SentinelOne 用 Threat Exchange プラグイン - Netskope ナレッジポータル

このドキュメントでは、 Netskope Cloud Exchangeプラットフォームの Threat Exchange モジュールを使用して SentinelOne v1.4.0 プラグインを設定する方法について説明します。このプラグインは、SentinelOneのインシデントページから、SHA256およびMD5ファイルハッシュタイプのIoC（侵害指標）を取得します。このプラグインは、SHA256、MD5、URL、IPv4、IPv6、およびDNS（ドメイン、ホスト名、FQDN）を脅威インテリジェンスに共有することをサポートしています。

Cloud Exchange経由で共有される指標はSentinelOneには表示されないことに注意してください。エンドポイント: <SentinelOne Base URL>/ウェブ/api/v2.1/threat-intelligence/iocs経由で共有 IoC を確認できます。

前提条件

この設定を完了するには、以下が必要です。

Netskopeテナント（または、例えば本番環境と開発／テスト環境など、複数のテナント）。
Netskopeテナントに設定されているファイルプロファイル。
Netskope Cloud Exchangeテナントには、テナントプラグインと脅威交換プラグインが既に設定済みです。
SentinelOne APIアカウントまたはグローバルアカウント。
次のホストへの接続: SentinelOne プラットフォーム。
例えば、 https ://usea1-partners.sentinelone.net など。

SentinelOneプラグインのサポート

このプラグインは、SentinelOneのインシデントページから、SHA256およびMD5ファイルハッシュタイプのIoC（侵害指標）を取得します。このプラグインは、SHA256、MD5、URL、IPv4、IPv6、およびDNS（ドメイン、ホスト名、FQDN）を脅威インテリジェンスに共有することをサポートしています。

取得したインジケータータイプ	共有指標タイプ
SHA256、MD5	SHA256、MD5、URL、IPv4、IPv6、DNS（ドメイン、ホスト名、FQDN）

マッピング

プルマッピング

Cloud Exchangeフィールド	センチネルワン・フィールズ
value	fileSha256
コメント	分類、信頼度、エンジン
firstSeen	createdAt
lastSeen	updatedAt
tags	analystVerdictDescription
extraInformation	{SentinelOne_URL}/analyze/threats/{id}/概要

プッシュマッピング

Cloud Exchangeフィールド	センチネルワン・フィールズ
value	value
タイプ	タイプ
value	externalId
firstseen	creationTime
expireAt	validUntill
コメント	description

権限

プラグインを正常に実行するために必要な権限は以下のとおりです。

アカウント：表示
グループ:表示
役割: 表示
サイト:表示
エンドポイントの脅威: 表示、脅威ファイルの取得
脅威インテリジェンス：表示、管理

APIの詳細

使うAPI一覧

APIエンドポイント	方法	使うケース
/web/api/v2.1/sites	得る	サイトIDを取得します。
/web/api/v2.1/threats	得る	インジケーターを取得し、変更されたインジケーターがないか確認します。
/web/api/v2.1/threat-intelligence/iocs	役職	プッシュ型インジケーター。
/web/api/v2.1/threat-intelligence/iocs	DELETE	インジケーターを削除します。

サイトIDを取得する

API Endpoint: https://<SENTINEL TENANT>/web/api/v2.1/sites
Method: GET
Headers

鍵	Value
Authorization	ApiToken <TOKEN>
ユーザーエージェント	netskope-ce-6.0.1-cte-sentinelone-v1.4.0

Parameters

鍵	Value
name	Site Name

Sample API Response

{
    "data": {
        "allSites": {
            "activeLicenses": 7,
            "totalLicenses": 25
        },
        "sites": [
            {
                "accountId": "1268419425097944269",
                "accountName": "Netskope",
                "activeLicenses": 7,
                "createdAt": "2021-10-17T02:02:58.519858Z",
                "creator": "Sandeep Minhas",
                "creatorId": "1170348439571106212",
                "description": null,
                "expiration": null,
                "externalId": "97e5ca8f-5ad4-cb4a-7ef8-9d27a2557175",
                "healthStatus": true,
                "id": "1268419425114721486",
                "isDefault": true,
                "licenses": {
                    "bundles": [
                        {
                            "displayName": "Core",
                            "majorVersion": 1,
                            "minorVersion": 6,
                            "name": "core",
                            "surfaces": [
                                {
                                    "count": 25,
                                    "name": "Total Agents"
                                }
                            ],
                            "totalSurfaces": 25
                        }
                    ],
                    "modules": [
                        {
                            "displayName": "Ranger",
                            "majorVersion": 1,
                            "name": "ranger"
                        }
                    ],
                    "settings": [
                        {
                            "displayName": "365 Days",
                            "groupName": "malicious_data_retention",
                            "setting": "365 Days",
                            "settingGroup": "malicious_data_retention",
                            "settingGroupDisplayName": "Malicious Data Retention"
                        },
                        {
                            "displayName": "Available",
                            "groupName": "marketplace_access_status",
                            "setting": "Available",
                            "settingGroup": "marketplace_access_status",
                            "settingGroupDisplayName": "Marketplace Access"
                        },
                        {
                            "displayName": "Account",
                            "groupName": "account_level_ranger",
                            "setting": "Account",
                            "settingGroup": "account_level_ranger",
                            "settingGroupDisplayName": "Ranger Consolidation Level"
                        }
                    ]
                },
                "name": "Default site",
                "registrationToken": "eyJ1cmwiOiAiaHR0cHM6Ly91c2VhMS1wYXJ0bmVycy5zZW50aW5lbG9uZS5uZXQiLCAic2l0ZV9rZXkiOiAiYjVjYTA0ZDVlYjc0MjA0MyJ9",
                "siteType": "Paid",
                "sku": "Core",
                "state": "active",
                "suite": "Core",
                "totalLicenses": 25,
                "unlimitedExpiration": true,
                "unlimitedLicenses": false,
                "updatedAt": "2024-01-23T12:37:22.573745Z"
            }
        ]
    },
    "pagination": {
        "nextCursor": null,
        "totalItems": 1
    }
}

インジケーターを取得し、変更されたインジケーターを確認します。

API Endpoint: https://<SENTINEL TENANT>/web/api/v2.1/sites
Method: GET
Headers

鍵	Value
Authorization	ApiToken <TOKEN>
ユーザーエージェント	netskope-ce-6.0.1-cte-sentinelone-v1.4.0

Parameters

updatedAt__gte	2023-02-02T08:30:37.680000Z
updatedAt__lte	2023-02-09T08:47:37.680000Z
analystVerdicts	真陽性、疑わしい、偽陽性、未定義
limit	100
siteIds	1268419425114721486

{
  "data": [
    {
      "agentDetectionInfo": {
        "accountId": "1268419425097944269",
        "accountName": "Netskope",
        "agentDetectionState": "full_mode",
        "agentDomain": "NETSKOPE",
        "agentIpV4": "10.0.2.82,198.19.83.174",
        "agentIpV6": "",
        "agentLastLoggedInUpn": null,
        "agentLastLoggedInUserMail": null,
        "agentLastLoggedInUserName": "",
        "agentMitigationMode": "detect",
        "agentOsName": "Windows Server 2016 Datacenter",
        "agentOsRevision": "14393",
        "agentRegisteredAt": "2024-01-11T09:37:33.558245Z",
        "agentUuid": "919bda8871934b289fcd3f0b1ee3b2b6",
        "agentVersion": "23.3.3.264",
        "assetVersion": "264",
        "cloudProviders": {
          "AWS": {
            "awsRole": null,
            "awsSecurityGroups": [
              "Workspace"
            ],
            "awsSubnetIds": [
              "subnet-0b0533f1bb462f7bf",
              "subnet-0216a3836557c718f"
            ],
            "cloudAccount": "517168379634",
            "cloudImage": "ami-0fbea36fd7bd4f5fe",
            "cloudInstanceId": "i-036e160c50b977ee7",
            "cloudInstanceSize": "t3.medium",
            "cloudLocation": "ap-southeast-1",
            "cloudNetwork": "vpc-0fc65d8a5f3774876",
            "cloudTags": [
              "Endpoint does not have sufficient permissions to fetch tags"
            ]
          }
        },
        "externalIp": "18.140.109.245",
        "groupId": "1268419425123110095",
        "groupName": "Default Group",
        "siteId": "1268419425114721486",
        "siteName": "Default site"
      },
      "agentRealtimeInfo": {
        "accountId": "1268419425097944269",
        "accountName": "Netskope",
        "activeThreats": 0,
        "agentComputerName": "WSAMZN-FE0FUJ90",
        "agentDecommissionedAt": true,
        "agentDomain": "NETSKOPE",
        "agentId": "1860065221432363061",
        "agentInfected": false,
        "agentIsActive": false,
        "agentIsDecommissioned": true,
        "agentMachineType": "server",
        "agentMitigationMode": "detect",
        "agentNetworkStatus": "connected",
        "agentOsName": "Windows Server 2016 Datacenter",
        "agentOsRevision": "14393",
        "agentOsType": "windows",
        "agentUuid": "919bda8871934b289fcd3f0b1ee3b2b6",
        "agentVersion": "23.3.3.264",
        "groupId": "1268419425123110095",
        "groupName": "Default Group",
        "networkInterfaces": [
          {
            "id": "1860065221499471932",
            "inet": [
              "198.19.83.174"
            ],
            "inet6": [
              
            ],
            "name": "Ethernet 3",
            "physical": "06:36:49:72:4c:84"
          },
          {
            "id": "1860065221482694715",
            "inet": [
              "10.0.2.82"
            ],
            "inet6": [
              
            ],
            "name": "Ethernet 4",
            "physical": "06:29:ab:f6:cd:3e"
          }
        ],
        "operationalState": "na",
        "rebootRequired": false,
        "scanAbortedAt": null,
        "scanFinishedAt": null,
        "scanStartedAt": "2024-01-11T09:39:41.493730Z",
        "scanStatus": "started",
        "siteId": "1268419425114721486",
        "siteName": "Default site",
        "storageName": null,
        "storageType": null,
        "userActionsNeeded": [
          
        ]
      },
      "containerInfo": {
        "id": null,
        "image": null,
        "isContainerQuarantine": null,
        "labels": null,
        "name": null
      },
      "ecsInfo": {
        "clusterName": null,
        "serviceArn": null,
        "serviceName": null,
        "taskArn": null,
        "taskAvailabilityZone": null,
        "taskDefinitionArn": null,
        "taskDefinitionFamily": null,
        "taskDefinitionRevision": null,
        "type": null,
        "version": null
      },
      "id": "1860067293510813906",
      "indicators": [
        {
          "category": "Abnormalities",
          "description": "The Entry point for this binary is an RWX section. It might contain self-modifying code",
          "ids": [
            32
          ],
          "tactics": [
            
          ]
        },
        {
          "category": "Abnormalities",
          "description": "This binary has an RWX section. It might contain self-modifying code",
          "ids": [
            33
          ],
          "tactics": [
            
          ]
        },
        {
          "category": "General",
          "description": "This binary imports debugger functions",
          "ids": [
            6
          ],
          "tactics": [
            
          ]
        }
      ],
      "kubernetesInfo": {
        "cluster": null,
        "controllerKind": null,
        "controllerLabels": null,
        "controllerName": null,
        "isContainerQuarantine": null,
        "namespace": null,
        "namespaceLabels": null,
        "node": null,
        "nodeLabels": null,
        "pod": null,
        "podLabels": null
      },
      "mitigationStatus": [
        
      ],
      "threatInfo": {
        "analystVerdict": "undefined",
        "analystVerdictDescription": "Undefined",
        "automaticallyResolved": true,
        "browserType": null,
        "certificateId": "",
        "classification": "Malware",
        "classificationSource": "Static",
        "cloudFilesHashVerdict": null,
        "collectionId": "1860067293544368339",
        "confidenceLevel": "suspicious",
        "createdAt": "2024-01-11T09:41:40.575731Z",
        "detectionEngines": [
          {
            "key": "pre_execution_suspicious",
            "title": "On-Write Static AI - Suspicious"
          }
        ],
        "detectionType": "static",
        "engines": [
          "On-Write DFI - Suspicious"
        ],
        "externalTicketExists": false,
        "externalTicketId": null,
        "failedActions": false,
        "fileExtension": "EXE",
        "fileExtensionType": "Executable",
        "filePath": "\\Device\\HarddiskVolume2\\Users\\mrai\\Downloads\\wildfire-test-pe-file (2).exe",
        "fileSize": 55296,
        "fileVerificationType": "NotSigned",
        "identifiedAt": "2024-01-11T09:41:39.995000Z",
        "incidentStatus": "resolved",
        "incidentStatusDescription": "Resolved",
        "initiatedBy": "agent_policy",
        "initiatedByDescription": "Agent Policy",
        "initiatingUserId": null,
        "initiatingUsername": null,
        "isFileless": false,
        "isValidCertificate": false,
        "macroModules": null,
        "maliciousProcessArguments": null,
        "md5": null,
        "mitigatedPreemptively": false,
        "mitigationStatus": "not_mitigated",
        "mitigationStatusDescription": "Not mitigated",
        "originatorProcess": "msedge.exe",
        "pendingActions": false,
        "processUser": "NETSKOPE\\mrai",
        "publisherName": "",
        "reachedEventsLimit": false,
        "rebootRequired": false,
        "rootProcessUpn": null,
        "sha1": "c216b4134e0bd47a048699c6d961be65ef5672b3",
        "sha256": null,
        "storyline": "4C7C7E773CBBC497",
        "threatId": "1860067293510813906",
        "threatName": "wildfire-test-pe-file (2).exe",
        "updatedAt": "2024-02-10T10:10:28.751389Z"
      },
      "whiteningOptions": [
        "hash",
        "path"
      ]
    }
  }
],
"pagination": {
  "nextCursor": "eyJpZF9jb2x1bW4iOiAiVGhyZWF0Vmlldy5pZCIsICJpZF92YWx1ZSI6IDE5MTk2MDc5NzI5NTA1NDcxNjMsICJpZF9zb3J0X29yZGVyIjogImFzYyIsICJzb3J0X2J5X2NvbHVtbiI6ICJUaHJlYXRWaWV3LnNpdGVfaWQiLCAic29ydF9ieV92YWx1ZSI6IDEyNjg0MTk0MjUxMTQ3MjE0ODYsICJzb3J0X29yZGVyIjogImFzYyJ9",
  "totalItems": 71
}
}

プッシュインジケーター

API Endpoint: https://<SENTINEL TENANT>/web/api/v2.1/sites
Method: POST
Headers:

鍵	Value
Authorization	ApiToken <TOKEN>
ユーザーエージェント	netskope-ce-6.0.1-cte-sentinelone-v1.4.0

Parameters

鍵	Value
name	SITE NAME

Body

鍵	Value
value	5cd04805f9753ca08b82e88c27bf5426d1d356bb26b281885573051048911367
タイプ	sha256
source	Netskope CE \| <Source Plugin Name>
externalId	value
method	EQUALS
creationTime	2024-03-28T18:01:52.751130Z
validUntil	2025-03-28T18:01:52.751130Z
description	これはテストインジケーターです。

{
    "data": [
        {
            "value": "27e13bc0fea2b1181b5fe763880262a65b9b9c4dd60533b933fe2e9d50fb84a5",
            "type": "SHA256",
            "source": "Netskope CE | MISP",
            "description": "This is a test indicator.",
            "method": "EQUALS",
            "externalId": "27e13bc0fea2b1181b5fe763880262a65b9b9c4dd60533b933fe2e9d50fb84a5",
            "creationTime": "2024-03-28T18:01:52.751130Z",
            "validUntil": "2025-03-28T18:01:52.751130Z"
        }
    ],
    "filter": {}
}

Sample API Response

{
    "data": [
        {
            "batchId": "atmtn00000001b533e1b531f362cc40dcb066",
            "category": [],
            "creationTime": "2024-03-28T18:01:52.751130Z",
            "creator": "tanushree.kurup@crestdatasys.com",
            "description": "This is a test indicator.",
            "externalId": "27e13bc0fea2b1181b5fe763880262a65b9b9c4dd60533b933fe2e9d50fb84a5",
            "intrusionSets": [],
            "metadata": "",
            "method": "EQUALS",
            "mitreTactic": [],
            "reference": [],
            "scope": "account",
            "scopeId": "1268419425097944269",
            "source": "Netskope CE | MISP",
            "threatActors": [],
            "type": "SHA256",
            "updatedAt": "2024-12-02T15:31:15.710467Z",
            "uploadTime": "2024-12-02T15:30:24.310837Z",
            "uuid": "07ca58e55bbc1e9505fdb03fdc8b463a",
            "validUntil": "2025-03-28T18:01:52.751130Z",
            "value": "27e13bc0fea2b1181b5fe763880262a65b9b9c4dd60533b933fe2e9d50fb84a5"
        }
    ]
}

削除/取り消しインジケーター

API Endpoint: /ウェブ/api/v2.1/threat-intelligence/iocs
Method: 削除
Headers

鍵	Value
Authorization	ApiToken <TOKEN>

Body

鍵	Value
filter.value	164a6e6f39e8c707269c7e5d934d6a0d

Example

{
	"filter": {
        "value": "164a6e6f39e8c707269c7e5d934d6a0d"
    }
}

Sample API Response

{
    "data": {
        "affected": 1
    }
}

パフォーマンスマトリックス

以下は、これらの仕様を持つ大規模Cloud Exchangeインスタンス上で、10万件のIoCを取得および送信する際に実施したパフォーマンス測定結果です。

デスクリプション	仕様
スタックの詳細	サイズ：大 RAM：32 GB CPU：16コア
SentinelOneから取得した指標	~35k per minute
SentinelOneと共有された指標	~50k per minute

ユーザーエージェント

netskope-ce-6.0.1-cte-sentinelone-v1.4.0

ワークフロー

ユーザーに役割を追加する。
SentinelOne管理用URLとAPIトークンを取得してください。
SentinelOneプラグインを設定します。
SentinelOneのビジネスルールを設定します。
SentinelOneの共有設定を行います。
SentinelOneプラグインを検証します。

動画を見る

再生ボタンをクリックして動画をご覧ください。

ユーザーに役割を追加する

SentinelOneプラグインを設定するには、ユーザーに特定の役割を追加する必要があります。以下の手順に従って、ユーザーに必要な役割を追加してください。

SentinelOne プラットフォームに管理者ユーザーとしてログインします。
Settings > Users > Roles > Actions > New Roleへ移動してください。
ロール名とデスクリプションを入力し、これらのロールを追加します。
- アカウント：表示
- グループ:表示
- 役割: 表示
- サイト:表示
- エンドポイントの脅威: 表示、脅威ファイルの取得
- 脅威インテリジェンス：表示、管理
Saveをクリックしてください。あなたの役割が追加されます。ユーザーに既に役割が割り当てられている場合は、これらの役割が全て既存の役割に追加されていることを確認してください。
ユーザーに役割が割り当てられていない場合は、次の手順に従って、新しく追加された役割をユーザーに追加してください。
Console Userに移動し、ユーザーの電子メールをクリックしてください。ポップアップボックスが開きます。Actions > Change Scope of Accessをクリックしてください。
上記の手順で作成したロール名Select 、 Saveをクリックします。
ユーザーにAPIトークンを生成する権限を付与する。

SentinelOneで新しいユーザーを作成する

まず管理者アカウントにログインし、左側のパネルでSettingsに移動してください。
Users > Actions > Add a new Userへ移動してください。
フルネームと電子メールアドレスを尋ねられます。

注記

インスタンス内に存在しない固有の電子メールアドレスを指定してください。
AccessのScope of AccessをアカウントとしてSelectし、「Adding for the User」で作成したロールを選択します。
◇指定された電子メールアドレスに認証電子メールを送信します。
電子メール内のリンクをクリックして、そのユーザーでログインします。

管理用URLとAPIトークンを取得してください。

SentinelOne プラットフォームにログインします。
右上隅にあるユーザー名をクリックし、「マイユーザー」をクリックしてください。
Actions > Api Token Operations > Regenerate API Tokenをクリックします（まだ生成されていない場合は生成します）。トークンは一度しか表示されないため、生成したら保存してください。

URL については、プラグインを設定するための管理 URL として SentinelOne プラットフォーム URL を使用します。

SentinelOneプラグインの設定

Cloud Exchange で、 Settings > Plugin Storeに移動します。
SentinelOne v1.4.0 (CTE)プラグインを検索して選択してください。
基本情報を入力してください：
- Configuration Name: 設定の一意の名前。
- Sync Intervalこのプラグインソースからデータを取得する間隔。
- Aging Criteria: プラグインの有効期限（日数）。（デフォルト値：90）
- Override Reputationこの設定から受信したインジケーターの評判を上書きする値を設定します。
- Tags Aggregate Strategy: 既存のIoCに新しいタグを追加するか、上書きするかを選択してください。この設定パラメータは、この設定用に取得されたインジケーターのタグの保存方法を決定します。
- Enable SSL Validationプラットフォームの要件に基づいて、SSL証明書の検証を有効/無効にします。
- Use System Proxyプロキシが通信に必要な場合は有効にします。
Nextをクリックして、設定パラメータを入力してください。
- Management URL: SentinelOne 管理 URL。
  例: https://user-partners.sentinelone.net 。
- API TokenSentinelOneを認証するためのAPIトークン。
- Site nameアラートを取得するサイトの名前。すべてのサイトからデータを取得するために空欄のままにしてください。
- User Type: Select 提供されるAPIトークンがグローバルユーザー向けかアカウントユーザー向けかを判断します。
- Analyst Verdict: アナリストの評価フィールドに基づいて指標を抽出します。選択したアナリストの判定を含むインジケーターが SentinelOne プラットフォームから取得されます。
- Retraction Interval (in days): SentinelOne指標のIoC撤回を実行するまでの撤回間隔（日数）。このパラメータは、脅威交換設定でIoC（侵害指標）の撤回が有効になっている場合にのみ考慮されることに注意してください。値は1から2^62の範囲でなければなりません。
- Enable Tagging: タグ付け機能を有効／無効にします。
- Initial Range (in days)初回実行のためにデータを取得するのにかかる日数。値は0から2^62の範囲でなければなりません。
Saveをクリックしてください。

SentinelOne の脅威交換ビジネスルールを設定する

SentinelOneから取得した指標をCloud Exchangeに共有するには、共有したい指標をフィルタリングするビジネスルールが必要です。ビジネスルールを設定するには、以下の手順に従ってください。

Threat ExchangeでBusiness Rulesに移動し、 Create New Ruleをクリックします。
共有したい IoC のルール名と必要なフィルターを追加し、 Saveをクリックします。

Threat ExchangeとSentinelOneの共有を設定する

IoC をCloud Exchangeから SentinelOne プラットフォーム、または SentinelOne からNetskopeに共有するには、次の手順に従います。

Threat ExchangeでSharingに移動し、 Add Sharing Configurationをクリックします。
ソース構成（ Netskope CTE）、ビジネスルール、宛先構成（SentinelOne）、およびターゲットをSelect 。
Saveをクリックしてください。
SentinelOne の IoC を Netskope に共有するには、同じ手順を逆に行います。ソース構成として SentinelOne、ビジネスルール、宛先構成 (Netskope CTE)、ターゲットを選択し、既存の IoC リスト名を選択するか、プラットフォーム上に新しい IoC リストを作成します。
Saveをクリックしてください。

SentinelOneプラグインを検証する

プルを検証する

プラグインの設定に基づいて、インジケーターはSentinelOneからデータを取得します。受信したIoCを表示するには、 Threat Exchange > Threat IoCsにアクセスしてください。

Example: 脅威 IoC ページに「sources.source Is equal “CTE SentinelOne” && type IN (“<IOC_TYPE>”)」のようなクエリを追加します。

また、Cloud Exchangeで取得したインジケーターは、 Loggingで利用可能なログから確認できます。

SentinelOneでは、左側のパネルからIncidentsを選択してください。こちらの「脅威」セクションでは、プル可能なインジケーターを確認できます。

SentinelOne から取り下げられた IoC を確認するには、ログで IoC 取り下げの例を確認してください:メッセージ「CTE SentinelOne [CTE SentinelOne] [Retraction]:」

SentinelOneプラグインはプッシュリトラクトもサポートしています。つまり、SentinelOneプラグインに共有されたサードパーティプラグインからのIoCが、 Cloud Exchangeでリトラクト済みとしてマークされると、それらのIoCはSentinelOneから自動的に削除されます。プッシュリトラクトによって。 <plugin configuration name>「: 取り消し済み」 と表示される「取り消し結果」フィールドを確認することで、同じことを確認できます。

SentinelOneからサードパーティに共有されたIoCがそのプラットフォームから削除されると、撤回結果に「<plugin-config-name>: retracted」とマークされます。第三者から削除されない場合、撤回結果は保留となります。

注記

このプラグインは、アナリストの評価フィールドに基づいた撤回もサポートしています。指標のアナリスト評価が更新され、その新しい値がプラグインの設定に含まれていない場合、その指標は取り下げられたものとしてマークされます。

SentinelOneから取得したIoCは、 Netskopeテナント上のSentinelone-デモという名前のファイルのファイルハッシュに共有されました。

Cloud Exchangeで共有IoCのいずれかが撤回済みとしてマークされた場合、Netskopeテナントからも削除されます。ここでは、撤回スクリーンショットで「撤回済み =はい」とマークされたIoCが、Netskopeテナントのファイルハッシュからも削除されたことが確認できます。

プッシュ通知を検証する

共有指標を確認するには、 Threat Exchange > Threat IoCsにアクセスしてください。ソースプラグインのIoCのいずれかを展開し、「パラメーターと共有」の状態を確認します。

詳細については、ナビゲーションバーからLoggingを選択し、プラグインのログを確認してください。

注記

SentinelOneに共有される指標には、表示するためのUIダッシュボードがありません。しかし、APIを利用すれば、取り込まれた指標を確認することができます。

CURLの例：

curl --location 'https://usea1-partners.sentinelone.net/web/api/v2.1/threat-intelligence/iocs?limit=1000' \--header 'Authorization: ApiToken TOKEN' \--header 'Content-Type: application/json'

Postman またはその他の API プラットフォームで提供された CURL コマンドを実行して、共有インジケーターを確認します。また、パラメータに値/タイプ/ソースのフィルタを追加することもできます。

注記

Cloud Exchangeのドメイン、ホスト名、FQDN タイプの IoC は、DNS として SentinelOne プラットフォームに共有されます。

ソースフィールドには、ソースプラグインのソースラベルが含まれます。

Cloud Exchangeで共有インジケーターが取り下げられたとマークされると、SentinelOneからも取り下げられます。このプラグインはプッシュによる取り下げもサポートしているためです。

プッシュリトラクションを確認するには、 Loggingに移動して、ここに示されているようにフィルタを適用します。

取り消された共有インジケーターはThreat IoCsでも確認できます。

撤回が完了したら、インジケーター値を指定してCURLコマンドを再度実行することで、SentinelOne上で撤回が行われたかどうかを確認できます。

SentinelOneプラグインのトラブルシューティング

SentinelOne プラットフォームから IoC をプルできません

プラグインの設定後、IoCがプラットフォームから取得されない場合は、以下のいずれかが原因である可能性があります。

プラットフォーム上には、取得可能なIoC（侵害指標）がありません。
指定された期間にIoCが利用できないか、構成パラメータと一致しません。

What to do: 上記から根本原因を特定し、以下の手順に従って問題を解決してください。

プラットフォーム上には取得可能なIOCがありません

プラットフォーム上でIoC（侵害指標）が利用可能かどうかを確認してください。可能であれば、次の項目の解決策を確認してください。

指定された期間のIoCは利用できません

プラットフォーム上でIoCが取得可能で、プラグインがCloud ExchangeでIoCを取得していない場合は、プラグイン設定の初期範囲パラメータに記載されている日数を確認してください。SentinelOneプラットフォームで、指定された時間帯のデータがあるか確認してください。

もしデータが指定された時間範囲で利用可能であれば、プラグイン構成内の提供されたフィルターのIoCが利用できない可能性があるため、プラグインの設定パラメータの値を確認し、SentinelOneプラットフォームでも同様にフィルタリングしてください。

IoC を SentinelOne プラットフォームにプッシュできません

Cloud ExchangeからSentinelOneにIoCを共有できない場合、ユーザーに必要な権限がないことが原因である可能性があります。

What to do: ユーザーに付与されている権限が、必要な権限を満たしているかどうかを確認してください。

SentinelOne で共有 IoC を検証できませんプラグインで提供される API

SentinelOneで共有IoCがあり、それを検証しようとしている場合プラグインで提供されているAPIを使用して、以下の応答を受け取る場合：

{
    "errors": [
        {
            "code": 4030010,
            "detail": "This page doesn't support multi-scopes users yet",
            "title": "Insufficient permissions"
        }
    ]
}

これは、トークンを持つユーザーが単一のアプリケーションスコープに限定されるのではなく、複数のサイトスコープにアクセスできることが原因である可能性があります。

What to do「ユーザーへのロールの追加」セクションで説明されているように、ユーザースコープをアプリケーションスコープで更新します。

プラグインから取得した誤検出のIoC

プラグインが誤検出指標を取得している場合、以下のいずれかの理由が考えられます。

設定されているプラグインのバージョンはv1.3.0以前です。
プラグインのバージョンがv1.4.0またはそれ以降の場合、アナリスト判定フィールドで「偽陽性」の値が選択されている可能性があります。

What to do:

プラグインのバージョンがv1.3.0以前の場合は、最新バージョンにアップグレードし、「アナリスト判定」フィールドで「誤検出」の値が選択されていないことを確認してください。 Threat Exchangeの設定で「撤回」トグルをグローバルに有効にし、プラグインの「撤回間隔」に値を指定してください。
プラグインが既にアップグレードされている場合は、プラグインの設定を編集し、「アナリスト判定」フィールドから「誤検出」の値を手動で削除してください。

Threat Exchange 用 SentinelOne プラグイン

前提条件

SentinelOneプラグインのサポート

マッピング

プルマッピング

プッシュマッピング

権限

APIの詳細

使うAPI一覧

サイトIDを取得する

インジケーターを取得し、変更されたインジケーターを確認します。

プッシュインジケーター

削除/取り消しインジケーター

パフォーマンスマトリックス

ユーザーエージェント

ワークフロー

動画を見る

ユーザーに役割を追加する

SentinelOneで新しいユーザーを作成する

管理用URLとAPIトークンを取得してください。

SentinelOneプラグインの設定

SentinelOne の脅威交換ビジネスルールを設定する

Threat ExchangeとSentinelOneの共有を設定する

SentinelOneプラグインを検証する

プルを検証する

プッシュ通知を検証する

SentinelOneプラグインのトラブルシューティング

SentinelOne プラットフォームから IoC をプルできません

プラットフォーム上には取得可能なIOCがありません

指定された期間のIoCは利用できません

IoC を SentinelOne プラットフォームにプッシュできません

SentinelOne で共有 IoC を検証できません プラグインで提供される API

プラグインから取得した誤検出のIoC

SentinelOne で共有 IoC を検証できませんプラグインで提供される API