TrendAI Vision One Plugin for Threat Exchange

このドキュメントでは、Netskope Cloud Exchange プラットフォームの Threat Exchange モジュールで TrendAI Vision One v2.0.0 プラグインを構成する方法について説明します。このプラグインを使用して、TrendAI Vision One > Threat Intelligence > Suspicious Object Management > Suspicious Object List からドメイン、ファイル SHA-256、IP アドレス（IPv4、IPv6）、および URL をプルします。このプラグインを使用すると、ドメイン、ファイル SHA-256、IP アドレス（IPv4、IPv6）、および URL を TrendAI Vision One の Suspicious Object List または Exception List に共有できます。このプラグインは、Suspicious Object List からのインジケーターのプル取り下げと、Suspicious Object List と Exception List の両方からの共有インジケーターのプッシュ取り下げをサポートしています。

前提条件

この設定を完了するには、以下が必要です。

• Netskopeテナント（または、例えば本番環境と開発／テスト環境など、複数のテナント）。
• Netskope Cloud Exchangeのテナントで、 Tenant プラグインと Threat Exchangeプラグイン が既に設定されています。
• アカウントを持つTrendAI Vision Oneインスタンス。
• Netskopeテナント上のファイルプロファイル。
• A URL List on your Netskope tenant.
• A Destination Profile on your Netskope tenant.
• Netskopeテナント上のプライベートアプリ。
• A DNS Profile on your Netskope Tenant.
• Trend Vision Oneポータル
  • オーストラリア (api.au.xdr.trendmicro.com)
  • カナダ (api.ca.xdr.trendmicro.com)
  • 欧州連合 (api.eu.xdr.trendmicro.com)
  • インド (api.in.xdr.trendmicro.com)
  • インドネシア (api.id.xdr.trendmicro.com)
  • 日本 (api.jp.xdr.trendmicro.com)
  • 中東およびアフリカ (api.mea.xdr.trendmicro.com)
  • シンガポール (api.sg.xdr.trendmicro.com)
  • 南アフリカ (api.za.xdr.trendmicro.com)
  • イギリス（api.uk.xdr.trendmicro.com）
  • 米国（api.xdr.trendmicro.com）
  • Custom Region

TrendAI Vision Oneプラグインサポート

このプラグインは、TrendAI Vision One > Threat Intelligence > Suspicious Object Management > Suspicious Object List からドメイン、ファイル SHA-256、IP アドレス（IPv4、IPv6）、および URL を取得するために使用されます。このプラグインを使用すると、ドメイン、ファイルSHA-256、IPアドレス（IPv4、IPv6）、URLをTrendAI Vision Oneの不審オブジェクトリストまたは除外リストに共有できます。このプラグインは、Suspicious Object List からのインジケータのプル取り消し、および Suspicious Object List と Exception List の両方からの共有インジケータのプッシュ取り消しをサポートします。

IoC撤回

このプラグインは、TrendAI Vision OneでアクティブでなくなったSuspicious Object Listインジケーターのプル取り消し、およびSuspicious Object ListとException Listの両方からCE取り消しされたインジケーターのプッシュ取り消しをサポートします。

IoCソースラベル

プラグインは、CEからプッシュされたすべてのインジケーターのデスクリプションフィールドに Shared by Netskope Cloud Exchange というラベルをタグ付けします。これにより、以降のプルサイクルでこれらのインジケーターが新しい脅威インテリジェンスとして再インポートされるのを防ぎます。

マッピング

重症度マッピング

プルインジケーターのマッピング

プッシュインジケーターのマッピング

権限

以下は、このプラグインに必要な権限です。

脅威インテリジェンス > 不審物管理

{
  "items": [
    {
      "type": "url",
      "url": "https://example.com/malicious",
      "description": "Detected by Trend Vision One",
      "riskLevel": "high",
      "lastModifiedDateTime": "2026-08-30T09:12:44Z"
    }
  ],
  "nextLink": "https://api.xdr.trendmicro.com/v3.0/threatintel/suspiciousObjects?..."
}

[
  {
    "url": "https://example.com/malicious",
    "description": "Shared by Netskope Cloud Exchange",
    "riskLevel": "high"
  }
]

[
  {
    "status": 201
  }
]

[
  {
    "url": "https://example.com/exception",
    "description": "Shared by Netskope Cloud Exchange"
  }
]

[
  {
    "status": 201
  }
]

[
  {
    "url": "https://example.com/malicious"
  }
]

[
  {
    "status": 204
  }
]

[
  {
    "url": "https://example.com/exception"
  }
]

[
  {
    "status": 204
  }
]

パフォーマンスマトリックス

この測定は、これらの仕様を持つ大規模CEスタック上で、10万個のIoCをプルおよびプッシュすることによって実施されます。

ユーザーエージェント

netskope-ce-7.0.0-cte-trendai-vision-one-v2.0.0

ワークフロー

1. TrendAI Vision Oneでロールを設定し、APIトークンを生成します。
2. TrendAI Vision Oneプラグインを設定します。
3. TrendAI Vision Oneのビジネスルールを構成します。
4. TrendAI Vision Oneの共有を設定します。
5. TrendAI Vision Oneプラグインを検証します。

動画を見る

再生ボタンをクリックして動画をご覧ください。

TrendAI Vision Oneでロールを設定し、APIトークンを生成する

1. Trend Vision Oneポータルにログインします。

   

2. 行く Administration > User Roles.

   

3. Add role, をクリックし、ロール名を入力して、Control flagsの両方のオプションで Yes を選択します。

   

4. Permissionsタブに移動し、必要な権限を選択して、Save.をクリックします

   

   

5. Administration > API Keysへ移動してください。

   

6. Add API Keyをクリックし、「Name」（名前）、「Role」（役割）、「Expiration Time」（有効期限）を入力します.

   

7. Add,をクリックし、認証トークンをコピーしてプラグイン設定で使用します。

   

TrendAI Vision Oneプラグインを設定する

1. Cloud Exchange で、 Settings > Plugin Storeに移動します。TrendAI Vision One v2.0.0 (CTE)プラグインを検索して選択してください。

   

2. 基本情報を入力してください：

   • Configuration Name: プラグイン構成名。
   • Sync Interval: このプラグインからデータを取得し、他のソースからこのプラグインにデータを共有する間隔。
   • Aging Criteria: 特定の時間が経過したら、インジケーターの有効期限を切れます。
   • Override Reputation: この構成から受信したインジケーターのレピュテーションを上書きする値を設定します。デフォルトを保持する場合は空のままにします。
   • Tags Aggregate Strategy: 既存のIoCに新しいタグを追加するか、上書きするかを選択してください。この設定パラメータは、この設定用に取得されたインジケーターのタグの保存方法を決定します。
   • Enable SSL Validation: SSL証明書の検証を有効にする。

   

3. Nextをクリックして、設定パラメータを入力してください。

   • Data Region: データの取得元となるデータリージョンを選択します。独自のベースURLを提供するには、Custom Regionを選択します。
   • Base URL: TrendAI Vision One APIホストのベースURL（例：https://api.xdr.trendmicro.com）。
   • Authentication Token: TrendAI Vision One APIにアクセスするための認証トークン。
   • Enable Polling: TrendAI Vision Oneからのポーリングデータを有効／無効にします。インジケーターをTrendAI Vision Oneにプッシュするだけであれば、無効にしてください。
   • Enable Push Retraction: Trend Vision Oneのインジケーターのプッシュ取り消しを有効/無効にします。有効にすると、Netskope Cloud Exchangeで取り消し済みとしてマークされ、以前にTrendAI Vision Oneに共有されたインジケーターは、「Suspicious Object List」（不審なオブジェクトリスト）と「Exception List」（除外リスト）の両方から削除されます。
   • Retraction Interval (in days): Suspicious Object Listインジケーターのプルリトラクションを再クエリするまでの日数（1～365）。Trend Vision Oneインジケーターのプル取り消しの取り消し間隔として使う日数。このパラメータは、Threat Exchange SettingsでIoC Retractionが有効になっている場合にのみ適用されます。値は1から365の間である必要があります。
   • Initial Range (in days): 初期実行時にデータをプルする日数。値は1から365の間である必要があります。

   

   

   

4. Saveをクリックしてください。

   

TrendAI Vision OneのThreat Exchangeビジネスルールを設定する

TrendAI Vision Oneから取得したインジケーターをCloud Exchangeプラットフォームに共有するには、共有したいインジケーターをフィルタリングするビジネスルールが必要です。ビジネスルールを構成するには：

1. Threat ExchangeでBusiness Rulesに移動し、 Create New Ruleをクリックします。

   

2. ルールに要件に従ってフィルタを追加し、Saveをクリックします。

   

   

NetskopeとTrendAI Vision Oneの共有を構成する

TrendAI Vision One から Cloud Exchange プラットフォームへIoCを共有するには：

1. Threat ExchangeでSharingに移動し、 Add Sharing Configurationをクリックします。

   

2. Select ソース設定（CTE Netskope）、ビジネスルール、宛先設定（CTE TrendAI Vision One）、およびターゲット。

   

   

3. Saveをクリックしてください。

   

IoCリトラクトを有効にする

1. Cloud Exchange で、 Settings > Threat Exchangeに移動します。

2. Enable IoC Retraction.

   

3. プルリトラクションの場合はTrendAI Vision Oneプラグインの設定で「リトラクション間隔（日数）」パラメータが設定されていること、プッシュリトラクションの場合は「プッシュリトラクションを有効にする」でYesが選択されていることを確認してください。

   

TrendAI Vision Oneプラグインを検証する

プルを検証する

Trend Vision OneのデータはThreat Intelligence > Suspicious Object Management > Suspicious Object Listから取得されます。

Cloud Exchangeでプルされたログを確認するには、Loggingに移動し、TrendAI Vision Oneプラグインのログを検索します。

抽出されたデータは、脅威IoC（侵害指標）ページに掲載されます。プラットフォームから取得した IoC をフィルタリングするには、フィルタを使用します: sources.source<plugin configuration name> “” のようにします 。

プルリトラクションを検証する

撤回に関連するログは使うフィルターでフィルターできます: message Contains "[Retract]"。

脅威IoCページで取り下げられたIoCを検証するには、プラグイン構成名のソースフィルターとともに、 「取り下げられたIoCがYesと等しい」というフィルターを適用します。

プッシュ通知を検証する

Cloud Exchangeからプッシュされたインジケータは、Loggingから確認できます。Trend Vision OneプラットフォームにプッシュされたIoCを確認するための検索フィルター。

Trend Vision One ポータルにログインし、Threat Intelligence > Suspicious Object Management に移動して、プッシュされたインジケーターが正しいデスクリプションとリスクレベルで「不審なオブジェクトリスト」に表示されることを確認します。

Exception Listへのプッシュが設定されている場合は、プッシュされたインジケーターが正しいデスクリプションでException Listに表示されることを確認してください。

プッシュリトラクションを検証する

TrendAI Vision Oneプラグイン構成で「Enable Push Retraction」が「Yes」に設定されていることを確認します。

不審なオブジェクトリストおよび除外リストの撤回されたインジケーターのログを確認します。

不審オブジェクトリストから取り下げられたインジケータが削除されたことを確認します。

除外リストからも削除されたことを確認してください。

TrendAI Vision Oneプラグインのトラブルシューティング

インジケーターはTrend Vision Oneプラットフォームから取得されません

プラグインの設定後、IoCがプラットフォームから取得されない場合は、以下のいずれかが原因である可能性があります。

• プラットフォーム上でプル可能なIOCが利用できません
• 指定された期間のIOCは利用できません
• APIトークンに十分な権限が付与されていません。
• 利用可能なIOCはCEからプッシュされます

What to do: 上記から根本原因を特定し、以下の手順に従って問題を解決してください。

プラットフォーム上にはプル可能なIoCがありません

プラットフォーム上でIoC（侵害指標）が利用可能かどうかを確認してください。可能であれば、次の項目の解決策を確認してください。

指定された期間のIoCは利用できません

プラットフォーム上で IoC をプルできますが、プラグインが Cloud Exchange 内で IoC をプルしていない場合は、プラグイン構成の初期範囲パラメータで指定された日数を確認してください。Trend Vision One プラットフォームで、指定された期間のデータがあるかどうかを確認します。

利用可能なIoCはCloud Exchangeからプッシュされます

IoCがプラットフォームで利用可能であるにもかかわらず取得されない場合は、IoCのデスクリプションを確認してください。Cloud Exchangeから共有されるIoCには、Created from Netskope CTEのようなデフォルトのデスクリプションがあります。

そしてそれらのIoCはCloud Exchangeに引き戻されません。

Trend Vision OneにIOCをプッシュできません

プラットフォームにIoCをプッシュできず、プッシュ中にエラーが発生する場合は、以下のいずれかが原因である可能性があります。

• APIキー（認証トークン）の権限が不足しています。
• プラットフォームがIoCの上限に達しました

What to do: IoC（侵害指標）がプッシュされない理由を特定する。ユーザーに十分な権限があるかどうかを確認してください。十分な権限を追加してもIoCがプッシュされない場合は、Trend Vision Oneでプッシュしようとしている各タイプのIoCの数をチェックして、IoCの制限を超えていないか確認してください。

認証トークンが無効であるか、権限がありません。

バリデーション中にプラグインが TrendAI Vision One に接続できない場合、次のいずれかの理由が考えられます：

• 認証トークンが無効であるか、有効期限が切れています。
• 認証トークンに、必要な Suspicious Object List または Exception List の権限がありません。

What to do:

1. Trend Vision One ポータルの Administration > API Keys に移動します。
2. APIキーがアクティブで有効期限が切れていないことを確認してください。
3. キーに、必要な『脅威インテリジェンス — 不審なオブジェクトリスト（読む）』および『不審なオブジェクトリスト（書き込み/削除）』権限があり、プッシュまたはプッシュの取り消しが設定されている場合は『除外リスト（書き込み/削除）』権限があることを確認してください。

データリージョンまたはベースURLが正しくありません

プラグインが、検証中にデータリージョンまたはベースURLに到達できなかったことを示すエラーを返す場合は、次のいずれかの理由が考えられます：

• 選択したデータリージョンがTrendAI Vision Oneアカウントのリージョンと一致しません。
• カスタムベースURLが正しくないか、到達できません。

What to do:

1. TrendAI Vision Oneアカウントの正しいデータリージョンを確認します。
2. カスタムリージョンを使用している場合、ベースURLがhttps://スキームを使用し、アクセス可能なTrendAI Vision One APIホストを指していることを確認してください。

制限

Trend Vision OneのSuspicious Object Listページでは各タイプのIoCを1万件、Exception Listページでは合計で約5400件のIoCしかプッシュできないことがわかっています。