コンテンツにスキップ

Cisco Umbrellaインテグレーションガイド🔗

以下の手順は、Secureworks® Taegis™ XDR へのログ取り込みを容易にするために、Cisco Umbrellaインテグレーションを設定するためのものです。

XDR は、Umbrellaログ取り込みのために2つのインテグレーションパスをサポートしています。

Taegis IPアドレス範囲🔗

このインテグレーション用に既存のファイアウォールまたはAPIゲートウェイのIP許可リストを設定している場合、または設定を予定している場合は、お客様のTaegisリージョンに対応する以下のXDR IPアドレス範囲を追加してください。

Taegis Region IP Address Range
Charlie 216.9.204.0/24
Delta 216.9.204.0/24
Echo 216.9.205.0/24
Foxtrot 216.9.206.0/24
Golf 216.9.207.0/24
Hotel 208.89.40.0/24
India 208.89.42.0/24
Juliet 208.89.41.0/24
Kilo 208.89.43.0/24
Quebec 208.89.44.0/24

注意

これらは、XDRインテグレーションに必要な唯一のIP範囲です。以前に古いIPアドレスを設定していた場合は、30日後にそれらを削除することを推奨します。

インテグレーションから提供されるデータ🔗

正規化されたデータ 汎用的な検知 ベンダー固有の検知
Cisco Umbrella   DNS、HTTP、Netflow  

注意

XDR検知機は、データソースのログが特定の検知機に関連付けられたスキーマへ正規化されていても、必ずしもトリガーされるとは限りません。ただし、カスタム検出ルールを作成することで、データソースから正規化されたデータに基づいて検知を生成することができます。

Cisco管理のS3インテグレーションを開始する🔗

前提条件🔗

以下のタスクは、XDR でインテグレーションを開始する前に、Umbrellaコンソールで完了している必要があります。ベンダードキュメント の手順に従って、Cisco管理のS3バケットにログを記録するようUmbrellaを設定してください。

  1. Use Cisco-managed Amazon S3 storage を選択します。
  2. お客様のテナントが存在する XDR 環境に最も近い Region を選択します。
Taegis Environment AWS Region
US1 US East (Ohio)
US2 US East (Ohio)
US3 US West (Oregon)
EU1 Europe (Frankfurt)
EU2 Europe (Ireland)
  1. 任意の Retention Duration 値を選択します。
  2. Save と Continue をクリックします。

アクティベーションが完了すると、概要ページが表示されます。Data Path、Access Key、および Secret Key の値を安全な場所にコピーしてください。これらの値は、XDR でUmbrellaインテグレーションを完了するために使用されます。

重要

Data Path は次の形式である必要があります: cisco-managed-<Region>/<ID>。例: cisco-managed-us-west-1/2069997_6ff2802af17337def701c2e7816cf14913zf848a。

XDR でインテグレーションを追加する🔗

  1. Taegis Menu から、Integrations → Cloud APIs を選択します。

  2. ページ上部から Add an Integration を選択します。

    インテグレーションの追加

  3. 最適化されたインテグレーションタブから、Cisco Umbrella を選択します。

    Cisco Umbrellaインテグレーションのセットアップ

  4. 次のフィールドを入力します。

    • Taegis Integration Name — 任意の一意の文字列
    • Cisco Umbrella Access Key — 前提条件 セクションで生成
    • Cisco Umbrella Secret Key — 前提条件 セクションで生成
    • Cisco Umbrella Data Path — 前提条件 セクションで生成

  5. Done を選択します。Cloud APIインテグレーションテーブルに、正常に追加された Cisco Umbrella インテグレーションが表示されます。

お客様管理のS3インテグレーションを開始する🔗

注意

XDRへのログイン権限がない場合は、権限を持つ方にアクセスが必要な手順を手伝ってもらってください。また、Secureworks®の担当者に支援を依頼することもできます。

  1. Taegis Menu から、Integrations → Cloud APIs を選択します。

  2. ページ上部から Add an Integration を選択します。

    インテグレーションの追加

  3. 最適化されたインテグレーションタブから、AWS を選択し、次にCisco Umbrellaの下の Setup を選択します。

    Cisco Umbrellaインテグレーションのセットアップ

  4. Download CloudFormation Shared Resources を選択し、taegis-cloudformation-shared-resources.yaml として保存します。

  5. Download CloudFormation Lambda Template を選択し、taegis-cloudformation-lambda-template.yaml として保存します。

  6. Download Lambda を選択します。ファイル名は taegis-lambda-amd64.zip である必要があります。

  7. Download Credentials を選択します。

  8. すべてのファイルをダウンロードしたら、Create を選択します。

Cisco Umbrella用のS3バケットを作成する🔗

  1. Cisco Umbrellaドキュメントの Enable Logging to Your Own S3 Bucket の手順に従います。
  2. 作成したバケットは、CloudFormationテンプレート内の NotificationBucket パラメーターになります。

Lambda実行ファイルとCloudFormationテンプレートをS3にアップロードする🔗

  1. 対象リージョンのAWSコンソール（例：https://us-east-1.console.aws.amazon.com/cloudformation）に、ロール、Lambda、シークレット、ポリシーの作成権限を持つアカウント、またはこれらの権限を持つロールを引き受けられるロールでログインします。

  2. ストレージセクションで、S3を選択します。

  3. Lambda実行ファイルおよび必要に応じてCloudFormationテンプレートを保存するための新しいバケットを作成するか、既存のバケットを探します。バケットはパブリック、バージョン管理、暗号化されている必要はありません。

  4. Lambdaのtaegis-lambda-amd64.zipをバケットのルートにアップロードし、バケット名を控えておきます。

  5. 必要に応じて、taegis-cloudformation-shared-resources.yamlおよびtaegis-cloudformation-lambda-template.yamlも同じバケットにアップロードします。

    ヒント

    バケット名とキー（プレフィックスを含む）を控えておいてください。これらの識別子はスタック作成時に必要となります。

Lambda展開を含む各AWSリージョンに共有リソーススタックを作成する🔗

重要

共有リソーススタック（ステップ1～11）は、AWSリージョンごとに一度だけデプロイする必要があります。

  1. 対象リージョンのAWSコンソール（例：https://us-east-1.console.aws.amazon.com/cloudformation）に、ロール、Lambda、シークレット、ポリシーの作成権限を持つアカウント、またはこれらの権限を持つロールを引き受けられるロールでログインします。
  2. 管理とガバナンスセクションでCloudFormationを選択します。

  3. Create Stackを選択し、提供されたtaegis-cloudformation-shared-resources.yamlテンプレートを使用して新しいスタックを作成します。

    注意

    CloudFormationを選択した際、次の画像のようなCloudFormationスタックの一覧が表示される場合があります。その場合は、Create StackのドロップダウンからWith new resources (standard)を選択してください。

    新しいスタックの作成

  4. Prepare TemplateセクションでTemplate is readyを選択します。

  5. Specify TemplateセクションでAmazon S3 URLまたはUpload a template fileを選択します。

  6. Amazon S3 URLを選択した場合は、事前に取得したCloudFormationオブジェクトのURLをAmazon S3 URLフィールドに入力します。例： https://cwl-poc.s3.amazonaws.com/taegis-cloudformation-shared-resources.yaml

    URLを見つけるには、S3サービスに移動し、taegis-cloudformation-shared-resources.yamlファイルをアップロードしたS3バケットを開きます。CloudFormationテンプレートを選択し、Copy URLをクリックしてください。

    CloudFormation URLのコピー

  7. Nextを選択します。

  8. 適切なスタック名を入力します。

    注意

    スタック名にはスペースを使用できません。

  9. credentials.txtファイルの内容をSecretValueフィールドに入力します。

  10. XDRログインURLに基づいて正しいTaegisRegionを選択します。たとえば、https://ctpx.secureworks.com/login を利用している場合はctpx、https://foxtrot.taegis.secureworks.com/ を利用している場合はfoxtrotを選択します。
  11. Nextを選択します。
  12. Configure stack optionsページでは、デフォルトの選択と値をそのまま使用できます。Nextを選択します。
  13. Review and createページでSubmitを選択します。

Lambdaスタックを作成する🔗

注意

AWS Lambda関数は、Taegis™ XDR APIと通信するために、以下の2つのシークレットトークンを使用します。

  • 10時間ごとに有効期限が切れ、XDRによってローテーションされる短期間有効なトークン
  • 有効期限のない長期間有効な認証情報
  1. 権限を持つアカウント（ロール、Lambda、シークレット、ポリシーの作成権限があるアカウント、またはこれらの権限を持つ別のロールを引き受けられるロール）で、対象リージョンのAWSコンソール（例：https://us-east-1.console.aws.amazon.com/cloudformation）にログインします。
  2. 管理とガバナンスセクションで、CloudFormationを選択します。

  3. スタックの作成を選択します。

    注意

    CloudFormationを選択した際、以下の画像のようにCloudFormationスタックの一覧が表示される場合があります。その場合は、Create Stackドロップダウンを選択し、With new resources (standard)を選択してください。

    Create New Stack

  4. テンプレートの準備 セクションで、テンプレートの準備完了を選択します。

  5. テンプレートの指定 セクションで、Amazon S3 URLを選択するか、テンプレートファイルのアップロードを選択します。

  6. Amazon S3 URLを選択した場合は、事前に取得したCloudFormationオブジェクトのURLをAmazon S3 URLフィールドに入力します。例： https://cwl-poc.s3.amazonaws.com/taegis-cloudformation-lambda-template.yaml

    URLを見つけるには、S3サービスに移動し、taegis-cloudformation-lambda-template.yamlファイルがアップロードされたS3バケットを開きます。CloudFormationテンプレートを選択し、URLのコピーボタンをクリックします。

    Copy CloudFormation URL

  7. 次へを選択します。

  8. 適切なスタック名を入力します。

    注意

    スタック名にスペースは使用できません。

  9. ドロップダウンからIntegrationTypeを選択します。これはNotificationBucket内のログオブジェクトの種類を示します。複数の種類がある場合や不明な場合は、genericを選択してください。

    Update Lambda Stack Integration Type

  10. NotificationBucketフィールドには、ログが格納されているバケット名（URLやURIではなく）を入力します。

  11. （オプション）今後S3通知の代わりにSNS通知を使用したい場合は、SNSNotificationarnフィールドに適切な値を入力します。
  12. （オプション）NotificationBucketCustomerManagedKMSarnに、NotificationBucket内のオブジェクトを暗号化しているKMSキーARNを追加したい場合は、適切な値を入力します。KMSキーのポリシーには「IAMユーザー権限の有効化」が必要です。そうでない場合は、Lambda ARNをKMSキーに追加できます。
  13. TaegisLambdaS3BucketNameフィールドには、事前にアップロードしたLambdaが格納されているS3バケット名を入力します。
  14. LambdaEnvKMSarnフィールドは空のままで構いません。値を入力する場合、KMSキーには「IAMユーザー権限の有効化」が必要です。
  15. EnableObjectTaggingフィールドをtrueに設定すると、処理済みオブジェクトのタグ付けが有効になります。詳細はAWS Lambdaライフサイクルポリシー管理を参照してください。
  16. 残りのフィールドはデフォルトのままで構いません。
  17. 次へを選択します。

残りのスタックオプションを完了する🔗

  1. スタックオプションの設定ページは任意です。
  2. 次へを選択します。

  3. すべてのパラメータを確認します。ステップ9からステップ15で指定したすべてのフィールドに有効な値が入力されていることを確認してください。

    Review Lambda Parameters

  4. AWS CloudFormationがIAMリソースを作成する可能性があることを承認しますのチェックボックスを選択し、送信を選択します。

  5. 少なくとも30秒待ってから、更新ボタンを選択します。処理には1分以上かかる場合があります。スタックのステータスがCREATE_COMPLETEになれば処理は完了です。セットアップセクションでダウンロードした_client_id_と_client_secret_が記載されたcredential.txtファイルは破棄してください。これらの値はAWS SecretsManagerに保存されました。

Lambdaトリガーの追加🔗

  1. AWSコンソールでLambdaサービスに切り替えます。
  2. 名前で新しいLambdaを探します。デフォルト名は{STACKNAME}-scwx-tdr-lambda-{INTEGRATIONTYPE}です。例：ct-demo-scwx-tdr-lambda-awscloudtrail
  3. Lambda名を選択します。そのLambdaの編集ページが表示されます。
  4. 関数の概要セクションを展開し、トリガーの追加を選択します。
  5. トリガー設定エディターでドロップダウンメニューからS3を選択します。オプションで、事前に作成したトピックで設定されたSNSトリガーを使用することもできます。
  6. バケットオプションから、ログが格納されているバケットを見つけて選択します。
  7. イベントタイプオプションからすべてのオブジェクト作成イベントを選択します。
  8. プレフィックスフィールドに、ログが格納されているバケットのプレフィックスを入力します。プレフィックスを使用しない場合は空欄のままにします。
  9. サフィックスフィールドは空欄のままにします。
  10. Lambda関数のコスト影響を承認するためのチェックボックスをオンにします。
  11. 追加を選択します。そのLambdaの設定ページが再度表示されます。トリガーの追加が成功したことを示すメッセージが上部に表示されます。例：The trigger wmikeking was successfully added to function Logs-TDR-Upload

  12. これで関数はトリガーからイベントを受信するようになりました。

    重要

    AWS Lambda同時実行ガイダンス🔗

    Taegis XDR CloudFormationテンプレート（taegis-cloudformation-lambda-template.yaml）で設定されるReserved Concurrency値は5です。Lambdaの同時実行や、お客様の環境に適した値の計算については、AWSドキュメントのLambda関数のスケーリングを参照してください。

    同時実行数の計算に使用する値の特定については、以下のAWSドキュメントを参照してください。

    AWS同時実行制限🔗

    Lambda実行時にRate Exceededエラーが表示された場合は、AWSにクォータ増加をリクエストして同時実行制限を引き上げる必要があります。詳細はAWSドキュメントのLambdaクォータを参照してください。

    AWS Lambda Concurrent Execution Limit Error

検証手順🔗

  1. Lambdaランタイム設定を確認します。Runtime値は Amazon Linux 2上のカスタムランタイム である必要があります。

    Verify Lambda Runtime Settings

  2. AWS Lambdaログのテストを参照し、AWSコンソールで統合用のAWS Lambda関数が動作しているかテストを設定して確認します。

  3. AWSコンソールでインストール済みのLambda関数に移動します。エラーがある場合は、エラーの修正を選択します。

    Fix Lambda Errors

  4. AWS Lambdaログの表示を参照し、AWS Lambda関数によって生成されたログを表示してアップロードが成功しているか確認します。これは、S3バケットに新しいデータが公開されていることを前提に、トリガーが動作していることを検証します。

    {"level":"debug","time":"2023-11-15T19:27:19Z","message":"Uploading data to s3"}

既存のインテグレーション設定ファイルをダウンロードする🔗

多くのリージョンにインテグレーションを追加する必要がある場合や、インテグレーションを完全にやり直す必要がある場合は、既存のインテグレーションファイル一式（テンプレート、Lambda、認証情報ファイルを含む）をいつでもダウンロードできます。

  1. Taegis XDRメニューから、インテグレーション → クラウドAPI に移動します。
  2. クラウドAPIインテグレーション テーブルから、やり直しまたは修正したいインテグレーションの行にあるアクション列のダウンロードアイコンをクリックします。

  3. インテグレーションのダウンロード アイコンを選択します。ダウンロードパネルが表示されます。

    既存のインテグレーションファイルのダウンロード

  4. 必要なファイルをダウンロードしてください。

Umbrellaログの一元管理🔗

Ciscoの MSP、MSSP、およびマルチ組織のお客様向け Amazon's S3 service を使用した Centralized Umbrella Log Management に対するアプローチの詳細をご覧ください。