Threat Exchange用ServiceNow脅威インテリジェンスプラグイン

本書では、Netskope Cloud ExchangeプラットフォームのThreat Exchangeモジュールを使用して、ServiceNow Threat Intelligence v2.0.0プラグインを設定する方法を説明します。このプラグインは、ServiceNowのThreat Intelligence Observables（sn_ti_observable）テーブルからMD5、SHA256、URL、IPv4、IPv6、ドメイン、FQDNタイプのインジケーターをプルし、同タイプのインジケーターをObservablesテーブルに共有するために使用されます。このプラグインは、インジケーターのプル型取り消しおよびプッシュ型取り消しをサポートしています。このプラグインには、Threat Intelligence Observablesテーブルへのアクセス権を持つServiceNowアカウントが必要です。

前提条件

この設定を完了するには、以下が必要です。

• Netskopeテナント（または、例えば本番環境と開発／テスト環境など、複数のテナント）。
• Netskope Cloud Exchangeのテナントで、 Tenant プラグインと Threat Exchangeプラグイン が既に設定されています。
• Netskopeテナント上のファイルプロファイル。
• A URL List on your Netskope tenant.
• A Destination Profile on your Netskope tenant.
• Netskopeテナント上のプライベートアプリ。
• A DNS Profile on your Netskope Tenant.
• Threat Intelligence Observablesテーブルに対する読み取り、作成、削除のアクセス権を持つアカウントを備えたServiceNowインスタンス。
• 次のホストへの接続: https://<instance>.service-now.com

ServiceNow Threat Intelligenceプラグインのサポート

このプラグインは、ServiceNowのThreat Intelligence Observables（sn_ti_observable）テーブルからMD5、SHA256、URL、IPv4、IPv6、ドメイン、FQDNタイプのインジケーターをプルし、同タイプのインジケーターをObservablesテーブルに共有するために使用されます。このプラグインは、インジケーターのプル型取り消しおよびプッシュ型取り消しをサポートしています。このプラグインには、Threat Intelligence Observablesテーブルへのアクセス権を持つServiceNowアカウントが必要です。

IoC撤回

このプラグインは、プル型リトラクション（時間ベース、「Retraction Interval (in days)」で設定可能）とプッシュ型リトラクション（「Enable Push Retraction」設定トグルで制御）の両方をサポートしています。

IoCソースラベル

このプラグインによってServiceNowにプッシュされる各オブザーバブルのノートフィールドには、その発生源を特定し、プッシュ・プル・プッシュのループを防ぐために「Shared by Netskope Cloud Exchange | <plugin config name>」というラベルが接頭辞として付加されます。

マッピング

プルインジケーターのマッピング

プッシュインジケーターのマッピング

権限

プラグインで使用されるユーザーに割り当てるべきロールは次のとおりです:

sn_ti.observable.admin

{
  "result": [
    {
      "value": "malware.veboz37.live",
      "type.value": "FQDN",
      "sys_id": "000014a2ab00001101f9f8d5f7fe0a1c",
      "sys_created_on": "2026-03-25 22:31:19",
      "sys_updated_on": "2026-03-25 22:34:31",
      "notes": "This attribute is observed in a threat feed.",
      "finding": "Malicious"
    }
  ]
}

{
  "value": "malware.veboz37.live",
  "notes": "Shared by Netskope Cloud Exchange | <plugin config name> | <comments>"
}

{
  "result": {
    "sys_id": "000014a2ab00001101f9f8d5f7fe0a1c",
    "value": "malware.veboz37.live"
  }
}

{}

パフォーマンスマトリックス

この測定は、これらの仕様を持つ大規模CEスタック上で、10万個のIoCをプルおよびプッシュすることによって実施されます。

ユーザーエージェント

netskope-ce-6.1.0-cte-servicenow-threat-intelligence-v2.0.0

ワークフロー

1. ServiceNowのクレデンシャルを取得
2. Configure Netskope Tenant
3. Netskope Threat Exchangeプラグインの設定
4. ServiceNow Threat Intelligenceプラグインの設定
5. ビジネスルールを追加する
6. 共有の構成
7. Netskope CEで検証する
8. ServiceNowで検証する

動画を見る

再生ボタンをクリックして動画をご覧ください。

ServiceNowのユーザーIDとパスワードを取得する

1. 管理者権限でServiceNowインスタンスにログインしてください。

2. System Security > Users and Groups > Usersへ移動してください。

3. Newをクリックしてください。

   

4. 必要な情報を入力し、ユーザーIDとパスワードを控えてください。Submit をクリックします。

   

5. 「Roles」タブで、Editをクリックします。

6. Add the sn_ti.observable.admin role and click Save.

   

ServiceNow Threat Intelligenceプラグインを設定する

1. Cloud Exchange で、 Settings > Plugin Storeに移動します。ServiceNow Threat Intelligence v2.0.0 (CTE)プラグインを検索して選択してください。

   

2. 基本情報を入力してください：

   • Configuration Name: プラグイン設定名。
   • Sync Intervalこのプラグインからデータを取得し、他のソースからこのプラグインにデータを共有する間隔。
   • Aging Criteria特定の時間が経過すると、インジケーターの有効期限が切れます。
   • Override Reputationこの設定から受信したインジケーターの評判を上書きする値を設定します。デフォルト設定のままにする場合は空欄のままにしてください。
   • Tags Aggregate Strategy: 既存の IoC に新しいタグを追加するか、上書きするかを選択します。この設定パラメータは、この設定用に取得されたインジケーターのタグの保存方法を決定します。
   • Enable SSL ValidationSSL証明書の検証を有効にします。

   

3. Nextをクリックして、設定パラメータを入力してください。

   • ServiceNow Instance URL：ServiceNowインスタンスURL。例：https://<instance>.service-now.com。
   • Username：Threat Intelligence Observablesテーブルへのアクセス権を持つServiceNowユーザー名。
   • Password：ServiceNowユーザー名のパスワード。
   • Type of Threat Data to Pull：取得するインジケータータイプ。空白のままにした場合、サポートされているすべてのインジケータータイプが取得されます。
   • Type of Finding to Pull：取得するServiceNowの調査結果ステータス。空白のままにした場合、すべてのステータスの調査結果が取得されます。
   • Enable Polling：ServiceNowからのインジケーターのプルを有効/無効にします。インジケーターをServiceNowにプッシュする場合のみ無効にします。
   • Enable Push Retraction：プッシュの取り消しを有効/無効にします。有効にすると、以前にServiceNowにプッシュされたインジケーターは、CEで取り消された際にsn_ti_observableテーブルから完全に削除されます。
   • Retraction Interval (in days)：プル型取り消しの取り消し期間として使用される日数。Threat Exchangeの設定でインジデントの指標の取り消し（Retraction）が有効になっている場合にのみ適用されます。有効範囲：1～100,000日。
   • Initial Range (in days)：初回実行時にデータを取得する日数。有効範囲：1～365日。

   

   「Enable Push Retraction（プッシュ取り消しを有効にする）」設定を有効にすると、Cloud Exchangeでインジケーターが取り消された際に、ServiceNowからオブザーバブルが完全に削除されます。プッシュされたインジケーターを、Cloud Exchangeでの取り消し時にServiceNowのsn_ti_observableテーブルから削除したい場合にのみ、これを有効にしてください。

4. Click Save. The plugin appears on the Plugins page.

   

ServiceNow Threat Intelligence用のThreat Exchangeビジネスルールを設定する

ServiceNow Threat Intelligenceから取得したインジケーターをCloud Exchangeに共有するには、共有するインジケーターをフィルタリングするビジネスルールが必要です。ビジネスルールを構成するには：

1. Threat ExchangeでBusiness Rulesに移動し、 Create New Ruleをクリックします。

   

2. ルールに要件に応じてフィルターを追加し、 Saveをクリックします。

   

ServiceNow脅威インテリジェンスの共有設定

ServiceNow Threat IntelligenceからCloud ExchangeにIoCを共有するには：

1. Threat ExchangeでSharingに移動し、 Add Sharing Configurationをクリックします。

   

2. Select ソース構成（CTE Netskope Threat Exchange）、ビジネスルール、宛先構成（ServiceNow Threat Intelligence）、およびターゲット。

   

3. Saveをクリックしてください。

   

インジデントの指標（IOC）の取り消しを有効化

Pull Retraction

ServiceNow Threat Intelligenceプラグインのプルリトラクション（取り消し）を有効にするには：

1. プラグイン構成で Retraction Interval (in days) パラメータを設定します。
2. Cloud ExchangeのThreat Exchange > SettingsでIoC(s) Retractionを有効にします。

プッシュの取り消し

ServiceNow Threat Intelligenceプラグインのプル取り消しを有効にするには、[Enable Push Retraction]設定パラメーターでYesを選択します。有効にすると、Cloud Exchangeで取り消された場合、以前にServiceNowにプッシュされたインジケーターはsn_ti_observableテーブルから完全に削除されます。

ServiceNow脅威インテリジェンスプラグインの検証

プルを検証する

ServiceNowからのインジケーターは、Observablesテーブルから取得されます

ServiceNowコンソールで、Threat Intelligence > Observablesに移動します。

Logging で利用可能なログから、Cloud Exchange に取り込まれたインジケーターを確認することもできます。

抽出されたデータは、脅威IoC（侵害指標）ページに掲載されます。プラットフォームから取得した IoC をフィルタリングするには、フィルタを使用します: sources.source<plugin configuration name> “” のようにします 。

ServiceNowから撤回されたIoCを検証するには、IoC撤回のログを確認してください。例えば：message Like “[Retraction]:” 

脅威IoCページで取り下げられたIoCを検証するには、プラグイン構成名のソースフィルターとともに、 「取り下げられたIoCがYesと等しい」というフィルターを適用します。

プッシュ通知を検証する

ServiceNowに共有されたIoCは、Loggingで利用可能なログから確認できます。 

ServiceNowにログインし、Threat Intelligence > Observablesに移動して、共有されたインジケーターがsn_ti_observableテーブルに表示されていることを確認します。

IoCラベリングは、Cloud ExchangeからServiceNowに共有/プッシュされる各IoCのメモに追加され、その形式は Shared by Netskope Cloud Exchange | <plugin-name> となります。

プラグイン構成で「Enable Push Retraction」がYesに設定されている場合、Cloud Exchangeで撤回されたインジケーターは、ServiceNowにプッシュされたものも含め、sn_ti_observableテーブルから完全に削除されます。

Loggingに移動し、Retractedというキーワードを検索して、ServiceNow上のインジケーターが削除されたことを確認してください。

ServiceNowにログインし、Threat Intelligence > Observablesに移動して、sn_ti_observableテーブルからオブザーバブルが削除されたことを確認してください。

Netskope Threat Exchangeプラグインはプッシュによる取り消しをサポートしているため、ServiceNowプラグインから取得され、取り消し済みとしてマークされたIoCはNetskopeテナントから削除されます。この結果は、取り消し結果フィールドから確認できます。ここで、取り消し結果は CTE Netskope Threat Exchange: retracted となり、これは当該IoCがNetskopeテナントから削除されたことを意味します。

これは、ServiceNowから取得したIoCが共有される送信先プロファイルです。

ServiceNowから取得したIoCがretracted = Yesとマークされ、すでにNetskopeテナントの宛先プロファイルに共有されている場合、その宛先プロファイルから削除され、そのステータスはリトラクション結果から確認できます。この場合、取り消し結果はCTE Netskope Threat Exchange: retractedとなり、宛先プロファイルから削除されたことを意味します。

ここでは、取り下げられたIoCがこの宛先プロファイルから削除されたことが確認できます。

ServiceNow脅威インテリジェンスプラグインのトラブルシューティング

プラグインが構成の検証に失敗しました

構成の検証中にプラグインが失敗する場合、以下のいずれかの理由が考えられます：

• ServiceNowインスタンスのURLが正しくないか、形式が間違っています。
• 構成されたユーザー名またはパスワードが正しくありません。
• 設定されたアカウントには、sn_ti_observableテーブルへのアクセス権がありません。

What to do:

1. ServiceNowインスタンスのURLに正しいスキームとホスト名が含まれていることを確認してください（例：https://<instance>.service-now.com）。
2. ServiceNowに直接ログインして、ユーザー名とパスワードが正しいことを確認してください。
3. ServiceNowアカウントが、Threat Intelligence Observables（sn_ti_observable）テーブルに対する読み取り、作成、および削除のアクセス権を持っていることを確認してください。権限を確認するには、ServiceNow管理者にコンタクトしてください。

ServiceNowからIoCを取得できません

ServiceNowからIoCを取得できない場合、プラグイン設定の初期範囲として使用された間隔内に、ServiceNowプラットフォーム上にIoCが存在しない可能性があります。

What to do: IoCがServiceNowプラットフォーム上に存在し、プラグイン設定で使用されるクレデンシャルが正しいことを確認してください。「Validate the Pull」セクションを参照してください。

アップグレード後にプラグインを有効にできない

アップグレード後にプラグインを有効にできず「スキップ」をクリックした場合、設定で新しいパラメーターが設定されていない可能性があります。

What to do:

設定を編集してすべてのパラメーターを再設定してから、プラグインを有効にしてください。