はじめに
人工衛星に関わるビジネスを展開しているベンチャー企業、アクセルスペースホールディングスでコーポレートIT、セキュリティエンジニアとして働いております、mizuです。
以前投稿した「セキュリティの取り組み」の記事の中で、「Netskopeを導入した」という内容に触れました。
今回の記事では、Netskopeの各種ログ(Event/Alert)をSIEMとして利用しているElastic Cloudに連携させて取り込ませる方法について説明したいと思います。
Netskopeとは
詳細は公式ホームページを参照下さい。
弊社ではいくつか存在するライセンスの内、NIA(Netskope Internet Access)を導入しており、いわゆる「https通信の可視化と制御」のために当プロダクトを導入しています。
Elastic Cloudとは
こちらも同様に詳細は公式ホームページを参照ください。
端的に言うと、SaaSで利用できるElastic Searchのプラットフォームとなります。
弊社では様々なセキュリティ製品やGoogle Workspaceなどのグループウェアの各種ログを、集約して単一のプラットフォームにて蓄積、調査、横断検索が出来るようなSIEM(ログ基盤)としてElastic Cloudを導入しています。
従来のNetskopeのログ運用について
Netskopeの管理コンソールにはEVENTS & ALERTSの項目より、Netskope上の各種イベントを検索することが標準機能として実装されています。この機能を用いることで基本的にNetskope Clientを経由したりExplicit Proxyを経由したhttps通信の内容をトレースすることが可能となります。
ただ、この検索機能は「インシデント調査」や「統計情報の調査」に用いるのは難しいと感じていました。例えば、セキュリティインシデント発生後の調査時に、他のセキュリティプロダクト(Crowdstrikeなど)のログと時系列を突き合せたり、調査するプロダクトを変更するたびに、管理コンソールや画面を切り替える必要があるからです。
そのため、トラブル対応時の調査ツールとして「SIEM」にNetskopeのログを集約することで、複数のプロダクト、ログを横断した調査を可能にしたい とかねてから考えておりました。
NetskopeとElastic Cloudの連携時のイメージ
NetskopeとElastic Cloudとの連携には、Netskope Cloud Exchange(以下CE)というツールを用いて実現することが可能です。
CE構築手順、公式ページはこちらです。CEをホスティングするプラットフォームに適した手順を参照ください。
とはいえ、公式サイトにあるCE利用時の設定手順が私には非常に複雑で、構築作業と構成の理解に非常に時間がかかりました。このブログでは詳細な構築手順の説明は割愛するとして「各プロダクトがどのように連携するのか」を整理したので紹介します。
見てわかるようにCEを使用した連携設定はかなり複雑な設定が必要となり、単純にAPIの認証情報を受け渡すだけでは完了しません。「CEを用いた連携設定にトライしてみよう」と思う方は、是非このイメージを参考に作業を進めてもらえればと思います。
ElasticとCEとの連携設定については、公式ページの案内が充実しているため、詳細はこちらを参照ください。ブログ内での詳細説明は同様に割愛します。
Elastic Cloudとの連携結果
NetskopeとElastic Cloudとの連携が正常に完了すると、Elastic CloudのコンソールにてNetskopeのログが閲覧可能となります。
実際にElastic Cloudのコンソール > Observability > Logs > Logs Explorer へ画面遷移を行い、Netskopeのeventsログを表示させた際のスクリーンショットを添付します。以下画面のように、ログが時系列(histrical)データとして閲覧が可能となりました。
また、ブログ内で案内した複数のプロダクト、ログを横断した調査についても可能になりました。以下はdataset(ログ取込元のプロダクト)を指定せずに、mail.google.comを単純にクエリフォームに入力した場合の画面です。
結果に「Netskopeのログ」に加え「Crowdstrikeのログ」も併せて表示されることが確認できます。これは複数のプロダクトを横断的に検索できたことを示します。こうした機能により、ログ調査を行う際に管理画面を切り替える手間を省き、スムーズに調査することが出来るようになります。
さらにElastic Cloudのダッシュボード機能を使う事で、複数プロダクトに関するログやアラートのサマリを、Elastic Cloud上に作成したダッシュボード上で統合して表示することも可能となります。
まとめと今後
今回のブログではNetskope(CE)とElastic Cloudとの連携設定について、設定のイメージと連携後の画面ビューとを説明させて頂きました。
NetskopeをSASE、ZTNAソリューションとして導入している組織がこの数年で増えたように認識していますが、そのログを管理、保管、連携…とSIEMソリューションと組み合わせて活用している組織はまだそれほど多くないように思っています。
ブログ内で申し上げたようにNetskopeの管理コンソールでもログは閲覧・検索が可能であるため、今回の設定のように単純に「単一プロダクトのログをSIEMに取りこんだだけ」ではそれほど意味のある取り組みにはならないと思いますが、複数プロダクトのログを取り込んでSIEMのログ統合基盤の成熟度を少しずつ醸成していくことで、インシデント対応時間の短縮や、リスク状況のレポート作成などの活用シーンが増えていくものだと考えています。
弊社においてもNetskope及びElastic Cloudを用いたSIEM活用は、いまだ道半ばとなります。
今後は取り貯めたログを「UBA(ユーザ行動分析)」に活用したり、「SOAR(Security Orchestration, Automation, and Response)製品との連携によるアクション自動化」などを取り進めたいと考えています。
本ブログがNetskopeログを運用管理する際の一助となれば幸いとなります。
Discussion