Log Shipper 用 Secureworks プラグイン - Netskope ナレッジポータル

このドキュメントでは、 Netskope Cloud ExchangeのCloud Log Shipperモジュールを使用して Secureworks Taegis XDR インスタンスを構成する方法について説明します。

Secureworksのドキュメントについては、次のURLをご覧ください： https://docs.ctpx.secureworks.com/integration/connectCloud/netskope/

前提条件

この設定を完了するには、以下が必要です。

Netskopeテナント（または、例えば本番環境と開発／テスト環境など、複数のテナント）。
Netskope Cloud Exchangeテナントには、テナントプラグインとログシッパープラグインが既に設定済みです。
Netskope Cloud Exchangeテナントには、 AWS Netskope Log StreamingまたはAzure Netskope Log Streamingプラグインが既に構成されています（Netskope Log StreamingプラグインからWebTxを取得するため）。
Secureworksのインスタンス。
以下のホストへの接続: https://ctpx.secureworks.com/ 。

Secureworksプラグインのサポート

この統合は以下をサポートします：

イベント
アラート
WebTx（Netskope Log Streaming経由）

注記

Google Pub Sub Lite をベースにした CLS WebTX は非推奨となりました。Netskope製品のサポート終了/サポート終了に関するお知らせについては、Netskopeナレッジポータルをご覧ください。
WebTXログをSIEM、SOAR、XDR、データレイクなどのログ配信先に取り込むには、 AWS Netskope Log StreamingまたはAzure Netskope Log Streamingプラグインを使用します。

ワークフロー

Secureworks Collectorの情報を入手してください。
Secureworksプラグインを設定します。
Secureworksのログシッパービジネスルールを設定します。
Secureworks の Log Shipper ログ配信を設定します。
Secureworksプラグインを検証してください。

デモをご覧になるには、再生ボタンをクリックしてください。

Secureworks Collectorの情報を入手してください

Secureworksインスタンスにアクセスしてください： https://ctpx.secureworks.com/login
ログイン情報「クレデンシャル」を入力してください。
上部のバー（下記参照）からテナントSelect 。
Integrations > Data Collectorsへ移動してください。
コレクターを作成するには、 Add Collectorをクリックしてください。コレクターは主に、オンプレミス型とクラウドホスト型の2種類を作成できます。
Nextをクリックして、必要な詳細情報を入力してください。
Create Collectorをクリックしてください。
.ovaファイルをダウンロードしてくださいファイルを開き、ネットワークコレクターのインストール手順に従ってください。インストールが正常に完了すると、コレクターの状態はオンラインになります。
作成されたコレクターをクリックし、IPアドレスをコピーします。Netskope CLSの設定でSecureworksサーバーとしてこのIPアドレスが必要になります。
TLS でコレクターを使用するには、 Applications >TLS enabled Syslogに移動します。
Settings > Configureをクリックしてください。
ドロップダウンメニューからポート6514 Select 。
TLS証明書を取得するには、「TLS有効化Syslogドキュメント」の手順に従ってください。
PKCS12ファイルをアップロードし、パスワードを入力して、 Saveをクリックしてください。
NetskopeからSecureworksへの通信は、ポート6514で正常に行われます。

Secureworksプラグインを設定する

Cloud Exchange で、 Setting > Plugin Storeに移動します。
Secureworks v1.0.0 (CLS)プラグインを検索して選択してください。
構成名を入力してください。
有効なMapping Select 。（すべてのプラグインのデフォルトマッピングが利用可能です。）
Nextをクリックしてください。
SecureworksサーバーのコレクターIPアドレスを入力し、SecureworksフォーマットとSecureworksプロトコルを選択してから、SecureworksポートとSecureworks証明書を入力します。
ログソース識別子を入力してください。デフォルト値はnetskopeceになります。ログソース識別子には空白文字を含めないでください。これはすべてのログの接頭辞として追加されます。
Saveをクリックしてください。

Secureworks のログシッパービジネスルールを設定する

Log Shipper > Business Rulesへ移動してください。
Create New Ruleをクリックしてください。
ルール名を入力し、フィルターを選択してください。
Saveをクリックしてください。

Secureworks の Log Shipper ログ配信の設定

Log Shipper > Log Deliveryに移動してAdd Log Delivery Configurationをクリックしてください。
アラートやイベントについては、Sourceプラグイン(Netskope CLS)、Destinationプラグイン(CLS Secureworks)、ビジネスルールを選択し、Saveをクリックします。
WebTx の場合は、ソースプラグイン (AWS Netskope Log Streaming または Azure Netskope Log Streaming) と宛先プラグイン (CLS Secureworks)、ビジネスルールを選択し、 Saveをクリックします。

Secureworksプラグインを検証する

プラグインのワークフローを検証するには、Netskope Cloud ExchangeとSecureworksインスタンスの両方で確認できます。

Netskope Cloud Exchangeで検証する

行く Logging.

Secureworksで検証する

方法は2つあります。

Integrations > Data Sourcesへ移動してください。
Integrations > Data Collectorsからも同じことを確認できます。その後、データコレクターをクリックし、必要なクエリを入力してデータを検索します。
生データユーザーを検証するには、詳細検索に移動し、左側の候補に従ってクエリを入力してください。