このドキュメントでは、 Netskope Cloud Exchangeプラットフォームの Threat Exchange モジュール用の Trellix プラグインを構成する方法について説明します。 このプラグインは、Trellix EPOからMD5、SHA256、URL（ドメイン、IP（IPv4、IPv6）、URL）を取得します。このプラグインは、Trellix プラットフォームへのデータのプッシュをサポートしていません。
前提条件
- Netskopeテナント（または、例えば本番環境と開発／テスト環境など、複数のテナント）。
- Netskopeテナント上のファイルプロファイル。
- A URL List on the Netskope tenant.
- Netskope Cloud Exchangeテナントには、テナントプラグインと脅威交換プラグインが既に設定済みです。
- Trellix プラットフォームへのアクセス。
- 事前承認されたクライアント クレデンシャルによる Trellix 開発者アクセス。
- 次のホストへの接続: Trellix プラットフォーム (例: https://api.manage.trellix.com )
Trellixプラグインのサポート
|
取得したインジケーターの種類 | URL（ドメイン、URL、IP（IPv4、IPv6））、SHA256、MD5 |
| 共有指標タイプ |
サポートされていません |
マッピング
重大度
| トレリックス重症度 | CEの重症度 |
|---|---|
| 破壊数（70以上） | 致命的 |
| Malicious (51-70) | 高い |
| Malicious Enabler (31-50) | 中くらい |
| Probable Malicious (16-30) | 低い |
| デュアル使う(1-15) | 低い |
| 未確認（0/Null） | 未知 |
プル用のマッピング（Netskopeフィールド - Trellixフィールド）
| Netskope CE Fields | トレリックス・フィールズ |
|---|---|
| タイプ | attributes.type |
| value | attributes.value |
| firstSeen | attributes.created-on |
| コメント | attributes.comments |
| 重大度 | attributes.lethality |
権限
以下は、プラグイン ワークフローが Trellix 使う Get IoCs API からデータを取得するために必要な権限です。
注: Trellix プラットフォームからクライアント ID とクライアント シークレットを生成する必要があります。コンタクト Trellix サポートのために。
- Ins.user
- Ins.suser
- ins.ms.
- soc.act.tg
APIの詳細
使うAPI一覧
| APIエンドポイント | APIメソッド | 使うケース |
|---|---|---|
| https://iam.mcafee-cloud.com/iam/v1.4/token | 役職 | 認証プロセスとアクセストークンの生成について。 |
| https://api.manage.trellix.com/insights/v2/iocs | 得る | Trellix プラットフォームからページネーションでインジケーターを取得するために使用します。 |
認証API
API Endpoint: https://iam.mcafee-cloud.com/iam/v1.4/token
API Method: POST
Headers:
| 鍵 | Value |
|---|---|
| Authorization | <Basic Token>＜基本トークン＞ |
| Content-Type | アプリケーション/json |
| x-api-key | <Trellix API Key> |
| Accept | アプリケーション/json |
Body:
| 鍵 | Value |
|---|---|
| scope | [“ins.user | ins.suser | ins.ms.r | soc.act.tg”] |
| grant_type | client_credentials |
| audience | iam_client |
Sample API Response:
{
"tid": 1134613553,
"token_type": "Bearer",
"expires_in": 600,
"access_token": "eyJ0eXAiOiJKV1QiLCJhbGciOiJSUzI1NiIsIng1dCI6ImI3SUFJeXpseDUyOG9sdjZWNEx6dFRRU0oxWSIsImtpZCI6ImI3SUFJeXpseDUyOG9sdjZWNEx6dFRRU0oxWSJ9.eyJpYXQiOjE3MTIwNjU1NjksImp0aSI6Ijg3OWRhMThlLWJlNjYtNDI5MS0wODhhLTE4NWVlMGI4MTY2MiIsIm5iZiI6MTcxMjA2NTU1OSwiZXhwIjoxNzEyMDY2MTY5LCJzdWIiOiJMRUkzU2pobHJKRzF2QVdZTGZSTk5xd3l4IiwiY2xpZW50X2lkIjoiTEVJM1NqaGxySkcxdkFXWUxmUk5OcXd5eCIsImlzcyI6Imh0dHBzOi8vaWFtLm1jYWZlZS1jbG91ZC5jb20vaWFtL3YxLjAiLCJzY29wZSI6Imlucy5tcy5yIGlucy5zdXNlciIsImNsaWVudF90eXBlIjoiTmV0c2tvcGVEZWxlZ2F0ZSIsInRlbmFudF9pZCI6IkQxOTU4NTcwLUY1NUEtNDRCOC04QjQ0LTE1M0ExRTQ5NUFBNyIsImF1ZCI6ImlhbV9jbGllbnQiLCJhcGkiOiJ2MS40IiwidG9rZW5faWQiOiJIdTRoZ2tGQWdWWG52SVc4aGRncmp3cnJyIn0.cdOP9qC49Szr55JHZNMVnsIPYEeKt99OO8Xi_SMr485P1f7SaSUL07nTSJZHIxVDs82C3pbW7RpA4TWLYmpnxbj8T8kUwsOlPFwz_13aQkN_RGDB3C4ahpG6KDTtsl6suqTCmwNQhABmMpIo0O75YmXZsrIcj_0pesXPgzXeDsICiUVTdwkheQETE6uX2MKHJpPak5sbCcyxIXyk5uRD9z2O9PqGr8M_D3QHV_PZgLYwuC0UlwKXXeSg6JrdM75UQowF1pRarDacv9EyYBfOc0eAKfTtQuOiLGBU4_xQbXDArm"
}
IoC APIを取得する
API Endpoint: <Trellix Base URL>/insights/v2/iocs
API Method: GET
Headers:
| 鍵 | Value |
|---|---|
| Authorization | <Bearer Token> |
| Content-Type | アプリケーション/json |
| x-api-key | <Trellix API Key> |
| Accept | アプリケーション/json |
Query Parameters:
| 鍵 | Value |
|---|---|
| フィルター[作成日時][gte] | 日付と時刻の文字列表現 |
| ページ[制限] | Trellixがサポートする最大制限は1000です。 |
| ページ[オフセット] | 0からスタート |
Sample API Response:
{
"links": {
"self": "https://api.manage.trellix.com/insights/v2/iocs?filter[created_on][gte]=2024-03-19T06:55:42.989219Z&page[limit]=1000&page[offset]=0",
"first": "https://api.manage.trellix.com/insights/v2/iocs?filter[created_on][gte]=2024-03-19T06:55:42.989219Z&page[limit]=1000&page[offset]=0",
"last": "https://api.manage.trellix.com/insights/v2/iocs?filter[created_on][gte]=2024-03-19T06:55:42.989219Z&page[limit]=1000&page[offset]=23000",
"prev": null,
"next": "https://api.manage.trellix.com/insights/v2/iocs?filter[created_on][gte]=2024-03-19T06:55:42.989219Z&page[limit]=1000&page[offset]=1000"
},
"data": [
{
"type": "iocs",
"id": "0004f51a-e281-4764-9912-498d4aaf3c80",
"links": {
"self": "https://api.manage.trellix.com/insights/v2/iocs/0004f51a-e281-4764-9912-498d4aaf3c80"
},
"attributes": {
"type": "sha1",
"value": "9c45cd81c6d70dc584a58646aab8fdfc1102501b",
"coverage": null,
"uid": "e90bdf44-d93a-48df-a998-4271f5486922",
"is-coat": 0,
"is-sdb-dirty": 0,
"category": "Payload delivery",
"comment": "",
"lethality": 70,
"determinism": 30,
"created-on": "2024-03-30T13:33:20.000Z"
},
"relationships": {
"campaigns": {
"links": {
"self": "https://api.manage.trellix.com/insights/v2/iocs/0004f51a-e281-4764-9912-498d4aaf3c80/relationships/campaigns",
"related": "https://api.manage.trellix.com/insights/v2/iocs/0004f51a-e281-4764-9912-498d4aaf3c80/campaigns"
}
}
}
},
]
}
パフォーマンスマトリックス
この測定は、下記の仕様を持つ大規模CEスタック上で、10万IOCのプルとプッシュを行うことによって実施されます。
|
スタックの詳細 | サイズ：大 RAM：32 GB CPU：16コア |
| Trellixから取得した指標 | ~2.4k per minute |
ユーザーエージェント
netskope-ce-5.0.1-cte-trellix-v1.0.0
ワークフロー
- APIキー、クライアントシークレット、クライアントIDを取得します。
- Trellixプラグインを設定します。
- ビジネスルールを設定します。
- 共有を設定する。
- プラグインを検証してください。
再生ボタンをクリックして動画をご覧ください。
Trellix APIトークン、クライアントID、クライアントシークレットを取得してください。
- Trellix開発者ポータルにログインして、 Self Serviceをクリックします。
- セルフサービスで、 API Access Managementをクリックします。
- APIキーをコピーしてください。
- 下にスクロールしてクライアントIDとクライアントシークレットを生成し、それらをコピーしてください。
Trellixプラグインの設定
- Cloud ExchangeにログインしてSettings > Pluginsに移動してください。
- Trellixプラグインの設定を行うには、Trellixプラグインボックスを検索して選択してください。
- 以下のパラメータを入力して選択してください。
- 構成名：構成の一意の名前。
- 同期間隔：デフォルトのままにしてください。
- 有効期限設定基準：プラグインの有効期限（日数）（デフォルト：90）。
- 評判の上書き：この設定から受信した指標の評判を上書きする値を設定します。
- SSL検証を有効にする：SSL証明書の検証を有効にします。
- システムプロキシ：通信にプロキシが必要な場合は有効にしてください。
- Nextをクリックしてください。
- 以下のパラメータを入力して選択してください。
- Base URL: Trellix Base URL. For example: https://api.manage.trellix.com/.
- APIキー：以前取得したTrellix APIキー。
- クライアントID：先ほど取得したクライアントID。
- クライアントシークレット：以前に入手したクライアントシークレット。
- 取得する脅威データの種類: 取得する脅威データの種類。使用可能な値は、MD5、SHA256、ドメイン、URL、およびIPアドレスです。
- 初期範囲：脅威IOCを初期範囲から抽出する日数。
- Saveをクリックしてください。
Trellixプラグイン用の脅威交換ビジネスルールを設定する
Trellixから取得した指標をNetskope CEに共有するには、共有したい指標をフィルタリングするビジネスルールを作成する必要があります。ビジネスルールを設定するには：
- Threat ExchangeでBusiness Ruleに移動し、 Create New Ruleをクリックします。
- ルールに要件に応じてフィルターを追加し、 Saveをクリックします。
Trellixプラグインの脅威交換共有を設定する
TrellixからNetskopeにIoCを共有するには：
- Threat ExchangeでSharingに移動し、 Add Sharing Configurationをクリックします。
- ソース構成（Trellix）、ビジネスルール、宛先構成（ Netskope CTE）、およびターゲットをSelect 。
- Save .
をクリックしてください
Trellixプラグインを検証する
プルを検証する
取得したデータは脅威IoCsページに掲載されます。プラットフォームから取得したIoCはフィルターを使う filter: IoC by Sources-Source-Contains-<plugin name> に絞り込むことができます。 
Cloud Exchangeでプルされたログを確認するには、 Logging に移動し、CTE Trelixプラグインからログを検索してください。
Trellixで取得可能なデータを検証するために:
- Trellixにログインしてください。
- 左側のメニューバーの「MVISION」の下にあるTrellix Insightsをクリックします。
- 「キャンペーン」の下にあるいずれかのキャンペーンをクリックしてください。
プッシュ通知を検証する
Cloud Exchange でプッシュを検証するには、 Loggingに移動して、共有ログを CTE Netskope でフィルタリングします。
Netskopeテナントで確認する。
- テナントにログインしてください。
- Policiesをクリックしてください。
- Fileをクリックしてください（Sha256の場合）。
- 共有設定時に入力したファイルプロファイル名を探してください。
- URL（IPアドレスとドメイン）の場合
- Web > URL Listsをクリックしてください。
- 共有設定時に表示されたURLリストをクリックしてください。 共有設定時に表示されたURLリストをクリックしてください。
トラブルシューティング
インジケーターは Trellix プラットフォームから取得されません
プラグインの設定後、IoCがプラットフォームから取得されない場合は、以下のいずれかが原因である可能性があります。
- プラットフォーム上では、IoC（侵害指標）を取得することはできません。
- 指定された期間におけるIoC（侵害指標）は利用できません。
Trellix プラットフォームに移動し、左側のメニュー バーの [MVISION] の下にあるTrellix Insightsをクリックします。
キャンペーンが利用可能かどうか確認してください。
指定された期間のIoCは利用できません
プラットフォーム上でIOoCが取得可能であるにもかかわらず、プラグインがCEでIOoCを取得していない場合は、プラグイン設定の初期範囲パラメータで指定されている日数を確認してください。Trellixで、指定された期間のデータがあるかどうかを確認してください。
既知の動作
TrellixのIoCを取得中に429件のエラーが発生しました。制限は翌日までリセットされません。 Trellix プラットフォームから IoC を取得するプロセスで、一連の 429 エラーが発生しました。 残念ながら、これらのエラーの制限は翌日までリセットされません。