脅威交換用STIX/TAXIIプラグイン

このドキュメントでは、 Netskope Cloud Exchangeプラットフォームの Threat Exchange モジュールを使用して STIX/TAXII v3.2.0 プラグインを構成する方法について説明します。 このプラグインは、TAXIIフィードから、バージョン1.1ではドメイン、URL、ハッシュ（MD5およびSHA256）タイプのIoCを、バージョン2.1/2.2ではドメイン、URL、IPv4、IPv6、ハッシュ（MD5およびSHA256）タイプのIoCを取得し、そこから観測可能な情報を抽出します。このプラグインは、TAXIIフィードから取得したIoC（侵害指標）の取り消しをサポートします。このプラグインは、指標をTAXIIフィードに共有する機能をサポートしていません。

前提条件

この設定を完了するには、以下が必要です。

• Netskopeテナント（または、例えば本番環境と開発／テスト環境など、複数のテナント）。
• Netskope Cloud Exchangeテナントには、テナントプラグインと脅威交換プラグインが既に設定済みです。
• URL 共有のための Secure Web Gateway サブスクリプション。
• インジケーターを取得するためのSTIX/TAXIIサーバー。
• STIX/TAXII API クレデンシャルの詳細。 コンタクト 適切な検出 URL/API ルート URL の STIX/TAXII サポート。
• STIX/TAXIIパートナーログインURLへの接続。

STIX/TAXIIプラグインのサポート

このプラグインは バージョン 1.1 ではドメイン、URL、ハッシュ (MD5 および SHA256) タイプの IoC を、バージョン 2.1/2.2 ではドメイン、URL、IPv4、IPv6、ハッシュ (MD5 および SHA256) タイプの IoC を TAXII フィードから取得し、そこから観測可能な情報を抽出します。 このプラグインは、TAXIIフィードから取得したIoC（侵害指標）の取り消しをサポートします。このプラグインは、指標をTAXIIフィードに共有する機能をサポートしていません。

プルされたIoCのマッピング

For version 1.1

For version 2.x

権限

権限はプラットフォームごとに異なる場合があります。 XSOAR プラットフォームの場合は、管理者の役割が必要です。

1) Client creation:
from cabby import create_client
client = create_client(
                base,
                port=port,
                use_https=True,
                discovery_path=discovery_url,
            )

2) Fetch collections:
client.get_collections(uri=collection_uri)

3) Poll objects:
content_blocks = client.poll(
      collection_name=collection,
      begin_date=start_time,
)

1) ApiRoot object creation:
apiroot = ApiRoot21(
       configuration["discovery_url"].strip(),
       user=username,
       password=password,
       verify=self.ssl_validation,
       proxies=self.proxy,
       )

2) Fetch collections:
collections = apiroot.collections

3) Fetch objects:
pages = as_pages21(
            func,
            per_request=batch_size,
            added_after=start_time,
            next=next,
            with_header=True,
            headers=headers
      )

パフォーマンスマトリックス

以下は、下記の仕様を持つ大規模Cloud Exchangeインスタンス上で、各プラグインライフサイクルにおいて10万件のIoCを取得する際に実施したパフォーマンス測定結果です。

XSOAR TAXII サーバーはデータをプルするために使用されました。

ユーザーエージェント

netskope-ce-6.0.0-cte-stix/taxii-v3.2.0

ワークフロー

1. ディスカバリーURL/APIルートURL、ユーザー名、パスワードを取得してください。
2. STIX/TAXIIプラグインを設定します。
3. ビジネスルールを設定します。
4. 共有を設定する。
5. プラグインを検証してください。

XSOAR TAXII サーバーは、これらの命令でデータを取得するために使用されました。

動画を見る

再生ボタンをクリックして動画をご覧ください。

TAXII2サーバーの設定

1. XSOARサーバーにログインしてください。
2. Settings > Integrations > Instancesをクリックしてください。

   

3. Search for Taxi and click Add Instance.

   

   

   

4. 以下の情報を入力してください。
   • NameSTIX/TAXII の名前を入力してください。
   • TAXII2 Server version: 2.1または2.0。
   • Listen Port: フィードを送信するポート番号。
   • Username: STIXサーバーのユーザー名（プラグインの設定時に必要になります）。
   • Password: STIXサーバーのパスワード（プラグインの設定時に必要になります）。
   • Collection JSON: Stixのコレクション名。
   • Response Size:  サーバーから受け取りたいレスポンスのサイズ。Netskope Cloud Exchangeは、最大1000個のIC（情報コンポーネント）までしかプルできないことに注意してください。

   注記

   コレクションJSONの例：

   {
     "url_collection": {
       "query": "type: URL",
       "description": "This is a test collection"
     },
    "hashes_collection": {
       "query": "type: File",
       "description": "This is a test collection"
     },
     "domain_collection": {
       "query": "type: Domain",
       "description": "This is a test collection"
     },
     "IPv4_collection": {
       "query": "type:IP",
       "description": "Collection of IPv4 indicators for internal network analysis"
     },
     "IPv6_collection": {
       "query": "type:IPv6",
       "description": "Collection of IPv6 indicators for external threat tracking"
     }
   }

5. Saveをクリックしてください。詳細については、 https ://xsoar.pan.dev/docs/reference/integrations/taxii2-server を参照してください。

STIX/TAXIIプラグインの設定

1. Cloud Exchange で、 Settings > Pluginsに移動します。
2. STIX/TAXII v3.2.0 (CTE)プラグインボックスを検索して選択します。

   

3. 基本情報を入力してください：
   • Configuration Name: プラグイン設定名。
   • Sync Intervalこのプラグインソースからデータを取得する間隔。
   • Aging Criteria: 特定の時間が経過したら、インジケーターの有効期限を切れるように設定する。
   • Override Reputationこの設定から受信したインジケーターの評判を上書きする値を設定します。デフォルト値を維持するには空欄のままにしてください（デフォルト値は5です）。
   • Tags Aggregate Strategy: 既存のIoCに新しいタグを追加するか、上書きするかを選択してください。これらの設定パラメータは、この設定用に取得されたインジケーターのタグの保存方法を決定します。
   • Enable SSL ValidationSSL証明書の検証を有効／無効にします。
   • Use System Proxy: 設定で構成されたシステム プロキシを使います。

   

4. Nextをクリックして、設定パラメータを入力してください。
   • STIX/TAXII Version: ご使用の環境に合わせて、STIX/TAXIIのバージョンSelect 。
   • Discovery URL/API Root URLバージョン1.xの場合はTAXIIサーバーの検出/フィードURL、バージョン2.xの場合はAPIルートURL。適切な検出 URL/API ルート URL については、STIX/TAXII サポートにお問い合わせください。
   • Username認証に必要なユーザー名（該当する場合）。
   • Password: 認証にはパスワードが必要です（必要な場合）。
   • Collection Names: データを取得する必要があるコレクション名はカンマで区切られていました。すべてのコレクションからデータを取得するために空のままにしてください。
     形式: “<collection1>,<collection2>,<collection3>”
   • Initial Range: 初回実行時にデータを取得するのにかかる日数。
   • Look Back (in minutes): データの取得の開始時刻を遡る分数。 有効な値は0から1440までの範囲です。
   • Type of Threat data to pull:引き出すべき脅威データの種類。注：IPv4/IPv6はSTIX/TAXIIバージョン2.xでのみサポートされています。
   • Severity: 深刻度が一致する指標のみが取得されます。STIX/TAXIIバージョン2.xは未確認の重症度のみ対応しているため、データ使う STIX/TAXII バージョン2.xを取得するには、重度フィールドで「不明」を選択する必要があります。 IOCの取得中に問題が発生した場合は、トラブルシューティングを参照してください。
   • Reputation: Netskope Cloud Exchangeには、この評価値以上を持つ指標のみが保存されます。
   • Pagination Method: ページネーション インジケーターを引っ張りながら使うメソッド。 STIX/TAXII サポートに問い合わせて、適切なオプションを選択してください。
   • Batch Size: バンドルごとに取得するインジケーターの数。1から1000までの整数である必要があります。
   • Retraction Interval (in days): 撤回チェックのために遡って確認する日数。取り消しを無効にするには、空欄のままにしてください。0から365までの範囲の整数である必要があります。

   

   

   注記

   • 2.x バージョンでは、設定パラメータで選択できるのは「不明」の深刻度のみとなります。
   • バッチサイズの範囲は、バージョン2.1では1～1000、バージョン2.0では2～1000です。
   • バージョン1.1では、バッチサイズの設定パラメータは存在しません。

   

5. Saveをクリックしてください。

   

STIX/TAXII 用の脅威交換ビジネスルールを追加する

ビジネスルールは 共有する指標をフィルタリングすることです。 サードパーティのプラグインとIOCを共有するには、ビジネスルールを作成する必要があります。

1. Threat ExchangeでBusiness Rulesに移動し、 Create New Ruleをクリックします。
2. ルール名を追加し、IoCをフィルタリングする対象となるフィールドを選択します。

   

3. Saveをクリックしてください。

   

STIX/TAXII 用の脅威交換共有機能を追加

共有を設定するには：

1. Threat ExchangeでSharingに移動し、 Add Sharing Configurationをクリックします。
2. ソース構成（データを共有する元のソース）、ビジネスルール、および宛先構成Select 。
3. 目標値とアクションの種類Select 。
4. Saveをクリックしてください。

   

STIX/TAXIIプラグインは、インジケーターをTAXIIフィードに共有する機能をサポートしていないことに注意してください。

STIX/TAXIIプラグインを検証する

プルを検証する

Cloud Exchangeに保存されている指標は、Threat Exchange Threat IoCsで確認できます。STIX TAXIIプラグインのインジケーターをフィルタリングして、STIX/TAXII IOCを検索します。

例：脅威IoCページに「sources.source Is equal “CTE STIX TAXII” && type IN (“<IOC_TYPE>”)」のようなクエリを追加します。

また、Cloud Exchangeで取得したインジケーターは、 Loggingで利用可能なログから確認できます。

XSOARプラットフォームにIOCが存在するかどうかを確認するには、インスタンスにログインして Indicatorsへ行ってください。

STIX/TAXIIプラグインのトラブルシューティング

STIX/TAXIIプラグインの設定ができません

プラグインの設定ができない場合、以下のいずれかの理由が考えられます。

• 無効な検出URL/APIルートURLです。
• ユーザー名またはパスワードが無効です。
• プラグインの設定中に以下のエラーが発生しました。
  CTE STIX/TAXII [CTE STIX TAXII]: Could not fetch the collection list from the server. Error: ('Connection broken: IncompleteRead(586 bytes read)', IncompleteRead(586 bytes read))
• STIX/TAXII バージョン 1.1 のオンプレミス インスタンスでプラグインを設定する際にエラーが発生します。

What to do:

1. 使用している検出URL/APIルートURLが 正しいことを確認してください。 Discovery URL/API Root URL が不明な場合は、それぞれのプラットフォームの STIX/TAXII サポート チームにお問い合わせください。
2. ユーザー名とパスワードを確認してください。これらは、TAXIIサーバーの設定時と同じでなければなりません。 TAXIIサーバーの設定時。
3. STIXサーバーで提供されているコレクションJSONを検証してください。プラグインの設定で指定されているとおりである必要があります。
4. コンテナにホストが追加されていないことが原因かもしれません。ホストを追加するには、以下の手順に従ってください。
   • Cloud ExchangeがインストールされているVMにSSH接続し、すべてのコンテナを停止します。 “sudo ./stop” スクリプト。
   • docker-compose ファイルを編集します コマンド「vi docker-compose.yml」を実行してください。
   • コアセクションにホストを追加してください。
   • Format:
     extra_hosts: "<your domain>:<your ip>"
   • ファイルを保存します。
   • Netskope Cloud Exchange使うコマンドsudo ./startを開始します。
   • オンプレミス設定用に有効なクレデンシャルを使用してプラグインを構成します。

注記

STIX/TAXIIインスタンスがホストされているサーバーのドメイン名とIPアドレス。

STIX/TAXIIプラグインでデータを取得できません

STIX/TAXIIプラグインを使用してデータを取得する際に問題が発生する場合、以下のいずれかの理由が考えられます。

• 第三者プラットフォームにはデータが存在しません。
• プラグインの設定時に選択したフィルターが原因である可能性があります。

What to do:

1. お使いのプラットフォームにIoC（侵害指標）が存在するかどうかを確認してください。XSOAR プラットフォームの「インジケーター」ページで確認できます。
2. 設定パラメータに記載されたフィルターに一致するデータは保存されます。例えば、深刻度フィルターの場合、深刻度が一致する指標のみが取得されます。STIX/TAXIIバージョン2.xは不明 の重度 のみをサポートしているため、データ使う STIX/TAXII バージョン2.xを取得するには、重大度フィールドで 未知 を選択する必要があります。 もし深刻度フィルターが「 未知 の重大度」以外のすべての値を持っている場合、Netskope Cloud Exchangeにはインジケーターが保存されず、 Loggingでプルのログを見ることができます。

プラグインのアップグレード後にプラグインを有効にする際にエラーが発生する

STIX/TAXIIプラグインを最新バージョンにアップグレードし、 アップグレード中にスキップボタンをクリックすると、デフォルトではプラグインが無効状態になり、「取得する脅威データの種類」フィールドに古い値が表示されるため、プラグインを有効にする際にこのエラーが発生します。

What to do:

プラグインのアップグレード後にプラグインを有効にできない場合は、プラグインを編集して、「取得する脅威データの種類」に有効な値が設定されていることを確認してください。プラグインのアップグレード後、脅威の種類データを取得するには、古い値を手動で削除し、利用可能なリストから新しい値を追加する必要があります。

サポートされている型は以下のとおりです。

既知の行動

• ユーザーが新しく設定したプラグインを古いバージョンから STIX/TAXII v3.1.0 にアップグレードすると、初回実行が実行されない場合、プラグインは初回実行で指定された範囲のIoC（侵害指標）を一切取得しません。
• 設定パラメータで指定されたフィルタに一致するデータのみが保存されます。例えば、重要度フィルターに「不明」以外のすべての値が含まれている場合、Cloud Exchange にはインジケーターは保存されませんが、ログページで取得するためのログを確認できます。

制限

プラグイン設定の編集時に表示される「最終実行日時」プラグイン設定パラメータは、STIX/TAXII v2.x では役に立ちません（サーキットブレーカーを実装したため）。