このドキュメントでは、 Netskope Cloud ExchangeのCloud Threat Exchangeモジュールを使用して Trend Vision One プラグインを構成する方法について説明します。 このプラグインは、Trend Micro Vision Oneによって識別されたURL、ドメイン、SHA256ファイルハッシュ、およびIPアドレスをNetskopeに取得して共有することをサポートします。
前提条件
この設定を完了するには、以下が必要です。
- Netskopeテナント（または、例えば本番環境と開発／テスト環境など、複数のテナント）。
- URL 共有のためのNetskope Secure ウェブ ゲートウェイ サブスクリプション。
- 悪意のあるファイルハッシュ共有に対する脅威対策サブスクリプション。
- Netskope Cloud Exchangeテナントには、テナントプラグインと脅威交換プラグインが既に設定済みです。
- Trend Vision One認証トークン。
- Trend Vision Oneポータルへのアクセス：
- オーストラリア ( https://portal.au.xdr.trendmicro.com/ )
- 欧州連合（ https://portal.eu.xdr.trendmicro.com/ ）
- インド ( https://portal.in.xdr.trendmicro.com/ )
- 日本 ( https://portal.xdr.trendmicro.co.jp/ )
- シンガポール（ https://portal.sg.xdr.trendmicro.com/ ）
- アメリカ合衆国 ( https://portal.xdr.trendmicro.com/ )
- 以下のホストへの接続: https://api.xdr.trendmicro.com 。
Trend Micro Vision Oneプラグインのサポート
このプラグインは、Trend Vision One プラットフォームからの不審オブジェクト管理の下にある不審オブジェクト リストからのデータの取得をサポートします。 このプラグインは、IoC（侵害指標）を疑わしいオブジェクトリストおよび例外リストに共有することもサポートしています。
| 取得したインジケーターの種類 | URL、IPv4、IPv6、SHA256、ドメイン |
| 共有指標タイプ | URL、IPv4、IPv6、SHA256、ドメイン |
マッピング
型マッピング
| CE IoCの種類 | トレンドビジョンIoCタイプ |
|---|---|
| URL | ドメインURL IPv4 IPv6 |
| SHA256 | ファイルSHA-256 |
重症度マッピング
| CE重症度分類項目 | トレンドビジョンワンの深刻度フィールド |
|---|---|
| unknown | high |
| low | low |
| medium | medium |
| high | high |
| critical | high |
プルマッピング
| Netskope CE Fields | トレンドビジョンワンフィールド |
|---|---|
| value | indicator_value |
| タイプ | タイプ |
| コメント | description |
| LastSeen | lastModifiedDateTime |
| 重大度 | risklevel |
プッシュマッピング
| Netskope CE Fields | トレンドビジョンワンフィールド |
|---|---|
| value | indicator_value |
| description | description |
| 重大度 | risklevel |
権限
以下は、このプラグインに必要な権限です。
脅威インテリジェンス > 不審物管理
| 表示、フィルタリング、検索 | はい |
| リストの管理と設定の構成 | はい |
APIの詳細
使うAPI一覧
| APIエンドポイント | 方法 | 使うケース |
|---|---|---|
| /v3.0/threatintel/suspiciousObjects | 得る | 指標を取得する。 |
| /v3.0/threatintel/suspiciousObjects | 役職 | 不審物リストに指標を追加する |
| /v3.0/threatintel/suspiciousObjectExceptions | 役職 | インジケーターを例外リストに追加する |
プルインジケーター
API Endpoint:
/v3.0/threatintel/suspiciousObjects
Method: 得る
Parameters:
| 鍵 | Value |
|---|---|
| orderBy | string |
| startDateTime | 文字列<date-time> |
| endDateTime | 文字列<date-time> |
| top | integer |
Headers:
| 鍵 | Value |
|---|---|
| Authorization | ベアラー＜認証トークン＞<Authentication Token> |
| ユーザーエージェント: | <USER AGENT> |
| Content-Type | アプリケーション/json |
| Accept | アプリケーション/json |
API Request Endpoint:
https://api.in.xdr.trendmicro.com//v3.0/threatintel/suspiciousObjects
Sample Response:
{
"items": [
{
"url": "https://*.example.com/path1/*",
"type": "url",
"description": "object description",
"lastModifiedDateTime": "2019-03-15T07:44:27Z"
}
],
"nextLink": "https://api.xdr.trendmicro.com/v3.0/xdr/threatintel/suspiciousObjects?top=50&skipToken=eyJpZCI6IjI1MGQxMmE3ZDQyMmVhM"
}
プッシュインジケーター
API Endpoints:
- /v3.0/threatintel/suspiciousObjects
- /v3.0/threatintel/suspiciousObjectExceptions
Method: 役職
Request Body:
[
{
"url": "https://*.example.com/path1/*",
"description": "object description"
}
]
Headers:
| 鍵 | Value |
|---|---|
| Authorization | ベアラー＜認証トークン＞<Authentication Token> |
| ユーザーエージェント: | <USER AGENT> |
| Content-Type | アプリケーション/json |
| Accept | アプリケーション/json |
API Request Endpoints:
https://api.in.xdr.trendmicro.com//v3.0/threatintel/suspiciousObjectshttps://api.in.xdr.trendmicro.com//v3.0/threatintel/suspiciousObjectExceptions
Sample Response:
207 Multiple status code
[
{
"status": 201
}
]
パフォーマンスマトリックス
この測定は、上記の仕様を持つ大規模CEスタック上で、10万個のIoCをプルおよびプッシュすることによって実施されます。
| スタックの詳細 | サイズ：大 RAM：32 GB CPU：16コア |
| Trend Vision Oneから取得した指標 | ~20K per minute |
| Trend Vision Oneと共有された指標 | ~12K per minute |
ユーザーエージェント
netskope-ce-5.0.0-cte-trend-vision-one-v1.0.2
ワークフロー
- ユーザーロールを作成します。
- 認証トークンを取得してください。
- Trend Vision Oneプラグインを設定します。
- Trend Vision Oneのビジネスルールを設定します。
- NetskopeとTrend Vision Oneの共有設定を行います。
- Trend Vision Oneプラグインを検証してください。
再生ボタンをクリックして動画をご覧ください。
Trend Vision One認証トークンを取得してください。
ユーザーロールを作成する
APIキーを生成するには、ユーザーロールを作成する必要があります。Trend Vision Oneでユーザーロールを設定するには、以下の手順に従ってください。
- Trend Vision One プラットフォームにログインし、 Administration > User Rolesへ行ってください。
- Add Roleをクリックして役割名を入力し、権限タブに移動してください。
- 下にスクロールしてThreat Intelligence > Suspicious Object Managementまで進み、これらの権限を選択してください。
- 表示、フィルタリング、検索
- リストの管理と設定の構成
- Submitをクリックすると、ロールが保存され、 APIキーの生成に使用されます。
APIキーを生成する
- Trend Visionにアクセスするには、 Administration > API Keys.
- Add API Keysをクリックしてください。
- 名前を追加し、以前に作成した役割を選択し、有効期限を選択します。
- Addをクリックしてください。使うキーを保存してプラグインを設定し、一度だけ表示されます。
Trend Vision Oneプラグインの設定
- Cloud Exchangeで Settings に移動し、 Pluginsをクリックします。
- プラグイン作成ページを開くには、 Trend Micro Pluginボックスを検索して選択してください。
- 最初のページで基本情報を入力して選択してください。
- 構成名：統合に適した名前を入力してください。
- 同期間隔：環境のニーズに合わせて調整してください。本番環境では、5分未満にしないことを推奨します。
- 経年劣化基準：指標の有効期限。
- 評判の上書き：この設定から受信した指標の評判を上書きする値を設定します。
- SSL検証を有効にする：通信にSSL検証が必要な場合は有効にします。
- システムプロキシ：通信にプロキシが必要な場合は有効にします
- Nextをクリックしてください。
- 以下の設定パラメータを入力して選択してください。
- データ地域: Trend Vision One アカウントの地域Select 。認証トークン: 以前に取得した Trend Vision One 認証トークンを入力します。ポーリングを有効にする: データ取得を開始するには有効にします。初期範囲 (日数): 指標を取得する初期範囲を入力します。
- Saveをクリックしてください。
Trend Vision One 用の脅威エクスチェンジビジネスルールを設定する
Trend Vision Oneから取得した指標をNetskopeに共有したり、その逆を行うには、共有したい指標をフィルタリングするビジネスルールを作成する必要があります。ビジネスルールを設定するには、以下の手順に従ってください。
- Threat ExchangeでBusiness Rulesに移動し、 Create New Ruleをクリックします。
- ルールに、要件に応じたフィルターを追加してください。
Trend Vision One の Threat Exchange 共有の設定
Netskope CE から Trend Vision One プラットフォームへ、またはその逆に IoC を共有するには、次の手順に従います。
- 脅威交換では、 Sharingに移動します。Add Sharing Configurationをクリックしてください。
- ソース構成（ Netskope CTE）、ビジネスルール、宛先構成（Trend Vision One）、およびターゲット（疑わしいオブジェクトリスト） Select 。
- Saveをクリックしてください。
- 別の共有設定を追加しますが、ソース設定としてTrend Vision One、宛先設定としてNetskope CTEを選択し、さらにビジネスルールと目的のターゲット（URLリストやファイルハッシュリストなど）を選択します。完了したら、 Saveをクリックしてください。
Trend Vision Oneプラグインを検証する
プルを検証する
Trend Vision One プラットフォームから取得したデータを確認するには、次の手順に従います。
- Loggingに移動して、Trend Vision One プラグインからのプルログをフィルタリングします。
- Trend Vision Oneのデータは、[脅威インテリジェンス] > [不審物管理] > [不審物リスト]から取得されます。
プッシュ通知を検証する
CEからプッシュされた指標は、ログから確認できます。Trend Vision One プラットフォームにプッシュされた IoC を確認するための検索フィルター。
Trend Vision Oneにプッシュされたデータは、共有設定時に選択したターゲットページに応じて、脅威インテリジェンスの「不審オブジェクト管理」にある「不審オブジェクトリスト」または「例外リスト」ページに表示されます。
Trend Vision One でプッシュされた IoC は、 Netskope CTE から作成されたものなど、CE から追加されたデフォルトのデスクリプションに基づいて識別できます。
トラブルシューティング
インジケーターはTrend Vision Oneプラットフォームから取得されません
プラグインの設定後、IoCがプラットフォームから取得されない場合は、以下のいずれかが原因である可能性があります。
- プラットフォーム上ではIoCを取得できません
- 指定された期間のIoCは利用できません
- 利用可能なIoCはCEからプッシュされます
- Trend Vision OneにIoCをプッシュできません
What to do: 上記のリストから根本原因を特定し、以下の手順に従って問題を解決してください。
プラットフォーム上にはプル可能なIoCがありません
プラットフォーム上でIoC（侵害指標）が利用可能かどうかを確認してください。可能であれば、次の項目の解決策を確認してください。
指定された期間のIoCは利用できません
プラットフォーム上でIoCが取得可能であるにもかかわらず、プラグインがCEでIoCを取得していない場合は、プラグイン設定の初期範囲パラメータで指定されている日数を確認してください。Trend Vision One プラットフォームで、指定された時間範囲のデータがあるかどうかを確認します。
利用可能なIoCはCEからプッシュされます
IoC がプラットフォームで利用可能であるにもかかわらずプルされていない場合は、IoC のデスク リプションを確認してください。 CE から共有される IoC には、Created from Netskope CTE などのデフォルトのデスクリプションがあります。
そして、それらのIoCはCEでは撤回されない。
Unable to push IoCs to Trend Vision One
プラットフォームにIoCをプッシュできず、プッシュ中にエラーが発生する場合は、以下のいずれかが原因である可能性があります。
- APIキー（認証トークン）の権限が不足しています。
- プラットフォームがIoCの上限に達しました
What to do: IoC（侵害指標）がプッシュされない理由を特定する。ユーザーに十分な権限があるかどうかを確認してください。十分な権限を追加してもIoCがプッシュされない場合は、Trend Vision Oneでプッシュしようとしている各タイプのIoCの数をチェックして、IoCの制限を超えていないか確認してください。
共有しようとしているドメインに複数の / がある場合、プラットフォーム自体は複数の / を持つドメインを有効なドメインと見なさないため、そのドメインは Trend Vision One プラットフォームに共有されません。
制限
Trend Vision Oneの疑わしいオブジェクトリストページには、各タイプのIoCを1万個までしかプッシュできず、例外リストページには合計で約300個のIoCしかプッシュできないことが確認されました。