されます。

Rapid7プラグインを検証する

プルを検証する

Netskopeテナントからイベント、アラート、ログ、Webtxの取得を検証するには、 Logging に移動してプルされたログを検索してください。

プッシュ通知を検証する

To validate on Cloud Exchange, go to Logging and search for ingested Events, Alerts, WebTx, and Logs with the filter message contains ingested. The ingested logs will be filtered. To validate the push on the Rapid7, log in to the Rapid7 platform and click Log Search. Search the logs by filtering from time range. Here are screenshots of data ingested in CEF format. Here are screenshots of data ingested in JSON format.