CatoデータをTrendAIと統合する

概観

TrendAIインテグレーションを使用して、CatoネットワークおよびセキュリティデータをTrendAI Vision One Agentic SIEM内の他のセキュリティデータと一緒に分析します。ネイティブインテグレーションはデータをHTTPSでTrendAI HTTPイベントコレクターに送信し、SOCがCatoレコードを検索し、監視と調査のワークフローに使用できるようにします。

Cato管理アプリケーション（CMA）でインテグレーションを設定します。 CatoはContent-Type: application/jsonでJSON配列を送信し、TrendAIで生成されたベアラートークンで認証します。

TrendAIデータソース

イベント、フロー、または両方を選択できます。

• イベント: ポリシー一致、脅威、接続性の変更、監査アクティビティなどのネットワークおよびセキュリティ活動の記録。

• フロー: アプリケーションとユーザーのコンテキストを追加し、バイト、パケット、期間のような集約されたセッションの詳細を持つネットワークフローレコード。

各レコードには、値eventsまたはflowsのdata_sourceフィールドが含まれています。フローデータは、トラフィックに応じて、イベントデータよりも大幅に多くのボリュームを生成することがあります。

必須条件

• CMAのリソースセクションのインテグレーションに対するエディター権限。詳細については、RBACを使用した管理者ロールの管理を参照してください。

• Agentic SIEMを持つTrendAI Vision Oneテナントで、リポジトリとHTTPイベント収集コレクターの設定を許可する権限。

• サードパーティデータの取り込みと必要な保持のための十分なAgentic SIEMクレジット。

• イベントインテグレーションの始め方で説明されている前提条件とIP許可リストが必要です。

ユースケース

これらの例は、関連するデータソースが取り込まれており、レコードを相関させるために使用される項目が一貫して解析されることを前提としています。

イベント

TrendAIエンドポイントアラートから始めて、XDRデータエクスプローラーで一致するホスト、IPアドレス、時間情報を検索し、関連するネットワーク活動を調査します。

フロー

エンドポイントアラートの周りのCatoフローを確認して、ホストがどの宛先と連絡を取り、どれだけのデータを転送したかを評価します。

TrendAI統合の作成

TrendAIのリポジトリでHTTPイベント収集コレクタを作成し、curlでそのエンドポイントをテストした後、エンドポイントのURLとJWTトークンを使用してCMAで統合を設定します。

ステップ1: TrendAIでHTTPイベントコレクタを作成する

TrendAIの宛先を準備する:

1. TrendAI Vision Oneにログインし、Agentic SIEM & XDR > データソースとログ管理 > サードパーティのログリポジトリに移動します。

2. ログリポジトリを作成するか、既存のものを開く。データ使用の計画に合った取り込みと保持設定を選択します。

   作成後のリポジトリの取り込みタイプは変更できません。分析取り込みは分析、相関、および脅威ハンティングをサポートし、アーカイブ取り込みはまれなクエリと保持要件を対象としています。

3. リポジトリパネルでコレクタタブを開き、コレクタを追加をクリックします。

4. Catoデータのベンダーと製品を選択し、ログフォーマットをJSONとして選択し、ログで使用されているタイムゾーンを選択します。

5. コレクタの名前と説明を入力します。

6. 方法としてHTTPイベント収集を選択し、生成された/hecエンドポイントURLをコレクタ用にコピーします。

7. 追加 をクリック。

8. JWTトークンを生成する画面で、有効期限を選択してトークンを生成をクリックします。

9. トークンをコピーして安全に保管し、閉じるをクリックします。

10. リポジトリのコレクタタブで、コレクタ詳細とエンドポイントURLを確認します。

ステップ2: curlでエンドポイントをテストする

CMAで統合を設定する前に、TrendAIに直接テストリクエストを送信します。これにより、Catoの統合からエンドポイントと認証の問題を分離することができます。

エンドポイントをテストするには:

1. ステップ1で生成された完全な/hecエンドポイントURLを使用し、例のURLの代わりにします。隠れたプロンプトでコレクタのJWTトークンを入力します。

2. サンプルのタイムスタンプを現在のUTC時刻に更新し、次のコマンドを実行します。

   インタラクティブなBashシェルで全体の例を実行します（必要に応じて最初にbashを実行）。隠れたプロンプトで認証情報を入力します。コマンドに挿入しないでください。例では、シェルトレースを無効化し、--header @-を使用して、標準入力を介して認証ヘッダーを渡します。これにより、認証情報がシェル履歴やcurlコマンドライン引数に残りません。例が終了すると、一時的な認証情報の変数は破棄されます。

   (
     set +axv
     set -euo pipefail
     unset CATO_TEST_TOKEN
     IFS= read -r -s -p 'TrendAI JWTトークン: ' CATO_TEST_TOKEN
     builtin printf '\n' >&2
     case "$CATO_TEST_TOKEN" in
       ''|*$'\r'*) builtin printf '空ではない認証情報をキャリッジリターンなしで入力してください。\n' >&2; exit 1 ;;
     esac
   
     builtin printf '%s\n' "Authorization: Bearer ${CATO_TEST_TOKEN}" | \
       curl -q --fail --show-error --include --max-time 30 -X POST 'https://<api-fqdn>/ingest/api/v1/third_party_log/hec' \
     --header @- \
     -H "Content-Type: application/json" \
     -d '[{"timestamp": "2026-04-07T10:00:03Z", "msg": "json log line 1"},{"timestamp": "2026-04-07T10:00:05Z", "msg": "json log line 2"}]'
   )

3. HTTPレスポンスでエラーを確認します。リクエストが成功すると、HTTP 2xxステータスが返されます。

4. TrendAIで、宛先リポジトリ内のjson log line 1とjson log line 2を検索します。両方のレコードが個別に表示されることを確認します。

このテストは、宛先がサンプルリクエストを受け入れるかどうかを確認します。以下の統合設定後、Catoデータおよび解析を確認します。

ステップ3: CMAで統合を作成する

TrendAI統合を作成するために：

1. CMAナビゲーションメニューから、リソース > 統合に移動します。

2. 設定済みの統合タブを開き、新規をクリックします。

3. TrendAIとデータエクスポート機能を選択します。

4. 名前と任意の説明を入力します。

5. インゲッションURLには、TrendAIコレクタから生成された完全な/hecエンドポイントURLを貼り付けます。

6. Bearerトークンには、コレクタのJWTトークンを貼り付けます。トークンのみを入力します。CatoがBearerプレフィックスを追加します。

7. データソースで、イベント、フローまたはその両方を選択します。

8. （オプション）イベントとフローフィルタを設定して、送信されるレコードを制御します。フィルターを参照。

9. 保存をクリックします。

Catoはトークンを暗号化して保存し、再表示は行いません。 JWTトークンを交換するときに統合を更新します。

Catoは、Authorization: Bearer <token> ヘッダーを使用してJWTで認証します。

ステップ4: インゲッションと解析を確認

CatoデータがTrendAIに到着することを確認するために：

1. CMAで、統合ステータスを確認します。必要に応じてページを更新し、認証または宛先エラーを確認します。

2. TrendAIで、リポジトリを開き、コレクタステータスとインゲッション情報を確認します。

3. 各選択したデータソースに対して、最新のCatoイベントまたはネットワークトラフィックを生成する。

4. XDR Data Explorerを開いて、特定の値またはdata_sourceフィールドを使用して最新のCatoレコードを検索します。取り込みには数分かかる場合があります。

5. レコードが個別に表示され、そのタイムスタンプと解析されたフィールドがCatoアクティビティと一致していることを確認します。各選択されたソースに対して、対応するeventsまたはflowsの値を確認してください。

フィルター

イベントとフローフィルターを使用して、TrendAIにエクスポートされるCatoデータを制限します。これにより、取り込み量を制御し、関連する活動に調査を集中させるのに役立ちます。

グループ内のフィルター条件はANDロジックを使用します。別のグループはORロジックを使用します。

• イベントフィルタ: フィルタの追加をクリックしてコンディションを定義するか、グループの追加をクリックして別のフィルタグループを追加します。

• フローフィルター: フローが選択されたときに利用可能です。イベントフィルタと同じグループロジックを使用します。

フィルタが厳格すぎる場合、エラーを報告せずにすべてのレコードを除外することがあります。データが到着しない場合は、選択されたデータソースとフィルタ条件を確認してください。

確認された制限事項

• サードパーティのデータ取り込みはAgentic SIEMクレジットを使用します。デフォルト期間を超える保持には追加クレジットが必要です。

• リポジトリの取り込みタイプは作成後に変更できません。異なる取り込みタイプを使用するには、別のリポジトリを作成します。

• JWTトークンが期限切れまたは取り消された場合、CMAでトークンを更新するまで配信が停止します。

• Cato統合のリクエストボディフォーマット、コンテンツタイプ、または認証ヘッダーをカスタマイズすることはできません。

トラブル解決

追加リソース

• TrendAI: HTTPイベント収集

• TrendAI: リポジトリ