دمج ThreatConnect مع Umbrella

المقدمة

يوضح هذا المستند كيفية دمج ThreatConnect مع Cisco Umbrella.

المتطلبات الأساسية

المتطلبات

توصي Cisco بأن تكون لديك معرفة بالمواضيع التالية:

• لوحة معلومات ThreatConnect لها حق الوصول لتحديث عنوان URL الخاص بعمليات التكامل

• الحقوق الإدارية للوحة معلومات المظلة

• يجب تمكين تكامل ThreatConnect للوحة معلومات Umbrella.

المكونات المستخدمة

تستند المعلومات الواردة في هذا المستند إلى Cisco Umbrella.

تم إنشاء المعلومات الواردة في هذا المستند من الأجهزة الموجودة في بيئة معملية خاصة. بدأت جميع الأجهزة المُستخدمة في هذا المستند بتكوين ممسوح (افتراضي). إذا كانت شبكتك قيد التشغيل، فتأكد من فهمك للتأثير المحتمل لأي أمر.

نظرة عامة على تكامل ThreatConnect و Cisco Umbrella

من خلال دمج ThreatConnect مع Cisco Umbrella، أصبح بإمكان موظفي الأمان والمسؤولين الآن توفير الحماية ضد التهديدات المتقدمة لأجهزة الكمبيوتر المحمولة أو أجهزة الكمبيوتر اللوحية أو الهواتف التي تعمل على التجوال، مع توفير طبقة أخرى من الإنفاذ لشبكة شركة موزعة في نفس الوقت.

يوضح هذا الدليل كيفية تكوين ThreatConnect للاتصال ب Umbrella حتى يتم دمج أحداث الأمان من ThreatConnect TIP في السياسات التي يمكن تطبيقها على العملاء المحميين بواسطة Cisco Umbrella لديك.

ملاحظة: يتم تضمين تكامل ThreatConnect فقط في حزمة Cisco Umbrella معينة. إذا لم يكن لديك حزمة تتضمن هذا التكامل، فيرجى الاتصال بممثل Cisco Umbrella للحصول عليها. إذا كانت لديك الحزمة الصحيحة ولم تكن ترى ThreatConnect على أنه تكامل للوحة المعلومات الخاصة بك، فيرجى الاتصال بدعم Cisco Umbrella.

يرسل النظام الأساسي ThreatConnect معلومات التهديد الإلكتروني التي وجدها، مثل المجالات التي تستضيف البرامج الضارة، أو الأوامر والتحكم في مواقع برامج التصحيح أو التصيد الاحتيالي، إلى Umbrella.

ثم تقوم Umbrella بالتحقق من صحة التهديد لضمان إمكانية إضافته إلى إحدى السياسات. في حالة التأكد من أن المعلومات الواردة من ThreatConnect تمثل تهديدا، تتم إضافة عنوان المجال إلى قائمة وجهة ThreatConnect كجزء من إعداد أمان يمكن تطبيقه على أي نهج Umbrella. يتم تطبيق هذا النهج على الفور على أي طلبات يتم إجراؤها من الأجهزة التي تستخدم سياسات مع قائمة الوجهة ل ThreatConnect.

ومن الآن فصاعدا، تقوم Umbrella تلقائيا بتحليل تنبيهات ThreatConnect وإضافة مواقع ضارة إلى قائمة وجهات ThreatConnect، مما يعمل على توسيع حماية ThreatConnect إلى جميع المستخدمين والأجهزة البعيدة وتوفير طبقة أخرى من الإنفاذ إلى شبكة شركتك.

تلميح: بينما تحاول Umbrella جاهدة التحقق من صحة المجالات المعروفة بأنها آمنة بشكل عام والسماح بها (على سبيل المثال، Google و Salesforce)، لتجنب أي مقاطعات غير مرغوب فيها، تقترح Umbrella إضافة أي مجالات لا تريد حظرها إلى قائمة السماح العالمية أو قوائم الوجهة الأخرى وفقا لسياستك. الأمثلة تتضمن:

• الصفحة الرئيسية لمؤسستك. على سبيل المثال، mydomain.com.
• المجالات التي تمثل الخدمات التي توفرها والتي يمكن أن تحتوي على كل من السجلات الداخلية والخارجية. على سبيل المثال، mail.myservicedomain.com و portal.myotherservicedomain.com.
• تطبيقات الشبكات الأقل شهرة التي تعتمد عليها بشكل كبير ولكن هذه Umbrella ليست على علم بالتحقق التلقائي من صحة المجال أو ضمها إليه. على سبيل المثال، localcloudservice.com.

يتم العثور على قائمة السماح العمومي في السياسات > قوائم الوجهة في Umbrella. راجع الوثائق للحصول على مزيد من المعلومات: إدارة قوائم الوجهة

تكوين لوحة معلومات Umbrella لتلقي الأحداث من ThreatConnect

ابدأ بالعثور على عنوان URL الفريد الخاص بك في Umbrella لجهاز ThreatQ للاتصال ب:

1. قم بتسجيل الدخول إلى لوحة معلومات Umbrella.

2. انتقل إلى السياسات > عمليات التكامل.

3. في الجدول، حدد ThreatConnect لتوسيع نطاقه.

4. حدد تمكين، ثم حدد حفظ. يقوم هذا بإنشاء عنوان URL فريد ومحدد لمؤسستك ضمن Umbrella.

تحتاج إلى عنوان URL لاحقا في هذه المقالة عندما تقوم بتكوين ThreatConnect لإرسال البيانات إلى Umbrella.

تكوين ThreatConnect للاتصال بالمظلة

لبدء إرسال حركة مرور البيانات من ThreatConnect إلى Umbrella، يلزمك تكوين ThreatConnect باستخدام معلومات عنوان URL التي تم إنشاؤها في القسم الأول من هذه المقالة:

1. سجل الدخول إلى لوحة معلومات ThreatConnect الخاصة بك.

2. أضف عنوان URL في المنطقة المناسبة للاتصال ب Umbrella.

تختلف التعليمات الدقيقة، وتقترح Umbrella الاتصال بدعم ThreatConnect إذا كنت غير متأكد من كيفية أو مكان تكوين عمليات تكامل واجهة برمجة التطبيقات (API) داخل ThreatConnect.

مراقبة الأحداث المضافة إلى فئة أمان ThreatConnect في وضع التدقيق

مع مرور الوقت، يمكن أن تبدأ الأحداث من لوحة معلومات ThreatConnect الخاصة بك في ملء قائمة وجهة محددة يمكن تطبيقها على السياسات كفئة أمان ThreatConnect. بشكل افتراضي، تكون القائمة الوجهة وفئة الأمان في وضع التدقيق، مما يعني أنهما لا يتم تطبيقهما على السياسات ولا ينتج عنهما أي تغيير في سياسات Umbrella الموجودة.

ملاحظة: يمكن تمكين وضع التدقيق لأي مدة زمنية تكون ضرورية استنادا إلى ملف تعريف النشر وتكوين الشبكة لديك.

مراجعة قائمة الوجهة

يمكنك مراجعة قائمة وجهة ThreatConnect في Umbrella في أي وقت:

1. في لوحة المعلومات Umbrella، انتقل إلى السياسات > عمليات التكامل.

2. في الجدول، قم بتوسيع ThreatConnect وحدد راجع المجالات.

مراجعة إعدادات التأمين لنهج ما

يمكنك مراجعة إعداد الأمان الذي يمكن تمكينه لنهج في أي وقت:

1. في لوحة المعلومات Umbrella، انتقل إلى السياسات > إعدادات التأمين.

2. حدد إعداد أمان في الجدول لتمديده.

3. قم بالتمرير إلى عمليات التكامل لتحديد موقع إعداد ThreatConnect.

115014036566

4. يمكنك أيضا مراجعة معلومات التكامل من خلال صفحة ملخص إعدادات التأمين.

25464103885972

تطبيق إعدادات أمان ThreatConnect في وضع الحظر على سياسة للعملاء الذين تتم إدارتهم

بمجرد أن تكون مستعدا لفرض تهديدات الأمان الإضافية هذه من قبل العملاء الذين تتم إدارتهم بواسطة Umbrella، قم ببساطة بتغيير إعداد الأمان في نهج موجود أو قم بإنشاء نهج جديد يعلو النهج الافتراضي الخاص بك لضمان فرضه أولا:

1. انتقل إلى السياسات > إعدادات التأمين.

2. ضمن عمليات التكامل، حدد ThreatConnect، ثم حدد Save.

115014203703

بعد ذلك، في معالج النهج، قم بإضافة إعداد أمان للنهج الذي تقوم بتحريره:

1. انتقل إلى السياسات > قائمة السياسات.

2. توسيع سياسة. تحت تطبيق إعداد التأمين، حدد تحرير.

3. في القائمة المنسدلة إعدادات التأمين، حدد إعداد تأمين يتضمن إعداد ThreatConnect.

25464103908884

رمز الدرع تحت تحديثات التكاملات إلى الأزرق.

115014037666

4. حدد مجموعة وإرجاع.

يتم بعد ذلك حظر مجالات ThreatConnect المضمنة في إعداد الأمان ل ThreatConnect للهويات التي تستخدم النهج.

إعداد التقارير في Umbrella لأحداث ThreatConnect

الإبلاغ عن أحداث أمان ThreatConnect

قائمة وجهة اتصال التهديد هي إحدى قوائم فئات الأمان التي يمكنك الإبلاغ عنها. تستخدم معظم التقارير أو جميعها فئات الأمان كعامل تصفية. على سبيل المثال، يمكنك تصفية فئات الأمان لإظهار النشاط المرتبط ب ThreatConnect فقط: 

1. انتقل إلى إعداد التقارير > البحث عن النشاط.

2. ضمن فئات الأمان، حدد ThreatConnect لتصفية التقرير لإظهار فئة الأمان ل ThreatConnect فقط.

115014206603

ملاحظة: في حالة تعطيل تكامل ThreatConnect، لا يظهر في مرشح فئات الأمان.

3. حدد تطبيق.

إعداد التقارير عند إضافة المجالات إلى قائمة وجهة ThreatConnect

يتضمن سجل تدقيق Admin أحداث من لوحة معلومات ThreatConnect لأنه يضيف مجالات إلى قائمة الوجهة. ويعمل مستخدم يحمل اسم "حساب ThreatConnect"، والذي يحمل أيضا علامة تجارية تحمل شعار ThreatConnect، على توليد الأحداث. تتضمن هذه الأحداث المجال الذي تمت إضافته والوقت الذي تمت إضافته فيه.

يمكنك التصفية لتضمين تغييرات ThreatConnect فقط عن طريق تطبيق عامل تصفية للمستخدم "حساب ThreatConnect".

التعامل مع عمليات الكشف غير المرغوب فيها أو الإيجابيات الخاطئة

قوائم السماح

على الرغم من أنه من غير المحتمل، قد تؤدي المجالات التي تمت إضافتها تلقائيا بواسطة ThreatConnect إلى تشغيل كتلة غير مرغوب فيها من شأنها منع المستخدمين من الوصول إلى مواقع ويب معينة. في حالة مثل هذه، توصي Umbrella بإضافة المجال (المجالات) إلى قائمة السماح، التي تكون لها الأولوية على جميع الأنواع الأخرى من قوائم الحظر، بما في ذلك إعدادات الأمان.

هناك سببان يجعلان هذا النهج مفضلا:

• أولا، في حالة قيام لوحة معلومات ThreatConnect بإعادة إضافة المجال بعد إزالته، يتم توفير ضمانات قائمة السماح ضد التسبب في مزيد من المشاكل.
• بالإضافة إلى ذلك، تعرض قائمة السماح سجلا تاريخيا للمجالات الإشكالية التي يمكن إستخدامها للطب الشرعي أو تقارير التدقيق.

بشكل افتراضي، هناك قائمة سماح عامة يتم تطبيقها على كل السياسات. يؤدي إضافة مجال إلى قائمة السماح العمومية إلى السماح بالمجال في كافة السياسات.

إذا كان إعداد أمان ThreatConnect في وضع الحظر مطبقا فقط على مجموعة فرعية من هويات Umbrella المدارة (على سبيل المثال، يتم تطبيقه فقط على أجهزة الكمبيوتر المتجولة والأجهزة المحمولة)، يمكنك إنشاء قائمة سماح خاصة لهذه الهويات أو النهج.

لإنشاء قائمة السماح:

1. انتقل إلى السياسات > قوائم الوجهة وحدد أيقونة إضافة (+).

2. حدد السماح وأضف مجالك إلى القائمة.

3. حدد حفظ.

بمجرد حفظ قائمة الوجهة، يمكنك إضافتها إلى سياسة موجودة تغطي العملاء الذين تضرروا من الكتلة غير المرغوب فيها.

حذف مجالات من قائمة وجهة اتصال التهديد

يوجد رمز حذف بجوار كل اسم مجال في قائمة وجهة اتصال التهديد. يسمح لك حذف المجالات بتنظيف قائمة وجهة ThreatConnect في حالة الكشف غير المرغوب فيه. ومع ذلك، فإن الحذف ليس دائما إذا قامت لوحة معلومات ThreatConnect بإعادة إرسال المجال إلى Umbrella.

لحذف مجال:

1. انتقل إلى السياسات > عمليات التكامل.

2. حدد ThreatConnect لتوسيعه.

3. حدد راجع المجالات.

4. ابحث عن اسم المجال الذي تريد حذفه.

5. حدد أيقونة الحذف.

6. حدد إغلاق، ثم حدد حفظ.

في حالة اكتشاف غير مرغوب فيه أو نتيجة إيجابية خاطئة، توصي Umbrella بإنشاء قائمة سماح في Umbrella على الفور ثم تصحيح الإيجاب الخاطئ داخل لوحة معلومات ThreatConnect. لاحقا، يمكنك إزالة المجال من قائمة وجهة ThreatConnect.