REST API v2 UCI Impact エンドポイントを使用する

UCI Impact REST API を使用すると、 Netskopeプラットフォームは、ユーザーのユーザー信頼指数 (UCI) スコアへの入力としてサードパーティのリスク影響を取り込むことができます。

この REST API を使用すると、パートナー ベンダー (エンドポイントの検出と応答、IdP、電子メールなど) から学習したリスクに基づいて、ユーザーの UCI を指定された数値だけ減らすことができます。

APIパラメータを使用すると、ユーザー、ソース、タイムスタンプ、スコア（削減）、およびユーザーのUCIを削減する理由を指定できます。

さらに、新しいアラートは、サードパーティ API を使用して Advanced UEBA で作成された UCI に影響を与える異常に関する情報を提供します。 UCIに影響を与える異常の詳細については、「行動分析インシデント」および「行動分析アラート」のページをご覧ください。

Netskopeは、UCI Impact向けに以下のAPIを有効にしています。

以下のセクションでは、APIの詳細について説明します。

このAPIは、サードパーティがNetskopeが分析するためのUCI影響度情報を提供するためのものです。APIは、リクエストが受信された場合、応答としてanomalyIdを返します。AnomalyId は 異常情報を取得し、必要に応じて UCI 取り込みを元に戻すことができます。 これは非同期APIであるため、リクエストを異常検知に変換してアラートを生成するのに数分（約15分）かかります。

Method： 役職

URL: https://<tenant-URL>/api/v2/incidents/user/uciimpact

Header:

-H 'Netskope-Api-Token: XXXXXXX'

-H 'Content-Type: application/json'

Parameters:

現在のパラメータ一覧はSwaggerで確認できます。Settings > Tools > REST API v2 > に移動して、ブラウザで Swagger UI タブを開きます。

Example:

curl -kv -X POST 'https://<tenant-URL>/api/v2/incidents/user/uciimpact' 
-H 'Netskope-Api-Token: xxxxx' 
-H 'Content-Type: application/json' 
-d '{
    "user": "name@netskope.com",
    "score": 50,
    "timestamp": 1654823213000, 
    "source": "Dropbox",
    "reason": "login failed too many times"
}'

これらの API は、異常情報を取得するために使用されます。

Method： 得る

URL: https://<tenant-URL>/api/v2/incidents/anomalies/{anomalyId}

Header:

-H 'Netskope-Api-Token: XXXXXXX'

-H 'Content-Type: application/json'

Parameters:

現在のパラメータ一覧はSwaggerで確認できます。Settings > Tools > REST API v2 > に移動して、ブラウザで Swagger UI タブを開きます。

Example:

curl -kv -X GET 'https://<tenant-URL>/api/v2/incidents/anomalies/xxxxx 
-H 'Netskope-Api-Token: xxxxx' 
-H 'Content-Type: application/json' 

Response:
    {
      "anomalyId": "xxxxx",
      "user": "blah@sm.com",
      "time": 1677618382070,
      "score": 20,
      "activity": "ActivityForUciImpactAPI",
      "eventId": "event_id2",
      "anomalyCreatedTime": "2023-02-28T21:06:24Z",
      "source": "OKTA",
      "reason": "login failed in OKTA"
    }

Search Anomalies APIを使用して、ソースと時間範囲を指定して異常を検索します。

Method： 役職

URL: https://<tenant-URL>/api/v2/incidents/anomalies/getanomalies?activity=ActivityForUciImpactAPI&offset=0&limit=1000&fields=field1,field2,field3

Header:

-H 'Netskope-Api-Token: XXXXXXX'

-H 'Content-Type: application/json'

Parameters:

現在のパラメータ一覧はSwaggerで確認できます。Settings > Tools > REST API v2 > に移動して、ブラウザで Swagger UI タブを開きます。

Filter Options:

Pagination:

Project Fields:

プロジェクトフィールドはオプションのクエリパラメータです。特定のフィールドを選択するには、このパラメータを使用します。 それ以外の場合は、すべての異常フィールドが返されます。

Example:

curl -kv -X POST 'https://<tenant-URL>/api/v2/incidents/anomalies/getanomalies?activity=ActivityForUciImpactAPI&offset=$offset&limit=$limit&fields=anomalyId,user,source,reason,score' 
-H 'Netskope-Api-Token: xxxxx' 
-H 'Content-Type: application/json' 
-d '{
      "filters" :{
        "user" : { "equals": ["user1", "user3"] },
        "source" : { "equals": ["OKTA", "OKTA2"] },       
        "startTime": { "equals": 1654823213000 },
        "endTime": { "equals": 1654833213000 }
      }
    }'

or

curl -kv -X POST 'https://<tenant-URL>/api/v2/incidents/anomalies/getanomalies?activity=ActivityForUciImpactAPI&offset=$offset&limit=$limit&fields=anomalyId,user,source,reason,score' 
-H 'Netskope-Api-Token: xxxxx' 
-H 'Content-Type: application/json' 
-d '{
      "filters" :{
        "anomalyId" : { "equals": ["xxxxx", "xxxxx"] }
      }
    }'

Response:
{
  "totalCount": 5000,
  "results": [
    {
      "anomalyId": "xxxxx",
      "user": "blah@sm.com",
      "time": 1677618382070,
      "score": 20,
      "activity": "ActivityForUciImpactAPI",
      "eventId": "event_id2",
      "anomalyCreatedTime": "2023-02-28T21:06:24Z",
      "source": "OKTA2",
      "reason": "login failed in OKTA2"
    },
    {
      "anomalyId": "xxxxx",
      "user": "hello1@netskope.com",
      "time": 1677618382070,
      "score": 20,
      "activity": "ActivityForUciImpactAPI",
      "eventId": "event_id3",
      "additionalProps": {
        "extra": "must"
      },
      "anomalyCreatedTime": "2023-02-28T21:06:24Z",
      "source": "OKTA3",
      "reason": "login failed in OKTA3"
    }
  ]
}

or 
{
  "totalCount": 0, 
  "results": []
}

必要に応じて、UCI 取り込みを元に戻すためにこの API を使用します。 異常を復元する前に、Get Anomaly API と連携して異常が生成されていることを確認します。 ユーザーのUCIは再度追加され、異常ステータスは許可済みとしてマークされますが、アラートはSkopeITに引き続き表示されます。

Method： 役職

URL: https://<tenant-URL>/api/v2/incidents/anomalies/{anomalyId}/allow

Header:

-H 'Netskope-Api-Token: XXXXXXX'

-H 'Content-Type: application/json'

Parameters:

現在のパラメータ一覧はSwaggerで確認できます。Settings > Tools > REST API v2 > に移動して、ブラウザで Swagger UI タブを開きます。

Example:

curl -kv -X POST 'https://<tenant-URL>/api/v2/incidents/anomalies/xxxxx/allow' 
-H 'Netskope-Api-Token: xxxx' 
-H 'Content-Type: application/json' 
-d '{"reason": "not an anomaly"}'

Incidents > Behavior Analyticsに移動し、アラートを選択して以下の詳細を表示します。