リスク交換用Taniumプラグイン

このドキュメントでは、 Netskope Cloud Exchangeの Log Shipper モジュールを使用して Tanium v1.0.1 プラグインを構成する方法について説明します。このプラグインは、Tanium プラットフォームの[ホーム] > [合計エンドポイント]からデバイスを取得し、[モジュール] > [ベンチマーク] > [Tanium Risk Score 2.0] > [エンドポイント by Risk Score]ページからそれぞれのリスクスコアを取得するために使用します。このプラグインは、デバイス上での操作をサポートしていません。

Netskope正規化スコアの計算 => (1000 – (Taniumリスクスコア))。

前提条件

Netskopeテナント（または、例えば本番環境と開発／テスト環境など、複数のテナント）。
Netskope Cloud Exchangeテナントには、テナントプラグインとリスクエクスチェンジプラグインが既に設定済みです。
TaniumのAPIベースURLとAPIトークン。
以下のホストへの接続: https://*-api.titankube.com/ 。

Taniumプラグインのサポート

Tanium は、ホーム > 総エンドポイントからデバイスを取得し、モジュール > ベンチマーク > Tanium リスクスコア 2.0 > リスクスコア別エンドポイントページからそれぞれのリスクスコアを取得することをサポートしています。このプラグインは、デバイスに対する操作の実行をサポートしていません。

取得したデータの種類	Actions
デバイス	アクションなし

マッピング

マッピングは、プルされたデバイスとそれぞれの詳細を表示するために使用されます。プラグイン設定時にマッピングされたフィールドは、データが取得されるとレコードページに表示されます。以下は、プラグインの設定時に使用できる推奨マッピングです。プラグインの設定時に使用できます。

デバイスのプルマッピング

プラグインフィールド	想定されるデータ型	提案されたフィールド名	提案された集約戦略
デバイスID	String	デバイスID	Unique
デバイス名	String	デバイス名	Overwrite
コンピュータID	String	コンピュータID	Overwrite
システムID	String	システムID	Overwrite
ドメイン名	String	ドメイン名	Overwrite
シリアルナンバー	String	シリアルナンバー	Overwrite
Manufacturer	String	Manufacturer	Overwrite
IPアドレス	String	IPアドレス	Overwrite
IPアドレス	List	IPアドレス	Overwrite
MACアドレス	List	MACアドレス	Overwrite
デバイスユーザー名	String	デバイスユーザー名	Overwrite
デバイスユーザーの電子メール	String	デバイスユーザーの電子メール	Overwrite
OS	String	OS	Overwrite
OSプラットフォーム	String	OSプラットフォーム	Overwrite
OS生成	String	OS生成	Overwrite
リスクスコア	Number	リスクスコア	Overwrite
リスクスコアレベル	String	リスクスコアレベル	Overwrite
資産の重要性	String	資産の重要性	Overwrite
インストール済みアプリケーション	List	インストール済みアプリケーション	Overwrite
Netskope正規化スコア	Number	Netskope正規化スコア	Overwrite

注記

複数のプラグインのレコードをマージするには、すべてのプラグイン間で固有のよくあるフィールドをいくつか選択する必要があります。
例: CRE Netskope 、CRE Tanium、および CRE CrowdStrikeプラグインのレコードを 1 つのエンティティにマージするには、ユーザーは 3 つのプラグインすべてに共通する一意のフィールドとしてデバイスのシリアル番号を作成できます。

正規化スコアの計算

Taniumにおける想定されるスコアの範囲は0～1000です。Netskope正規化スコアの計算 => (1000 – (Taniumリスクスコア))。

権限

以下の役割が必要です。

ベンチマークユーザー
レポートユーザー
Interact ベーシックユーザー
ゲートウェイユーザー
重要度ユーザー

APIの詳細

使うAPI一覧

APIエンドポイント	方法	使うケース
/plugin/products/gateway/graphql	役職	デバイスの取得

デバイスの取得

API Endpoint: <Base URL>/plugin/products/gateway/graphql
Method: POST
Headers

鍵	Value
session	<API Token>

Body (GraphQL Query):

{
   "query": 'query getEndpoints($after: Cursor, $first: Int) { \
   endpoints(after: $after, first: $first) \
   { edges { node {    id    name    computerID    systemUUID \
   domainName    serialNumber    manufacturer    ipAddress    ipAddresses \
   macAddresses    primaryUser {        name        email    } \
   os {        name        platform        generation    } \
   sensorReadings(sensors: [{name: "Risk Vectors", \
   columns: ["Endpoint Score", "Risk Score", "Asset Criticality"]}]) { \
   columns {   name   values   }   } \
   installedApplications {        name    }    }    } \
   pageInfo{    hasNextPage    hasPreviousPage    startCursor \
   endCursor } totalRecords } }',
   "variables": {"first": 5000 }
}

Sample API Response

{
    "data": {
        "endpoints": {
            "edges": [
                {
                    "node": {
                        "id": "4",
                        "name": "WSAMZN-PUEBFH69.hackermob.in",
                        "computerID": "3429974394",
                        "systemUUID": "EC29BA4F-1A49-4580-B6DD-4CDD5AED6B3C",
                        "domainName": "hackermob.in",
                        "serialNumber": "ec29ba4f-1a49-4580-b6dd-4cdd5aed6b3c",
                        "manufacturer": "Amazon EC2",
                        "ipAddress": "172.31.81.62",
                        "ipAddresses": [
                            "fe80::2aa2:67c1:e472:9327",
                            "fe80::39b1:40ee:229:3300",
                            "172.31.81.62",
                            "198.19.214.180"
                        ],
                        "macAddresses": [
                            "12:04:20:3D:A2:79",
                            "12:FD:6E:FF:F9:D5"
                        ],
                        "primaryUser": {
                            "name": "Error: No inventory has been collected",
                            "email": ""
                        },
                        "os": {
                            "name": "Windows Server 2019 Datacenter",
                            "platform": "Windows",
                            "generation": "Windows Server 2019"
                        },
                        "sensorReadings": {
                            "columns": [
                                {
                                    "name": "Asset Criticality",
                                    "values": [
                                        "High"
                                    ]
                                },
                                {
                                    "name": "Risk Score",
                                    "values": [
                                        "0"
                                    ]
                                },
                                {
                                    "name": "Endpoint Score",
                                    "values": [
                                        "Low"
                                    ]
                                }
                            ]
                        },
                        "installedApplications": [
                            {
                                "name": "Windows Driver Package - Amazon.com, Inc. or its affiliates. (AWSDOD_KMDOD) Display  (02/08/2024 16.5.12.937)"
                            },
                            {
                                "name": "Windows Driver Package - Amazon Web Services, Inc. (AWSVirtualCamera) Media  (07/05/2024 1.0.17.0)"
                            },
                            {
                                "name": "Windows Driver Package - Nice s.r.l. dcvwscrd ActivityMonitor  (02/10/2021 11.26.41.336)"
                            },
                            {
                                "name": "Windows Driver Package - Amazon.com, Inc. or its affiliates. (WUDFRd) Display  (04/02/2024 1.0.208.0)"
                            },
                            {
                                "name": "Mozilla Firefox (x64 en-US)"
                            },
                            {
                                "name": "Mozilla Maintenance Service"
                            },
                            {
                                "name": "AWS PV Drivers"
                            },
                            {
                                "name": "Tanium Client 7.6.4.2086"
                            },
                            {
                                "name": "WSP"
                            },
                            {
                                "name": "AWS Tools for Windows"
                            },
                            {
                                "name": "Netskope Client"
                            },
                            {
                                "name": "Amazon SSM Agent"
                            },
                            {
                                "name": "Microsoft Visual C++ 2015-2022 Redistributable (x64) - 14.38.33135"
                            },
                            {
                                "name": "aws-cfn-bootstrap"
                            }
                        ]
                    }
                }
            ],
            "pageInfo": {
                "hasNextPage": false,
                "hasPreviousPage": false,
                "startCursor": "MTQ4NDgzNTow",
                "endCursor": "MTQ4NDgzNTow"
            },
            "totalRecords": 1
        }
    }
}

パフォーマンスマトリックス

以下のパフォーマンス測定は、Taniumプラグインから50万件のデバイスレコードを取得することにより、これらのVM仕様を持つ大規模CEスタック上で実施されました。

デスクリプション	仕様
スタックの詳細	サイズ：大 RAM：32 GB CPU：16コア
リスクスコアとともに取得したデバイスレコードを保存するのにかかる時間	約29分

ユーザーエージェント

netskope-ce-6.0.0-cre-tanium-v1.0.1

ワークフロー

Taniumでユーザーを作成します。
Tanium上でAPIトークンを作成します。
Taniumプラグインの設定を行っています。
ビジネスルールを追加します。
アクションを追加します。
プラグインを検証してください。

動画を見る

再生ボタンをクリックして動画をご覧ください。

Taniumでユーザーを作成する

Tanium プラットフォームにログインします。
左側のパネルからAdministration > Permissions > Users へ移動してください。

New Userをクリックしてください。

ユーザー名と表示名を入力してください。

下にスクロールしてRoles > Manage Rolesをクリックし、以下の役割を追加してください。
- ベンチマークユーザー
- レポートユーザー
- Interact ベーシックユーザー
- ゲートウェイユーザー
- 重要度ユーザー

下にスクロールしてComputer Groups > Manage Computer Groupsをクリックし、次にAll Computersを選択してください。

Saveをクリックしてください。

TaniumでAPIトークンを作成する

Tanium プラットフォームにログインします。
左側のパネルからAdministration > API Tokensへ移動してください。

New API Tokenをクリックしてください。

必要なパラメータを入力して、 Createをクリックしてください。

注記

要件に応じて有効期限を設定してください。特定のマシンからのアクセスを許可するにはIPアドレスを指定するか、任意のソースからのアクセスを許可するには汎用IPアドレスを指定します。

「操作の確認」画面でYesクリックしてください。
「APIトークンの表示」タブからトークンをコピーして保存してください。これは、Tanium プラグインの設定中に使用されます。

Closeをクリックしてください。

Taniumプラグインの設定

Cloud Exchange で、 Settings > Plugin Storeに移動します。Tanium v1.0.1 (CRE ) プラグインボックスを検索して選択します。

基本情報を入力してください：
- Configuration Name: 設定の名前を入力してください。
- Sync Interval: このプラグインソースからデータを取得する間隔。

Nextをクリックして、プラグインの設定パラメータを入力してください。
- API Base URL: TaniumインスタンスのAPIベースURL。例えばhttps://*-api.titankube.comもっと詳しく知る
- API Token: Taniumインスタンスから生成されたAPIキー。APIキーはAdministration > API Tokens > New API Tokenから生成できます。

Nextをクリックして、エンティティのドロップダウンリストからエンティティを選択してください。
エンティティフィールドはスキーマエディタのページから作成するか、フィールドのドロップダウンから +Add Field オプションを使うことができます。
現場のマッピング情報を提供してください。推奨される地図については、「地図」セクションを参照してください。

Saveをクリックしてください。

Taniumのリスク交換ビジネスルールを追加する

ビジネスルールを使用してデバイスをフィルタリングします。

Risk Exchange > Business Ruleに移動してCreate New Ruleをクリックしてください。
アクションを実行するために、ビジネスルール、エンティティSelect 、要件に応じてフィルタを指定してください。

Saveをクリックしてください。

Taniumのリスク交換アクションを追加する

Taniumは「何もしない」アクションのみをサポートしています。

No Action

この操作では、いかなる動作も実行されません。この操作を実行すると、チケットオーケストレーターモジュールでUBAアラートを生成できます。

Risk Exchange > Actions に移動してAdd Action Configurationをクリックしてください。
ビジネスルール、設定（プラグイン）、およびアクション（アクションなし） Select 。
Saveをクリックしてください。

Ticket Orchestrator > Alertsでアラートを生成するアクションを作成する際に、 Generate Alert有効にする必要があり、Ticket Orchestrator モジュールも有効にする必要があることに注意してください。

NetskopeテナントのTaniumから取得したデバイスに対して、ホストをプライベートアプリに追加することができます。

Taniumプラグインを検証する

Cloud Exchangeで検証する

Taniumから取得したデバイスレコードを検証するには、 Loggingに移動して、CRE Taniumプラグインから取得したログを検索してください。

Example: message Like “CRE Tanium”

取得したデータを確認するには、 Recordsに移動して、Tanium プラグインの設定時に選択したエンティティのタイプを選択してください。 Tanium プラグインの設定時に選択したエンティティのタイプを選択してください。取得したレコードを確認してください。

CRE TaniumプラグインのLoggingからのログを確認し、実行されたアクションを確認してください。

アクションの設定時に「承認が必要」トグルが有効になっている場合は、以下のアクションログページで保留中の承認エントリを選択し、「承認が必要」トグルを選択して承認を行うようにしてください。

Taniumで検証する

Taniumでは、デバイスはHome > Total Endpointsから取得されます。

Cloud Exchange で詳細を表示して検証するには、コンピューター名の横にあるコンピューターアイコンをクリックし、 View Detailsをクリックします。

「リスクとコンプライアンス – 全エンドポイントリスクスコア」レポートを検索してください。

Taniumプラグインのトラブルシューティング

プラグインのワークフローでエラーが発生しました

エラーが発生しました:

CRE Tanium [configuration_name]: Validation error occurred, Received exit code 401, Unauthorized, Verify API Token provided in the configuration parameters.

What to do: TaniumのAPIトークンを検証してください。参考として、 Tanium で API トークンを作成する方法を参照してください。

エラーが発生しました:

CRE Tanium [configuration_name]: Unable to establish connection with Tanium platform. Proxy server or Tanium server is not reachable. Error: HTTPSConnectionPool(host='tk-netskope-api.titankube.', port=443): Max retries exceeded with url: /plugin/products/gateway/graphql (Caused by NewConnectionError('<urllib3.connection.HTTPSConnection object at 0x7fc57a7e19a0>: Failed to establish a new connection: [Errno -2] Name or service not known'))

What to do: 参照用にTaniumプラットフォームのAPIベースURLを確認します。詳細については、前提条件を参照してください。

デバイスはTaniumから取得されません

デバイスのデータが取得できない場合、原因は以下のいずれかである可能性があります。

プラットフォーム上にプル可能なデバイスがありません。
マッピング機能はプラグインには含まれていません。

What to do:

Taniumにアクセスし、[ホーム] > [エンドポイントの総数]ページからデバイスが取得可能かどうかを確認してください。
プラグインの設定を編集し、エンティティソースページを確認してください。同じデータを取得するために、いくつかのフィールドがマッピングされているはずです。