Trend Vision One Plugin for Threat Exchange

このドキュメントでは、 Netskope Cloud ExchangeのCloud Threat Exchangeモジュールを使用して Trend Vision One プラグインを構成する方法について説明します。このプラグインは、Trend Micro Vision Oneによって識別されたURL、ドメイン、SHA256ファイルハッシュ、およびIPアドレスをNetskopeに取得して共有することをサポートします。

前提条件

この設定を完了するには、以下が必要です。

Netskopeテナント（または、例えば本番環境と開発／テスト環境など、複数のテナント）。
URL 共有のためのNetskope Secure ウェブゲートウェイサブスクリプション。
悪意のあるファイルハッシュ共有に対する脅威対策サブスクリプション。
Netskope Cloud Exchangeテナントには、テナントプラグインと脅威交換プラグインが既に設定済みです。
Trend Vision One認証トークン。
Trend Vision Oneポータルへのアクセス：
- オーストラリア ( https://portal.au.xdr.trendmicro.com/ )
- 欧州連合（ https://portal.eu.xdr.trendmicro.com/ ）
- インド ( https://portal.in.xdr.trendmicro.com/ )
- 日本 ( https://portal.xdr.trendmicro.co.jp/ )
- シンガポール（ https://portal.sg.xdr.trendmicro.com/ ）
- アメリカ合衆国 ( https://portal.xdr.trendmicro.com/ )
以下のホストへの接続: https://api.xdr.trendmicro.com 。

Trend Micro Vision Oneプラグインのサポート

このプラグインは、Trend Vision One プラットフォームからの不審オブジェクト管理の下にある不審オブジェクトリストからのデータの取得をサポートします。このプラグインは、IoC（侵害指標）を疑わしいオブジェクトリストおよび例外リストに共有することもサポートしています。

取得したインジケーターの種類	URL、IPv4、IPv6、SHA256、ドメイン
共有指標タイプ	URL、IPv4、IPv6、SHA256、ドメイン

マッピング

型マッピング

CE IoCの種類	トレンドビジョンIoCタイプ
URL	ドメインURL IPv4 IPv6
SHA256	ファイルSHA-256

重症度マッピング

CE重症度分類項目	トレンドビジョンワンの深刻度フィールド
unknown	high
low	low
medium	medium
high	high
critical	high

プルマッピング

Netskope CE Fields	トレンドビジョンワンフィールド
value	indicator_value
タイプ	タイプ
コメント	description
LastSeen	lastModifiedDateTime
重大度	risklevel

プッシュマッピング

Netskope CE Fields	トレンドビジョンワンフィールド
value	indicator_value
description	description
重大度	risklevel

権限

以下は、このプラグインに必要な権限です。

脅威インテリジェンス > 不審物管理

表示、フィルタリング、検索	はい
リストの管理と設定の構成	はい

APIの詳細

使うAPI一覧

APIエンドポイント	方法	使うケース
/v3.0/threatintel/suspiciousObjects	得る	指標を取得する。
/v3.0/threatintel/suspiciousObjects	役職	不審物リストに指標を追加する
/v3.0/threatintel/suspiciousObjectExceptions	役職	インジケーターを例外リストに追加する

プルインジケーター

API Endpoint:

/v3.0/threatintel/suspiciousObjects

Method: 得る

Parameters:

鍵	Value
orderBy	string
startDateTime	文字列<date-time>
endDateTime	文字列<date-time>
top	integer

Headers:

鍵	Value
Authorization	ベアラー＜認証トークン＞<Authentication Token>
ユーザーエージェント:	<USER AGENT>
Content-Type	アプリケーション/json
Accept	アプリケーション/json

API Request Endpoint:

https://api.in.xdr.trendmicro.com//v3.0/threatintel/suspiciousObjects

Sample Response:

{
  "items": [
         {
              "url": "https://*.example.com/path1/*",
              "type": "url",
              "description": "object description",
              "lastModifiedDateTime": "2019-03-15T07:44:27Z"
         }
     ],
  "nextLink":    "https://api.xdr.trendmicro.com/v3.0/xdr/threatintel/suspiciousObjects?top=50&skipToken=eyJpZCI6IjI1MGQxMmE3ZDQyMmVhM"                  
}

プッシュインジケーター

API Endpoints:

/v3.0/threatintel/suspiciousObjects
/v3.0/threatintel/suspiciousObjectExceptions

Method: 役職

Request Body:

[
      {
"url": "https://*.example.com/path1/*",
"description": "object description"
       }
]

Headers:

鍵	Value
Authorization	ベアラー＜認証トークン＞<Authentication Token>
ユーザーエージェント:	<USER AGENT>
Content-Type	アプリケーション/json
Accept	アプリケーション/json

API Request Endpoints:

https://api.in.xdr.trendmicro.com//v3.0/threatintel/suspiciousObjectshttps://api.in.xdr.trendmicro.com//v3.0/threatintel/suspiciousObjectExceptions

Sample Response:

207 Multiple status code
[
  {
    "status": 201
  }
]

パフォーマンスマトリックス

この測定は、上記の仕様を持つ大規模CEスタック上で、10万個のIoCをプルおよびプッシュすることによって実施されます。

スタックの詳細	サイズ：大 RAM：32 GB CPU：16コア
Trend Vision Oneから取得した指標	~20K per minute
Trend Vision Oneと共有された指標	~12K per minute

ユーザーエージェント

netskope-ce-5.0.0-cte-trend-vision-one-v1.0.2

ワークフロー

ユーザーロールを作成します。
認証トークンを取得してください。
Trend Vision Oneプラグインを設定します。
Trend Vision Oneのビジネスルールを設定します。
NetskopeとTrend Vision Oneの共有設定を行います。
Trend Vision Oneプラグインを検証してください。

再生ボタンをクリックして動画をご覧ください。

Trend Vision One認証トークンを取得してください。

ユーザーロールを作成する

APIキーを生成するには、ユーザーロールを作成する必要があります。Trend Vision Oneでユーザーロールを設定するには、以下の手順に従ってください。

Trend Vision One プラットフォームにログインし、 Administration > User Rolesへ行ってください。
Add Roleをクリックして役割名を入力し、権限タブに移動してください。
下にスクロールしてThreat Intelligence > Suspicious Object Managementまで進み、これらの権限を選択してください。
- 表示、フィルタリング、検索
- リストの管理と設定の構成
Submitをクリックすると、ロールが保存され、 APIキーの生成に使用されます。

APIキーを生成する

Trend Visionにアクセスするには、 Administration > API Keys.
Add API Keysをクリックしてください。
名前を追加し、以前に作成した役割を選択し、有効期限を選択します。
Addをクリックしてください。使うキーを保存してプラグインを設定し、一度だけ表示されます。

Trend Vision Oneプラグインの設定

Cloud Exchangeで Settings に移動し、 Pluginsをクリックします。
プラグイン作成ページを開くには、 Trend Micro Pluginボックスを検索して選択してください。
最初のページで基本情報を入力して選択してください。
- 構成名：統合に適した名前を入力してください。
- 同期間隔：環境のニーズに合わせて調整してください。本番環境では、5分未満にしないことを推奨します。
- 経年劣化基準：指標の有効期限。
- 評判の上書き：この設定から受信した指標の評判を上書きする値を設定します。
- SSL検証を有効にする：通信にSSL検証が必要な場合は有効にします。
- システムプロキシ：通信にプロキシが必要な場合は有効にします
Nextをクリックしてください。
以下の設定パラメータを入力して選択してください。
- データ地域: Trend Vision One アカウントの地域Select 。認証トークン: 以前に取得した Trend Vision One 認証トークンを入力します。ポーリングを有効にする: データ取得を開始するには有効にします。初期範囲 (日数): 指標を取得する初期範囲を入力します。
Saveをクリックしてください。

Trend Vision One 用の脅威エクスチェンジビジネスルールを設定する

Trend Vision Oneから取得した指標をNetskopeに共有したり、その逆を行うには、共有したい指標をフィルタリングするビジネスルールを作成する必要があります。ビジネスルールを設定するには、以下の手順に従ってください。

Threat ExchangeでBusiness Rulesに移動し、 Create New Ruleをクリックします。
ルールに、要件に応じたフィルターを追加してください。

Trend Vision One の Threat Exchange 共有の設定

Netskope CE から Trend Vision One プラットフォームへ、またはその逆に IoC を共有するには、次の手順に従います。

脅威交換では、 Sharingに移動します。Add Sharing Configurationをクリックしてください。
ソース構成（ Netskope CTE）、ビジネスルール、宛先構成（Trend Vision One）、およびターゲット（疑わしいオブジェクトリスト） Select 。
Saveをクリックしてください。
別の共有設定を追加しますが、ソース設定としてTrend Vision One、宛先設定としてNetskope CTEを選択し、さらにビジネスルールと目的のターゲット（URLリストやファイルハッシュリストなど）を選択します。完了したら、 Saveをクリックしてください。

Trend Vision Oneプラグインを検証する

プルを検証する

Trend Vision One プラットフォームから取得したデータを確認するには、次の手順に従います。

Loggingに移動して、Trend Vision One プラグインからのプルログをフィルタリングします。
Trend Vision Oneのデータは、[脅威インテリジェンス] > [不審物管理] > [不審物リスト]から取得されます。

プッシュ通知を検証する

CEからプッシュされた指標は、ログから確認できます。Trend Vision One プラットフォームにプッシュされた IoC を確認するための検索フィルター。

Trend Vision Oneにプッシュされたデータは、共有設定時に選択したターゲットページに応じて、脅威インテリジェンスの「不審オブジェクト管理」にある「不審オブジェクトリスト」または「例外リスト」ページに表示されます。
Trend Vision One でプッシュされた IoC は、 Netskope CTE から作成されたものなど、CE から追加されたデフォルトのデスクリプションに基づいて識別できます。

トラブルシューティング

インジケーターはTrend Vision Oneプラットフォームから取得されません

プラグインの設定後、IoCがプラットフォームから取得されない場合は、以下のいずれかが原因である可能性があります。

プラットフォーム上ではIoCを取得できません
指定された期間のIoCは利用できません
利用可能なIoCはCEからプッシュされます
Trend Vision OneにIoCをプッシュできません

What to do: 上記のリストから根本原因を特定し、以下の手順に従って問題を解決してください。

プラットフォーム上にはプル可能なIoCがありません

プラットフォーム上でIoC（侵害指標）が利用可能かどうかを確認してください。可能であれば、次の項目の解決策を確認してください。

指定された期間のIoCは利用できません

プラットフォーム上でIoCが取得可能であるにもかかわらず、プラグインがCEでIoCを取得していない場合は、プラグイン設定の初期範囲パラメータで指定されている日数を確認してください。Trend Vision One プラットフォームで、指定された時間範囲のデータがあるかどうかを確認します。

利用可能なIoCはCEからプッシュされます

IoC がプラットフォームで利用可能であるにもかかわらずプルされていない場合は、IoC のデスクリプションを確認してください。 CE から共有される IoC には、Created from Netskope CTE などのデフォルトのデスクリプションがあります。
そして、それらのIoCはCEでは撤回されない。

Unable to push IoCs to Trend Vision One

プラットフォームにIoCをプッシュできず、プッシュ中にエラーが発生する場合は、以下のいずれかが原因である可能性があります。

APIキー（認証トークン）の権限が不足しています。
プラットフォームがIoCの上限に達しました

What to do: IoC（侵害指標）がプッシュされない理由を特定する。ユーザーに十分な権限があるかどうかを確認してください。十分な権限を追加してもIoCがプッシュされない場合は、Trend Vision Oneでプッシュしようとしている各タイプのIoCの数をチェックして、IoCの制限を超えていないか確認してください。

共有しようとしているドメインに複数の / がある場合、プラットフォーム自体は複数の / を持つドメインを有効なドメインと見なさないため、そのドメインは Trend Vision One プラットフォームに共有されません。

制限

Trend Vision Oneの疑わしいオブジェクトリストページには、各タイプのIoCを1万個までしかプッシュできず、例外リストページには合計で約300個のIoCしかプッシュできないことが確認されました。