CatoデータとExabeamの統合

概観

Exabeamの統合を使用して、Catoのネットワークおよびセキュリティのデータを他のソースのデータと並行してExabeam New-Scale Security Operations Platformで分析します。ネイティブ統合はデータを直接JSON Webhook Cloud Collectorに送信するので、SOCセンターはCatoのレコードを検索し、モニタリングや調査ワークフローに使用できます。

統合をCato管理アプリケーション（CMA）で設定します。 CatoはJSON配列を含むHTTPS POSTリクエストを送信し、コレクターのベアラートークンで認証します。 ExabeamでCatoフィールドを解析するには、追加の設定が必要になる場合があります。

Exabeamデータソース

イベント、フロー、またはその両方を送信できます:

• イベント: ポリシーの一致、脅威、接続性の変更、監査アクティビティなどのネットワークとセキュリティ活動の記録。

• フロー: アプリケーションとユーザーのコンテキストを追加し、バイト数、パケット数、期間などの集約されたセッションの詳細を含むネットワークフローの記録。

各記録にはdata_sourceフィールドが含まれ、その値はeventsまたはflowsとなります。フローデータは、トラフィックに応じてイベントデータよりもかなり多くのボリュームを生成する可能性があります。

必須条件

• CMAのリソースセクション内での統合のエディター権限。詳細については、RBACを使用した管理者ロールの管理を参照してください。

• Exabeam New-Scaleの展開でクラウドコレクターを管理する権限。

• イベント連携の始め方に説明されている前提条件、必要なIPリスト登録を含みます。

ユースケース

これらの例は、関連するデータソースが取り込まれ、レコードの関連付けに使用される項目が一貫して解析されることを前提としています。

イベント

Exabeamサーチのタイムラインで、Cato脅威イベントと同じタイミングでのIDプロバイダーへのサインインを並べ、潜在的に侵害されたアカウントを調査します。一致するユーザー情報とタイムスタンプを使用して、アクティビティのシーケンスを構築します。

フロー

アカウントのCatoフローレコードを調査に追加し、連絡先、接続時間、転送ボリュームを評価します。

Exabeam統合の作成

ExabeamでJSON Webhook Cloud Collectorを作成し、その宛先URLと認証トークンを使用してCMAで統合を設定します。

ステップ1: ExabeamでWebhook Cloud Collectorを作成

コレクターを作成するには：

1. Exabeamにログインして、Collectors > Cloud Collectors に移動します。

2. 新しいコレクタ をクリックし、Webhook を選択します。

3. Cato Networks などの説明的な名前を入力します。

4. フォーマット では JSON を選択します。このフォーマットは、Catoが送信するJSON配列から個々のレコードをExabeamが抽出できるようにします。

5. （オプションで）サイト とタイムゾーン を選択します。

6. インストールをクリックします。 Exabeamは、認証トークンと宛先URLを表示します。両方の値をコピーして、トークンを安全に保管します。

7. 概要に移動 をクリックし、コレクターが表示されることを確認します。

地域ホスト名および /logs/json パスを含む、コレクターの完全なURLを使用します。

ステップ 2: curl を使用してエンドポイントをテストする

CMAに統合を設定する前に、Exabeamへ直接テストリクエストを送信します。これにより、Catoの統合からエンドポイントと認証の問題を分離できます。

エンドポイントをテストするには：

1. テストエンドポイントのAPIホスト名で <api-fqdn> を置き換えます。隠されたプロンプトでコレクタトークンを入力します。この例では、Bash構文を使用して改行区切りのJSONを使用します。

2. サンプルのタイムスタンプを現在のUTC時刻で更新し、次のコマンドを実行します：

   例全体をインタラクティブな Bash シェルで実行します（必要に応じて最初に bash を実行します）。隠されたプロンプトで資格情報を入力し、コマンドに挿入しないでください。この例では、シェルトレーシングを無効化し、標準入力を介して--header @-を使用して認証ヘッダーを通し、資格情報をシェル履歴や curl コマンドライン引数から保護します。例が終了したときに、仮の資格情報変数は破棄されます。

   (
     set +axv
     set -euo pipefail
     unset CATO_TEST_TOKEN
     IFS= read -r -s -p 'Exabeam collector token: ' CATO_TEST_TOKEN
     builtin printf '\n' >&2
     case "$CATO_TEST_TOKEN" in
       ''|*$'\r'*) builtin printf 'キャリッジリターンなしの非空資格情報を入力してください。\n' >&2; exit 1 ;;
     esac
   
     builtin printf '%s\n' "Authorization: Bearer ${CATO_TEST_TOKEN}" | \
       curl -q --fail --show-error --include --max-time 30 -X POST 'https:///ingest/api/v1/third_party_log/hec' \
     --header @- \
     -H "Content-Type: text/plain" \
     --data-binary $'{"timestamp": "2026-10-20T10:00:03Z", "msg": "ndjson log line 1"}\n{"timestamp": "2026-10-20T10:00:05Z", "msg": "ndjson log line 2"}\n'
   )

3. HTTPレスポンスでエラーを確認します。成功したリクエストはHTTP 2xxステータスを返します。

4. Exabeamで ndjson log line 1 と ndjson log line 2 を検索し、それらが別々のレコードとして表示されることを確認します。

このテストは、宛先がサンプルリクエストを受け入れるかどうかを確認します。以下の統合設定後、Catoデータと解析を検証します。

ステップ3: CMAで統合を作成

Exabeam統合を作成するには:

1. CMAのナビゲーションメニューから、リソース>統合に移動します。

2. 設定済みの統合タブを開き、新規をクリックします。

3. Exabeamを選択し、データエクスポート機能を利用します。

4. 名前とオプションの説明を入力します。

5. インジェストURLには、Exabeamによって生成された完全な宛先URLを貼り付けます。

6. Bearerトークンには、コレクターの認証トークンを貼り付けます。トークンのみを入力します。CatoはBearerプレフィックスを追加します。

7. データソースの下で、イベント、フロー、またはその両方を選択します。

8. (オプション) イベントとフローのフィルターを設定し、送信するレコードを制御します。フィルターをご覧ください。

9. 保存をクリックします。

Catoはトークンを暗号化して保存し、再表示しません。コレクタートークンを更新する際に統合をアップデートしてください。

ステップ4: インジェストとパーシングを確認

CatoのデータがExabeamに届いたことを確認するには:

1. CMA内で、統合のステータスを確認します。必要に応じてページを更新し、認証または宛先のエラーを確認します。

2. Exabeamで、Collectors > Cloud Collectors > 概要に移動し、Cato コレクターを開いてデータを受信していることを確認します。

3. 選択したデータソースごとに直近のCatoイベントまたはネットワークトラフィックを生成します。

4. Exabeam Searchを使用して、特徴的な値またはdata_sourceフィールドによって直近のCatoレコードを見つけます。両方のソースが選択されている場合、events と flowsの両方の値でレコードを確認します。

5. Catoの項目が解析されているか確認します。レコードが解析されていない場合は、Exabeamのガイダンスに従ってAuto Parser GeneratorまたはLog Streamワークフローを使用して解析を設定します。

フィルター

イベントとフローフィルターを使用して、ExabeamにエクスポートされるCatoデータを制限します。これにより、取り込み量を制御し、関連する活動に調査を集中させることができます。

グループ内のフィルター条件はANDロジックを使用します。別々のグループはORロジックを使用します。

• イベントフィルター – コンディションを定義するにはフィルタの追加をクリックするか、他のフィルターグループを追加するにはグループ追加をクリックします。

• フローフィルター – フローが選択されると利用可能です。イベントフィルターと同じロジックを使用します。

厳しすぎるフィルターはエラーを報告せずにすべてのレコードを除外する可能性があります。データが届かない場合は、選択したデータソースとフィルター条件を確認してください。

確認された制限事項

• Exabeamの汎用Webhook Cloud Collectorには事前設定されたコンテンツサポートが含まれていません。 Catoレコードのパーサーを開発する必要があるかもしれません。

• Exabeamは圧縮されていないバッチリクエストを32MBと2分のリクエスト期間に制限しています。

• Exabeamのサイトメタデータの変更は、Webhookログに表示されるまで最大で五分かかります。

• Cato統合のリクエストボディ形式、コンテンツタイプ、または認証ヘッダーをカスタマイズすることはできません。

トラブル解決

追加リソース

• Exabeam: Webhook Cloud Collector