Oracle Cloud Infrastructure (OCI) インテグレーションガイド🔗

以下の手順は、Secureworks® Taegis™ XDR へのログ取り込みを容易にするために、Oracle Cloud Infrastructure (OCI) インテグレーションを設定するためのものです。XDR は、OCI Streaming Service を介して OCI からログを取り込みます。

前提条件🔗

続行する前に、以下の前提条件が満たされていることを確認してください。

任意 & 推奨: XDR インテグレーション専用のユーザーアカウントを作成する
OCI Stream を作成する
Service Connector を使用して OCI ログが Stream に公開されるよう設定する

重要

このガイドでは、セットアップを開始する前に、これらの前提条件の手順が完了していることを前提としています。

サポートされる OCI ログタイプ🔗

以下のリストを使用して、OCI ログタイプと、そのログタイプに関する対応する Oracle ドキュメントを確認してください。

Taegis IPアドレス範囲🔗

このインテグレーション用に既存のファイアウォールまたはAPIゲートウェイのIP許可リストを設定している場合、または設定を予定している場合は、お客様のTaegisリージョンに対応する以下のXDR IPアドレス範囲を追加してください。

Taegis Region	IP Address Range
Charlie	`216.9.204.0/24`
Delta	`216.9.204.0/24`
Echo	`216.9.205.0/24`
Foxtrot	`216.9.206.0/24`
Golf	`216.9.207.0/24`
Hotel	`208.89.40.0/24`
India	`208.89.42.0/24`
Juliet	`208.89.41.0/24`
Kilo	`208.89.43.0/24`
Quebec	`208.89.44.0/24`

注意

これらは、XDRインテグレーションに必要な唯一のIP範囲です。以前に古いIPアドレスを設定していた場合は、30日後にそれらを削除することを推奨します。

インテグレーションから提供されるデータ🔗

	正規化されたデータ	汎用的な検知	ベンダー固有の検知
Oracle Cloud Infrastructure (OCI)	CloudAudit	HTTP, Netflow	NIDS, Thirdparty

注意

XDR検知機は、データソースのログが特定の検知機に関連付けられたスキーマへ正規化されていても、必ずしもトリガーされるとは限りません。ただし、カスタム検出ルールを作成することで、データソースから正規化されたデータに基づいて検知を生成することができます。

推奨プラクティス🔗

ログ記録用の専用ドメイン、コンパートメント、およびグループを作成する🔗

最小権限の原則に従うことを強く推奨します。ユーザーに必要な唯一の権限は、Oracle stream からデータを取得するための stream-pull です。

XDR インテグレーション用に、専用の User、Compartment、Domain、および Group を作成できます。

ログ記録用の専用ユーザーを作成する🔗

ログ記録用に新しいユーザーを作成します。デフォルトでは、新しいユーザーには権限がありません。後で、そのユーザーを上記で作成したユーザーグループに追加できます。以下に示すように、ユーザーグループに対して stream-pull 権限を許可するために、以下に示すものと同様の新しいポリシーを作成できます。

OCI Stream を作成する🔗

OCI Streams に移動し、新しい Stream を作成します。

OCI Stream の作成
Stream Pool を選択し、OCID 値をコピーします。

値の例: ocid1.streampool.oc1.ap-acme-1.ambbbbbbbbbbbeiadnkcxdp6f2vx5glmsihhme6n7ks7iiyz2prh123456789

Stream Pool ID をコピー

Service Connector を作成する🔗

OCI Console にアクセスします。
- ナビゲーションメニューを開き、Analytics & AI を選択します。
- Messaging の下で、Connector Hub を選択します。
Connector の作成を開始します。
- Create Connector を押してプロセスを開始します。
基本情報を定義します。
- コネクターの Display Name を指定します。
- コネクターを配置する Compartment を選択します。
ソースとターゲットを設定します。
- データのソースを指定します。たとえば、Streaming ソースを使用する場合は、関連するストリーミングの詳細を JSON 形式で入力する必要があります。
- データの送信先となるターゲットサービスを定義します。これは、Logging Analytics、Object Storage、または別のサービスです。
任意のパラメーターを設定します。
- 必要に応じて、整理および管理をしやすくするためにコネクターにタグを割り当てることができます。
Connector を作成します。
- 設定を確認し、Create を選択して service connector の作成を完了します。
データフローを確認します。
- コネクターを作成した後、コネクターのログを有効にし、ターゲットサービスで想定される結果を確認して、データがアクティブに移動していることを確認します。
重要

Service Connector に Stream への書き込み権限があることを確認してください。ポリシーの例を以下に示します。

Service Connector ポリシー

XDR で OCI インテグレーションを完了する🔗

Taegis Menu から、インテグレーション → クラウドAPI を選択します。
ページ上部から インテグレーションの追加 を選択します。

インテグレーションの追加
最適化された タブから、Oracle Cloud Infrastructure を選択します。
以下の値を入力します。
- Taegis Integration Name — これはインテグレーションの一意の名前として機能します。100 文字以内の任意の有効な値を含めることができます。
- Username — このインテグレーション用に作成したユーザーアカウント。
- Auth Token — ユーザーアカウントに関連付けられた認証トークン。
- Stream Pool ID — OCI Stream を作成するセクションでコピーした Stream Pool ID
- Tenant Name — OCI テナント名。追加情報セクションを参照してください。
- Topic Name — Topic Name は Stream 名と同じです。
- Region — OCI のリージョン値は、Oracle のドキュメントサイトで参照できます。
OCI インテグレーションの完了
完了を選択します。Cloud API インテグレーションページに、正常に追加された OCI インテグレーションが表示されます。

追加情報🔗

Tenant Name を取得する🔗

ネストされたコンパートメント🔗

Streaming topic がネストされた Compartment 内にある場合（たとえば、tenancy1/compartment1/compartment2/compartment3）、Compartment 名を Tenant Name 値の一部として含める必要はありません。この場合、XDR の Tenant Name として tenancy1 を使用します。

フェデレーションユーザー🔗

フェデレーションユーザーを使用している場合、OracleIdentityCloudService という名前のデフォルト Compartment が作成されます。この場合、テナント名の後に Compartment 名を続ける必要があります。以下の例を参照してください。

例

Tenancy: acme
Compartment: OracleIdentityCloudService
Policy statement:
Allow group 'OracleIdentityCloudService'/streamreaders to use stream-pull on tenancy acme
Tenant Name: XDR インテグレーションでは acme/OracleIdentityCloudService