CLIで外部カスタムインテリジェンスフィードをインポートする
外部ソースから脅威指標フィードを直接Security Gatewayにインポートすることができます。初めてフィードをインポートしてポリシーをインストールした後、ファイルが更新されるたびに、Security Gatewayは自動的にインジケータ
運用中のサイバー領域で観察可能な悪意ある活動のパターン。それをどのように解釈し、どのように対処するかについての関連情報を含みます。ーファイルを取り込み、実施します。Security Gatewayは、HTTPまたはHTTPSでファイルをインポートするか、ローカルのファイルまたはフォルダから読み込むことでインポートする。
|
|
重要- 各セキュリティゲートウェイ |
カスタム・インテリジェンス・フィードは、STIX Structured Threat Information eXpression™（構造化脅威情報エクスプレッション）。サイバー脅威情報を標準化および構造化された方法で記述するための言語。 XML（STIX 1.0）ファイル、チェック・ポイント形式のCSVファイル、およびその他の形式のCSVファイルを自動でサポートします。
Check Point CSV 形式とは異なる CSV 形式で Threat Indicator ファイルをインポートする場合は、このセクションで説明する構文ルール 通信セッションに対して指定されたアクションが実行されるようにする、ルールベース内のトラフィックパラメータおよびその他の条件のセット。に従ってください。
構文ルール
-
対応するObservableは以下のとおりです。名前、値、タイプ、信頼度、深刻度、製品、コメント。
-
ファイルのフォーマット、デリミタ、スキップするコメント行を定義します。
--formatを使い、角括弧の中にObservableを指定します。オリジナルファイルで無視する内容には、
--commentを使用します。注 -
--formatの角括弧内に指定されたコメントは、元のファイルから取得されます。--commentの角括弧内の内容は無視されます。 -
ValueとTypeのObservableは必須です。
-
Value observableは、オリジナルファイル内の位置に応じて指定されます。
#<location_of_item>.例：
CSVの行の3番目にValue observableがある場合、入力してください。
--format [value:#3] -
その他のObservableについては、元のファイル内の位置を入力するか、その値を指定します。
例えば、Type observableの値をCSVの各行で指定されたドメインにしたい場合は、次のように入力します。
--format [type:domain] -
フィードのリソースがリモートソース (transport equals HTTP または HTTPS) の場合、フィードを取得するたびに、このフィードに指定された形式に従ってパースされます。
例
オリジナルのCSVファイルは、ドメインのリスト
# This list consists of High Level Sensitivity website URLs
|
オリジナルのCSVファイルは、ドメインのリスト
|
|
このコマンドを入力すると、Security Gatewayはすべての行の最初の場所で指定されたドメインを取り、# とSite という単語で始まるものは無視されます。
|
|
これは、オリジナルのCSV ファイルです。
|
|
このコマンドを入力すると、Security GatewayはIPアドレスを行の3番目から、コメントを行の2番目から取り、#で始まるすべての内容を無視します。
|
|
カスタムインテリジェンスフィードについて詳しくは、sk132193をご覧ください。
