26/01/19 13:27

【CrowdStrike】NG-SIEMへのログ取り込みについて_Netskope編

はじめに

今回は、Netskopeのログを CrowdStrike NG-SIEM (Falcon LogScale) に取り込む方法についてご紹介いたします。

Netskopeには、アラートやイベントを記録する「Events & Alertsログ」と、すべての通信の生ログデータを記録する「Transaction Eventsログ」があります。今回は前者の 「Events & Alertsログ」 をNG-SIEMに取り込む手順をご紹介します。

※ Transaction Eventsログについては、必要に応じてこちらのブログをご参照ください。

CrowdStrike NG-SIEM (Falcon LogScale) について

NG-SIEM (Falcon LogScale) はCrowdStrikeが提供するSIEMサービスです。従来のSIEMの課題であった高コスト、検索速度の課題を解決し、業務利用のログの一元管理が実施できます。NG-SIEM にログを一元的に収集・正規化し、利用状況の全体像を把握する基盤構築に寄与します。特徴や利用するメリット、詳細につきましては以下のブログも合わせてご参照ください。

その他のNG-SIEMの特徴やライセンスの詳細につきましては弊社までお問い合わせください。

NG-SIEMでのNetskopeログ取り込みについて

CrowdStrike NG-SIEMにはNetskope専用のデータコネクターが用意されているため、スムーズに連携が可能です。

【設定の流れ】

１．Netskope側でAPIトークンを発行する
２．NG-SIEM側でデータコネクターを利用しNetskopeのログを取り込む

それでは早速Netskopeのデータを取り込むための設定を行っていきます。

設定

1. NetskopeでAPIトークンを発行する

1-1. Roles 作成

Netskope管理コンソールよりSettings > Administrators & Roles > Roles > New をクリック。

want_to_know_how_to_pay_using_apiv2_01

Role Name を入力し、Administation、Access Control、DLP、Events and Analytics の4つのみチェックをいれます。

importing-logs-into-ng-siem-netskope_05

同画面を下にスクロールし、フィルタ等が無い状態にし、Permission は一度すべてNoneとする

importing-logs-into-ng-siem-netskope_06

※現在のテナントの実装においては確実にページがまたがるため、すべてのページのPermissionを一旦Noneにする。以下はRows per page: 100の参考イメージとなる。（1ページ目）

importing-logs-into-ng-siem-netskope_07

（2ページ目）

importing-logs-into-ng-siem-netskope_08

Netskope側で以下のAPIアクセス権限（のみ）が必要となりますのでVIEW（Read）権限で設定していきます。

【CrowdStrike側からNetskope側にAPIアクセスする際に必要なアクセス権限：9件】

Endpoint	Function	PREVILEGE
/api/v2/events/dataexport/events/audit	Administration > Audit Log	VIEW（Read）
/api/v2/events/dataexport/events/incident	DLP > Incident	VIEW（Read）
/api/v2/events/dataexport/events/infrastructure	Infrastructure > Infrastructure Log	VIEW（Read）
/api/v2/events/dataexport/events/infrastructure	Infrastructure > On-Premises ※Infrastructure Logを有効化するために必要	VIEW（Read）
/api/v2/events/dataexport/events/alert	Skope IT > Alerts	VIEW（Read）
/api/v2/events/dataexport/events/application	Skope IT > Application Events	VIEW（Read）
/api/v2/events/dataexport/events/page	Skope IT > Page Events	VIEW（Read）
/api/v2/events/dataexport/events/network	Skope IT > Network Events	VIEW（Read）
/api/v2/events/dataexport/events/endpoint	Skope IT > Endpoint Events	VIEW（Read）