このドキュメントでは、 Netskope Cloud Exchangeの Log Shipper モジュールを使用して Tanium v1.0.1 プラグインを構成する方法について説明します。 このプラグインは、Tanium プラットフォームの[ホーム] > [合計エンドポイント]からデバイスを取得し、[モジュール] > [ベンチマーク] > [Tanium Risk Score 2.0] > [エンドポイント by Risk Score]ページからそれぞれのリスク スコアを取得するために使用します。 このプラグインは、デバイス上での操作をサポートしていません。
Netskope正規化スコアの計算 => (1000 – (Taniumリスクスコア))。
前提条件
- Netskopeテナント（または、例えば本番環境と開発／テスト環境など、複数のテナント）。
- Netskope Cloud Exchangeテナントには、テナントプラグインとリスクエクスチェンジプラグインが既に設定済みです。
- TaniumのAPIベースURLとAPIトークン。
- 以下のホストへの接続: https://*-api.titankube.com/ 。
Taniumプラグインのサポート
Tanium は、ホーム > 総エンドポイントからデバイスを取得し、モジュール > ベンチマーク > Tanium リスクスコア 2.0 > リスクスコア別エンドポイントページからそれぞれのリスクスコアを取得することをサポートしています。このプラグインは、デバイスに対する操作の実行をサポートしていません。
| 取得したデータの種類 | Actions |
|---|---|
| デバイス | アクションなし |
マッピング
マッピングは、プルされたデバイスとそれぞれの詳細を表示するために使用されます。 プラグイン設定時にマッピングされたフィールドは、データが取得されるとレコードページに表示されます。以下は、プラグインの設定時に使用できる推奨マッピングです。 プラグインの設定時に使用できます。
デバイスのプルマッピング
| プラグインフィールド | 想定されるデータ型 | 提案されたフィールド名 | 提案された集約戦略 |
|---|---|---|---|
| デバイスID | String | デバイスID | Unique |
| デバイス名 | String | デバイス名 | Overwrite |
| コンピュータID | String | コンピュータID | Overwrite |
| システムID | String | システムID | Overwrite |
| ドメイン名 | String | ドメイン名 | Overwrite |
| シリアルナンバー | String | シリアルナンバー | Overwrite |
| Manufacturer | String | Manufacturer | Overwrite |
| IPアドレス | String | IPアドレス | Overwrite |
| IPアドレス | List | IPアドレス | Overwrite |
| MACアドレス | List | MACアドレス | Overwrite |
| デバイスユーザー名 | String | デバイスユーザー名 | Overwrite |
| デバイス ユーザーの電子メール | String | デバイス ユーザーの電子メール | Overwrite |
| OS | String | OS | Overwrite |
| OSプラットフォーム | String | OSプラットフォーム | Overwrite |
| OS生成 | String | OS生成 | Overwrite |
| リスクスコア | Number | リスクスコア | Overwrite |
| リスクスコアレベル | String | リスクスコアレベル | Overwrite |
| 資産の重要性 | String | 資産の重要性 | Overwrite |
| インストール済みアプリケーション | List | インストール済みアプリケーション | Overwrite |
| Netskope正規化スコア | Number | Netskope正規化スコア | Overwrite |
注記
- 複数のプラグインのレコードをマージするには、すべてのプラグイン間で固有のよくあるフィールドをいくつか選択する必要があります。
- 例: CRE Netskope 、CRE Tanium、および CRE CrowdStrikeプラグインのレコードを 1 つのエンティティにマージするには、ユーザーは 3 つのプラグインすべてに共通する一意のフィールドとしてデバイスのシリアル番号を作成できます。
正規化スコアの計算
Taniumにおける想定されるスコアの範囲は0～1000です。Netskope正規化スコアの計算 => (1000 – (Taniumリスクスコア))。
権限
以下の役割が必要です。
- ベンチマークユーザー
- レポートユーザー
- Interact ベーシックユーザー
- ゲートウェイユーザー
- 重要度ユーザー
APIの詳細
使うAPI一覧
| APIエンドポイント | 方法 | 使うケース |
|---|---|---|
| /plugin/products/gateway/graphql | 役職 | デバイスの取得 |
デバイスの取得
API Endpoint: <Base URL>/plugin/products/gateway/graphql
Method: POST
Headers
| 鍵 | Value |
|---|---|
| session | <API Token> |
Body (GraphQL Query):
{
"query": 'query getEndpoints($after: Cursor, $first: Int) { \
endpoints(after: $after, first: $first) \
{ edges { node { id name computerID systemUUID \
domainName serialNumber manufacturer ipAddress ipAddresses \
macAddresses primaryUser { name email } \
os { name platform generation } \
sensorReadings(sensors: [{name: "Risk Vectors", \
columns: ["Endpoint Score", "Risk Score", "Asset Criticality"]}]) { \
columns { name values } } \
installedApplications { name } } } \
pageInfo{ hasNextPage hasPreviousPage startCursor \
endCursor } totalRecords } }',
"variables": {"first": 5000 }
}
Sample API Response
{
"data": {
"endpoints": {
"edges": [
{
"node": {
"id": "4",
"name": "WSAMZN-PUEBFH69.hackermob.in",
"computerID": "3429974394",
"systemUUID": "EC29BA4F-1A49-4580-B6DD-4CDD5AED6B3C",
"domainName": "hackermob.in",
"serialNumber": "ec29ba4f-1a49-4580-b6dd-4cdd5aed6b3c",
"manufacturer": "Amazon EC2",
"ipAddress": "172.31.81.62",
"ipAddresses": [
"fe80::2aa2:67c1:e472:9327",
"fe80::39b1:40ee:229:3300",
"172.31.81.62",
"198.19.214.180"
],
"macAddresses": [
"12:04:20:3D:A2:79",
"12:FD:6E:FF:F9:D5"
],
"primaryUser": {
"name": "Error: No inventory has been collected",
"email": ""
},
"os": {
"name": "Windows Server 2019 Datacenter",
"platform": "Windows",
"generation": "Windows Server 2019"
},
"sensorReadings": {
"columns": [
{
"name": "Asset Criticality",
"values": [
"High"
]
},
{
"name": "Risk Score",
"values": [
"0"
]
},
{
"name": "Endpoint Score",
"values": [
"Low"
]
}
]
},
"installedApplications": [
{
"name": "Windows Driver Package - Amazon.com, Inc. or its affiliates. (AWSDOD_KMDOD) Display (02/08/2024 16.5.12.937)"
},
{
"name": "Windows Driver Package - Amazon Web Services, Inc. (AWSVirtualCamera) Media (07/05/2024 1.0.17.0)"
},
{
"name": "Windows Driver Package - Nice s.r.l. dcvwscrd ActivityMonitor (02/10/2021 11.26.41.336)"
},
{
"name": "Windows Driver Package - Amazon.com, Inc. or its affiliates. (WUDFRd) Display (04/02/2024 1.0.208.0)"
},
{
"name": "Mozilla Firefox (x64 en-US)"
},
{
"name": "Mozilla Maintenance Service"
},
{
"name": "AWS PV Drivers"
},
{
"name": "Tanium Client 7.6.4.2086"
},
{
"name": "WSP"
},
{
"name": "AWS Tools for Windows"
},
{
"name": "Netskope Client"
},
{
"name": "Amazon SSM Agent"
},
{
"name": "Microsoft Visual C++ 2015-2022 Redistributable (x64) - 14.38.33135"
},
{
"name": "aws-cfn-bootstrap"
}
]
}
}
],
"pageInfo": {
"hasNextPage": false,
"hasPreviousPage": false,
"startCursor": "MTQ4NDgzNTow",
"endCursor": "MTQ4NDgzNTow"
},
"totalRecords": 1
}
}
}
パフォーマンスマトリックス
以下のパフォーマンス測定は、Taniumプラグインから50万件のデバイスレコードを取得することにより、これらのVM仕様を持つ大規模CEスタック上で実施されました。
| デスクリプション | 仕様 |
|---|---|
| スタックの詳細 | サイズ：大 RAM：32 GB CPU：16コア |
| リスクスコアとともに取得したデバイスレコードを保存するのにかかる時間 | 約29分 |
ユーザーエージェント
netskope-ce-6.0.0-cre-tanium-v1.0.1
ワークフロー
- Taniumでユーザーを作成します。
- Tanium上でAPIトークンを作成します。
- Taniumプラグインの設定を行っています。
- ビジネスルールを追加します。
- アクションを追加します。
- プラグインを検証してください。
動画を見る
再生ボタンをクリックして動画をご覧ください。
Taniumでユーザーを作成する
- Tanium プラットフォームにログインします。
- 左側のパネルからAdministration > Permissions > Users へ移動してください。
- New Userをクリックしてください。
- ユーザー名と表示名を入力してください。
- 下にスクロールしてRoles > Manage Rolesをクリックし、以下の役割を追加してください。
- ベンチマークユーザー
- レポートユーザー
- Interact ベーシックユーザー
- ゲートウェイユーザー
- 重要度ユーザー
- 下にスクロールしてComputer Groups > Manage Computer Groupsをクリックし、次にAll Computersを選択してください。
- Saveをクリックしてください。
TaniumでAPIトークンを作成する
- Tanium プラットフォームにログインします。
- 左側のパネルからAdministration > API Tokensへ移動してください。
- New API Tokenをクリックしてください。
- 必要なパラメータを入力して、 Createをクリックしてください。
注記
要件に応じて有効期限を設定してください。特定のマシンからのアクセスを許可するにはIPアドレスを指定するか、 任意のソースからのアクセスを許可するには汎用IPアドレスを指定します。
- 「操作の確認」画面でYesクリックしてください。
- 「APIトークンの表示」タブからトークンをコピーして保存してください。これは、Tanium プラグインの設定中に使用されます。
- Closeをクリックしてください。
Taniumプラグインの設定
- Cloud Exchange で、 Settings > Plugin Storeに移動します。Tanium v1.0.1 (CRE ) プラグインボックスを検索して選択します。
- 基本情報を入力してください：
- Configuration Name: 設定の名前を入力してください。
- Sync Interval: このプラグインソースからデータを取得する間隔。
- Nextをクリックして、プラグインの設定パラメータを入力してください。
- API Base URL: TaniumインスタンスのAPIベースURL。例えばhttps://*-api.titankube.comもっと詳しく知る
- API Token: Taniumインスタンスから生成されたAPIキー。APIキーはAdministration > API Tokens > New API Tokenから生成できます。
- Nextをクリックして、エンティティのドロップダウンリストからエンティティを選択してください。
エンティティフィールドはスキーマエディタのページから作成するか、フィールドのドロップダウンから +Add Field オプションを使うことができます。
現場のマッピング情報を提供してください。推奨される地図については、「地図」セクションを参照してください。
- Saveをクリックしてください。
Taniumのリスク交換ビジネスルールを追加する
ビジネス ルールを使用してデバイスをフィルタリングします。
- Risk Exchange > Business Ruleに移動してCreate New Ruleをクリックしてください。
- アクションを実行するために、ビジネスルール、エンティティSelect 、要件に応じてフィルタを指定してください。
- Saveをクリックしてください。
Taniumのリスク交換アクションを追加する
Taniumは「何もしない」アクションのみをサポートしています。
No Action
この操作では、いかなる動作も実行されません。この操作を実行すると、チケットオーケストレーターモジュールでUBAアラートを生成できます。
- Risk Exchange > Actions に移動してAdd Action Configurationをクリックしてください。
- ビジネスルール、設定（プラグイン）、およびアクション（アクションなし） Select 。
- Saveをクリックしてください。
Ticket Orchestrator > Alertsでアラートを生成するアクションを作成する際に、 Generate Alert有効にする必要があり、Ticket Orchestrator モジュールも有効にする必要があることに注意してください。
NetskopeテナントのTaniumから取得したデバイスに対して、ホストをプライベートアプリに追加することができます。
Taniumプラグインを検証する
Cloud Exchangeで検証する
Taniumから取得したデバイスレコードを検証するには、 Loggingに移動して、CRE Taniumプラグインから取得したログを検索してください。
Example: message Like “CRE Tanium”
取得したデータを確認するには、 Recordsに移動して、Tanium プラグインの設定時に選択したエンティティのタイプを選択してください。 Tanium プラグインの設定時に選択したエンティティのタイプを選択してください。 取得したレコードを確認してください。
CRE TaniumプラグインのLoggingからのログを確認し、実行されたアクションを確認してください。
アクションの設定時に「承認が必要」トグルが有効になっている場合は、以下のアクションログページで保留中の承認エントリを選択し、「承認が必要」トグルを選択して承認を行うようにしてください。
Taniumで検証する
Taniumでは、デバイスはHome > Total Endpointsから取得されます。
Cloud Exchange で詳細を表示して検証するには、コンピューター名の横にあるコンピューターアイコンをクリックし、 View Detailsをクリックします。
「リスクとコンプライアンス – 全エンドポイントリスクスコア」レポートを検索してください。
Taniumプラグインのトラブルシューティング
プラグインのワークフローでエラーが発生しました
- エラーが発生しました:
CRE Tanium [configuration_name]: Validation error occurred, Received exit code 401, Unauthorized, Verify API Token provided in the configuration parameters.
What to do: TaniumのAPIトークンを検証してください。参考として、 Tanium で API トークンを作成する方法を参照してください。
- エラーが発生しました:
CRE Tanium [configuration_name]: Unable to establish connection with Tanium platform. Proxy server or Tanium server is not reachable. Error: HTTPSConnectionPool(host='tk-netskope-api.titankube.', port=443): Max retries exceeded with url: /plugin/products/gateway/graphql (Caused by NewConnectionError('<urllib3.connection.HTTPSConnection object at 0x7fc57a7e19a0>: Failed to establish a new connection: [Errno -2] Name or service not known'))
What to do: 参照用にTaniumプラットフォームのAPIベースURLを確認します。詳細については、前提条件を参照してください。
デバイスはTaniumから取得されません
デバイスのデータが取得できない場合、原因は以下のいずれかである可能性があります。
- プラットフォーム上にプル可能なデバイスがありません。
- マッピング機能はプラグインには含まれていません。
What to do:
- Taniumにアクセスし、[ホーム] > [エンドポイントの総数]ページからデバイスが取得可能かどうかを確認してください。
- プラグインの設定を編集し、エンティティソースページを確認してください。同じデータを取得するために、いくつかのフィールドがマッピングされているはずです。