Trellix Plugin for Threat Exchange - Netskope 技術文書

このドキュメントでは、 Netskope Cloud Exchangeプラットフォームの Threat Exchange モジュール用の Trellix プラグインを構成する方法について説明します。このプラグインは、Trellix EPOからMD5、SHA256、URL（ドメイン、IP（IPv4、IPv6）、URL）を取得します。このプラグインは、Trellix プラットフォームへのデータのプッシュをサポートしていません。

前提条件

Netskopeテナント（または、例えば本番環境と開発／テスト環境など、複数のテナント）。
Netskopeテナント上のファイルプロファイル。
A URL List on the Netskope tenant.
Netskope Cloud Exchangeテナントには、テナントプラグインと脅威交換プラグインが既に設定済みです。
Trellix プラットフォームへのアクセス。
事前承認されたクライアントクレデンシャルによる Trellix 開発者アクセス。
次のホストへの接続: Trellix プラットフォーム (例: https://api.manage.trellix.com )

Trellixプラグインのサポート

取得したインジケーターの種類	URL（ドメイン、URL、IP（IPv4、IPv6））、SHA256、MD5
共有指標タイプ	サポートされていません

マッピング

重大度

トレリックス重症度	CEの重症度
破壊数（70以上）	致命的
Malicious (51-70)	高い
Malicious Enabler (31-50)	中くらい
Probable Malicious (16-30)	低い
デュアル使う(1-15)	低い
未確認（0/Null）	未知

プル用のマッピング（Netskopeフィールド - Trellixフィールド）

Netskope CE Fields	トレリックス・フィールズ
タイプ	attributes.type
value	attributes.value
firstSeen	attributes.created-on
コメント	attributes.comments
重大度	attributes.lethality

権限

以下は、プラグインワークフローが Trellix 使う Get IoCs API からデータを取得するために必要な権限です。
注: Trellix プラットフォームからクライアント ID とクライアントシークレットを生成する必要があります。コンタクト Trellix サポートのために。

Ins.user
Ins.suser
ins.ms.
soc.act.tg

APIの詳細

使うAPI一覧

APIエンドポイント	APIメソッド	使うケース
https://iam.mcafee-cloud.com/iam/v1.4/token	役職	認証プロセスとアクセストークンの生成について。
https://api.manage.trellix.com/insights/v2/iocs	得る	Trellix プラットフォームからページネーションでインジケーターを取得するために使用します。

認証API

API Endpoint: https://iam.mcafee-cloud.com/iam/v1.4/token
API Method: POST
Headers:

鍵	Value
Authorization	<Basic Token>＜基本トークン＞
Content-Type	アプリケーション/json
x-api-key	<Trellix API Key>
Accept	アプリケーション/json

Body:

鍵	Value
scope	[“ins.user \| ins.suser \| ins.ms.r \| soc.act.tg”]
grant_type	client_credentials
audience	iam_client

Sample API Response:

{
    "tid": 1134613553,
    "token_type": "Bearer",
    "expires_in": 600,
    "access_token": "eyJ0eXAiOiJKV1QiLCJhbGciOiJSUzI1NiIsIng1dCI6ImI3SUFJeXpseDUyOG9sdjZWNEx6dFRRU0oxWSIsImtpZCI6ImI3SUFJeXpseDUyOG9sdjZWNEx6dFRRU0oxWSJ9.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.cdOP9qC49Szr55JHZNMVnsIPYEeKt99OO8Xi_SMr485P1f7SaSUL07nTSJZHIxVDs82C3pbW7RpA4TWLYmpnxbj8T8kUwsOlPFwz_13aQkN_RGDB3C4ahpG6KDTtsl6suqTCmwNQhABmMpIo0O75YmXZsrIcj_0pesXPgzXeDsICiUVTdwkheQETE6uX2MKHJpPak5sbCcyxIXyk5uRD9z2O9PqGr8M_D3QHV_PZgLYwuC0UlwKXXeSg6JrdM75UQowF1pRarDacv9EyYBfOc0eAKfTtQuOiLGBU4_xQbXDArm"
}

IoC APIを取得する

API Endpoint: <Trellix Base URL>/insights/v2/iocs
API Method: GET
Headers:

鍵	Value
Authorization	<Bearer Token>
Content-Type	アプリケーション/json
x-api-key	<Trellix API Key>
Accept	アプリケーション/json

Query Parameters:

鍵	Value
フィルター[作成日時][gte]	日付と時刻の文字列表現
ページ[制限]	Trellixがサポートする最大制限は1000です。
ページ[オフセット]	0からスタート

Sample API Response:

{
    "links": {
        "self": "https://api.manage.trellix.com/insights/v2/iocs?filter[created_on][gte]=2024-03-19T06:55:42.989219Z&page[limit]=1000&page[offset]=0",
        "first": "https://api.manage.trellix.com/insights/v2/iocs?filter[created_on][gte]=2024-03-19T06:55:42.989219Z&page[limit]=1000&page[offset]=0",
        "last": "https://api.manage.trellix.com/insights/v2/iocs?filter[created_on][gte]=2024-03-19T06:55:42.989219Z&page[limit]=1000&page[offset]=23000",
        "prev": null,
        "next": "https://api.manage.trellix.com/insights/v2/iocs?filter[created_on][gte]=2024-03-19T06:55:42.989219Z&page[limit]=1000&page[offset]=1000"
    },
"data": [
        {
            "type": "iocs",
            "id": "0004f51a-e281-4764-9912-498d4aaf3c80",
            "links": {
                "self": "https://api.manage.trellix.com/insights/v2/iocs/0004f51a-e281-4764-9912-498d4aaf3c80"
            },
            "attributes": {
                "type": "sha1",
                "value": "9c45cd81c6d70dc584a58646aab8fdfc1102501b",
                "coverage": null,
                "uid": "e90bdf44-d93a-48df-a998-4271f5486922",
                "is-coat": 0,
                "is-sdb-dirty": 0,
                "category": "Payload delivery",
                "comment": "",
                "lethality": 70,
                "determinism": 30,
                "created-on": "2024-03-30T13:33:20.000Z"
            },
            "relationships": {
                "campaigns": {
                    "links": {
                        "self": "https://api.manage.trellix.com/insights/v2/iocs/0004f51a-e281-4764-9912-498d4aaf3c80/relationships/campaigns",
                        "related": "https://api.manage.trellix.com/insights/v2/iocs/0004f51a-e281-4764-9912-498d4aaf3c80/campaigns"
                    }
                }
            }
        },
    ]
}

パフォーマンスマトリックス

この測定は、下記の仕様を持つ大規模CEスタック上で、10万IOCのプルとプッシュを行うことによって実施されます。

スタックの詳細	サイズ：大 RAM：32 GB CPU：16コア
Trellixから取得した指標	~2.4k per minute

ユーザーエージェント

netskope-ce-5.0.1-cte-trellix-v1.0.0

ワークフロー

APIキー、クライアントシークレット、クライアントIDを取得します。
Trellixプラグインを設定します。
ビジネスルールを設定します。
共有を設定する。
プラグインを検証してください。

再生ボタンをクリックして動画をご覧ください。

Trellix APIトークン、クライアントID、クライアントシークレットを取得してください。

Trellix開発者ポータルにログインして、 Self Serviceをクリックします。
セルフサービスで、 API Access Managementをクリックします。
APIキーをコピーしてください。
下にスクロールしてクライアントIDとクライアントシークレットを生成し、それらをコピーしてください。

Trellixプラグインの設定

Cloud ExchangeにログインしてSettings > Pluginsに移動してください。
Trellixプラグインの設定を行うには、Trellixプラグインボックスを検索して選択してください。
以下のパラメータを入力して選択してください。
- 構成名：構成の一意の名前。
- 同期間隔：デフォルトのままにしてください。
- 有効期限設定基準：プラグインの有効期限（日数）（デフォルト：90）。
- 評判の上書き：この設定から受信した指標の評判を上書きする値を設定します。
- SSL検証を有効にする：SSL証明書の検証を有効にします。
- システムプロキシ：通信にプロキシが必要な場合は有効にしてください。
Nextをクリックしてください。
以下のパラメータを入力して選択してください。
- Base URL: Trellix Base URL. For example: https://api.manage.trellix.com/.
- APIキー：以前取得したTrellix APIキー。
- クライアントID：先ほど取得したクライアントID。
- クライアントシークレット：以前に入手したクライアントシークレット。
- 取得する脅威データの種類: 取得する脅威データの種類。使用可能な値は、MD5、SHA256、ドメイン、URL、およびIPアドレスです。
- 初期範囲：脅威IOCを初期範囲から抽出する日数。
Saveをクリックしてください。

Trellixプラグイン用の脅威交換ビジネスルールを設定する

Trellixから取得した指標をNetskope CEに共有するには、共有したい指標をフィルタリングするビジネスルールを作成する必要があります。ビジネスルールを設定するには：

Threat ExchangeでBusiness Ruleに移動し、 Create New Ruleをクリックします。
ルールに要件に応じてフィルターを追加し、 Saveをクリックします。

Trellixプラグインの脅威交換共有を設定する

TrellixからNetskopeにIoCを共有するには：

Threat ExchangeでSharingに移動し、 Add Sharing Configurationをクリックします。
ソース構成（Trellix）、ビジネスルール、宛先構成（ Netskope CTE）、およびターゲットをSelect 。
Save .
をクリックしてください

Trellixプラグインを検証する

プルを検証する

取得したデータは脅威IoCsページに掲載されます。プラットフォームから取得したIoCはフィルターを使う filter: IoC by Sources-Source-Contains-<plugin name> に絞り込むことができます。

Cloud Exchangeでプルされたログを確認するには、 Logging に移動し、CTE Trelixプラグインからログを検索してください。

Trellixで取得可能なデータを検証するために: