CatoデータとStellar Cyberの統合

Important: This integration is a preview and subject to change. The certification process is underway.

概観

Stellar Cyber統合を使用して、CatoネットワークとセキュリティデータをStellar Cyber Open XDRで分析します。ネイティブ統合はデータを直接XDR Connect Webhookに送信し、そこで検索や脅威ハンティングワークフローの標準化とフィールドマッピングを設定できます。

Cato管理アプリケーション (CMA) で統合を設定します。 CatoはJSON配列を含むHTTPS POSTリクエストを送信し、Stellar Cyber APIトークンで認証します。

このデータエクスポート統合はStellar Cyber API統合とは別にあります。

Stellar Cyberデータソース

Catoは次のデータソースのエクスポートをサポートしています：

イベント: ポリシー一致、脅威、接続変更、監査活動などのネットワークとセキュリティの活動の記録。
フロー: アプリケーションとユーザーコンテキストを追加するネットワークフロー記録および、バイト、パケット、期間などの集計されたセッションの詳細。

各レコードにはeventsまたはflowsの値を持つdata_sourceフィールドが含まれます。トラフィックによっては、フローデータがイベントデータよりも大幅に多く生成される可能性があります。

Stellar Cyberの宛先の設定に一致するCatoデータソースを選択してください。

必須条件

CMAのリソースセクション内の統合に対するエディター権限。詳細については、RBACを使用した管理者ロールの管理を参照してください。
XDR Connectが利用可能なStellar Cyberのデプロイメント。詳細情報については、Stellar Cyber: XDRコネクタの設定を参照してください。
Stellar Cyber RBACでの統合アクセス権限追加/編集/削除権限のための宛先作成を行う管理者、およびXDRコネクタインジェスション特権を持つAPIトークンを生成する権限。
エクスポートを計画しているデータソースのCato JSONレコードの代表例は、正規化を設定するときに使用します。
イベント統合の開始で説明されている前提条件には、必要なIP許可リストの設定を含みます。

ユースケース

イベント

CatoイベントをStellar Cyberに送信し、他のデータと並行してネットワークおよびセキュリティ活動を調査します。たとえば、アナリストは最近のCato脅威イベントを検索し、そのユーザー、アプリケーション、およびサイト情報を確認できます。自動化された脅威ハンティングルールでは、追加の検出やカスタムアラートを提供できます。

フロー

フローレコードを使用して調査にセッションコンテキストを追加します。転送されたバイト、パケット数、セッション期間は、アナリストが不審な活動が短期間の接続またはさらに調査が必要な大規模な転送だったかを評価するのに役立ちます。

Stellar Cyber統合の作成

Stellar Cyber APIトークンとXDRコネクタを作成し、生成されたWebhook URLとトークンを使用してCMAでデータエクスポート統合を設定します。

ステップ 1: Stellar Cyber APIトークンを作成

Stellar Cyberは、XDRコネクタインジェスションの特権を持つインジェスション専用のロールを推奨します。 APIキーは個々のコネクタではなく、アイデンティティに関連付けられています。

API トークンを作成するには：

必要なAPIキーを作成する権限のあるアカウントを使用してStellar Cyberにログインします。
アカウント名をクリックし、プロフィールを選択します。
APIキータブで、XDRコネクタインジェスションの特権を持つアイデンティティのためにAPIトークンを作成します。
トークンをコピーし、安全に保管します。組織のローテーションポリシーに従って有効期限を選択します。Stellar Cyberは90日間の有効期限を推奨します。

ステップ 2: Stellar CyberでXDRコネクタを作成

宛先コネクタを作成するには：

システム > 統合 > エンドポイントコネクタに移動し、作成をクリックしてXDRコネクタを選択します。
ユニークなコネクタ名を入力してください。例: cato_events。
生ログ入力で、エクスポート予定のソースの代表的なCato JSONレコードを貼り付けます。マッピングするフィールドを、タイムスタンプとdata_sourceを含めます。
一般ステップで、コネクタリンクを生成し、生成してコネクタリンクをコピーをクリックします。生成されたWebhook URLを完全に保存します。
宛先のテナントを選択します。
（オプション）テナントマッピングを構成し、受信するJSON内のテナント識別子を使用してレコードをルート設定します。レコードにベンダーのテナントIDが含まれている場合、適切なマッピングテーブルを構成します。
正規化ステップで、ベンダー、ソース、ネームスペースを設定します。
ソースに一致するインデックスタイプを選択します。 Stellar Cyberはイベント用のSyslogとネットワークフロー用のトラフィックを説明します。コネクタを作成した後、この選択は変更できません。
フィールドマッピングで、タイムスタンプマッピングを有効にし、ソースフィールドとタイムスタンプ形式を選択します。このマッピングがない場合、Stellar Cyberはインジェスション時間をイベントのタイムスタンプとして使用します。
生のフィールドからStellar Cyberスキーマフィールドまたはカスタムネームスペースフィールドへのマッピングを設定します。テンプレートを使用を使用する場合は、マッピングテンプレートを使用してください。
出力を表示をクリックし、標準化されたサンプル、フィールドタイプ、タイムスタンプを確認します。
（オプションで）エンリッチメントステップでエンリッチメントを設定します。
完了 & 適用をクリックします。

展開用に生成された完全なURLを使用します。ホストされたインスタンスは通常、ポート443でHTTPSを使用します。データアナライザーの宛先は生成されたホスト名とポート8889を使用します。

ステップ3: CMAで統合を作成する

Stellar Cyber統合を作成するには：

CMAナビゲーションメニューから、リソース>統合を選択します。
設定済みの統合タブを開いて、新規をクリックします。
Stellar Cyberとデータエクスポート機能を選択します。
名前とオプションの説明を入力します。
インジェストURLには、ステップ2で生成された完全なWebhook URLを貼り付けます。
ベアラートークンには、インジェスト権限を持つAPIトークンを貼り付けます。トークンのみを入力し、CatoがBearerプレフィックスを追加します。
データソースの下で、Stellar Cyberの宛先のインデックスタイプと標準化設定に一致するソースを選択します。
（オプション）選択したソースのフィルタを設定します。フィルターをご覧ください。
保存をクリックします。

CatoはAPIトークンを暗号化して保存し、再表示しません。トークンを回転させたときに統合を更新してください。

ステップ4：取り込みと標準化の確認

CatoデータがStellar Cyberに届くことを確認するには：

CMAで設定済みの統合を開き、統合が設定中を終了し、認証や宛先エラーが表示されないことを確認します。必要に応じてページを更新します。
各設定済みデータソース用に最近のCatoイベントまたはネットワークトラフィックを生成します。
Stellar Cyberでシステム > 統合 > コネクタに移動し、XDR Connectコネクタを見つけます。
レコードが届いたら、イベントを表示をクリックします。各Catoレコードが個別に表示されることを確認します。
レコードに対して詳細情報を選択します。解析されたJSONタブにて項目を検査します。詳細タブで正規化された項目を確認します。
宛先テナント、インデックス、名前空間、およびタイムスタンプを確認します。 data_sourceが設定済みのCatoソースと一致していることを確認します。

フィルター

イベントとフローのフィルターを使用して、Stellar CyberにエクスポートされるCatoデータを制限します。これにより、取り込み量を制御し、関連する活動に関する調査に集中できます。

グループ内のフィルター条件はANDロジックを使用します。別のグループはORロジックを使用します。

イベントフィルター – 条件を定義するにはフィルターの追加をクリックし、別のフィルターグループを追加するにはグループの追加をクリックします。
フローフィルター – フローが選択されたときに利用可能です。イベントフィルターと同じグループ化ロジックを使用します。

フィルターが厳しすぎると、レコードすべてをエラーを報告せずに除外することがあります。データが届かない場合は、選択したデータソースとフィルター条件を確認してください。

既知の制限

一度Stellar Cyber XDRコネクタが作成されると、インデックスタイプと名前空間を変更することはできません。エクスポートを有効にする前に、宛先設定を選択します。
コネクタにはデフォルトの宛先テナントがあります。他のテナントへのルーティングにはテナントマッピングと、受信JSON内の適切な識別子が必要です。
Stellar Cyberは、XDR Connectを通じて取り込まれるデータに対するサードパーティのアラート統合もしくはMLベースの検出をサポートしていません。自動脅威ハンティングルールは追加の検出およびカスタムアラートを提供できます。
APIキーは、アイデンティティに基づいています。取り込み専用権限のあるトークンを使用し、ポリシーに従ってローテーションしてください。
Cato統合のリクエストボディ形式、コンテンツタイプ、または認証ヘッダーはカスタマイズできません。

トラブル解決

問題点	ソリューション
認証がHTTPプロトコル401または403で失敗します。	APIトークンが有効で、そのアイデンティティがXDR Connector Ingestion権限を持っていることを確認してください。期限切れまたは取り消し済みのトークンを置き換え、CMAにてBearer Tokenを更新してください。
宛先が到達不能またはHTTPプロトコル404を返します。	生成されたWebhookリンクを完全にコピーします。インスタンスのホスト名と、Data Analyzerの宛先に対するポート8889およびネットワーク到達可能性を確認してください。
要求が拒否されるか、個別のレコードが表示されません。	宛先の応答を検査し、影響を受けた時間範囲とエラーの詳細をCatoサポートに問い合わせてください（APIトークンを除く）。
データが誤ったインデックスまたは名前空間に到着します。	宛先のインデックスタイプと名前空間を確認してください。作成後には編集できません。正しい値を持つ宛先を作成し、対応するCato統合を更新してください。
フィールドまたはタイムスタンプが正しくありません	正規化ステップでタイムスタンプとフィールドマッピングを確認してください。代表サンプルと表示出力を使用して結果を確認します。タイムスタンプマッピングなしでは、イベントのタイムスタンプはインジェスト時間です。
統合は健康に見えますが、データは到着しません。	データソースの選択とフィルターを確認し、Catoアクティビティを生成し、デフォルトのテナントとテナントマッピング設定を確認します。
ソースが1つだけ到着します。	各Cato統合のデータソースの選択とフィルターをそのStellar宛先設定と比較します。