AsyncOS 12.0 for Cisco Web Security Appliances ユーザーガイド（一般導入）

偏向のない言語

この製品のマニュアルセットは、偏向のない言語を使用するように配慮されています。このマニュアルセットでの偏向のない言語とは、年齢、障害、性別、人種的アイデンティティ、民族的アイデンティティ、性的指向、社会経済的地位、およびインターセクショナリティに基づく差別を意味しない言語として定義されています。製品ソフトウェアのユーザーインターフェイスにハードコードされている言語、RFP のドキュメントに基づいて使用されている言語、または参照されているサードパーティ製品で使用されている言語によりドキュメントに例外が存在する場合があります。シスコのインクルーシブランゲージに対する取り組みの詳細は、こちらをご覧ください。

翻訳について

このドキュメントは、米国シスコ発行ドキュメントの参考和訳です。リンク情報につきましては、日本語版掲載時点で、英語版にアップデートがあり、リンク先のページが移動/変更されている場合がありますことをご了承ください。あくまでも参考和訳となりますので、正式な内容については米国サイトのドキュメントを参照ください。

マニュアルのコンテンツ
このマニュアル内で検索
ご利用いただける言語
Download Options

Book Title

AsyncOS 12.0 for Cisco Web Security Appliances ユーザーガイド（一般導入）

Chapter Title

Cisco Threat Response との統合

検索結果

Updated:
2022年12月22日

章のタイトル： Cisco Threat Response との統合

Cisco Threat Response との統合

この章で説明する内容は、次のとおりです。

アプライアンスと Cisco Threat Response との統合

アプライアンスを Cisco Threat Response と統合すると、Cisco Threat Response で次の操作を実行できます。

  • 組織内の複数のアプライアンスから Webトラッキングデータを表示します。

  • Web トラッキングで確認された脅威を特定し、調査し、修復します。

  • 特定した脅威を迅速に解決し、特定した脅威に対して推奨されるアクションを実行します。

  • ポータルで脅威をドキュメント化して調査を保存し、ポータル内の他のデバイス間で情報を共有します。

アプライアンスを Cisco Threat Response と統合するには、Cisco Threat Response にアプライアンスを登録する必要があります。

Cisco Threat Response には、次の URL を使用してアクセスできます。

始める前に

  • CLI にアクセスし、 reportingconfig > CTROBSERVABLE コマンドを有効にします。このコマンドを使用して CTR の監視可能なインデックスを有効にすると、ユーザーがアクセスした URL のインデックスを作成できます。また、アプライアンス トラッキング データベース内の URL を検索する粒度も提供されます。

  • Cisco Threat Response にアクセスするには、シスコのセキュリティ ユーザー アカウントが必要です。組織内のユーザーにシスコのセキュリティアカウントがある場合は、システム管理者にお問い合わせください。シスコのセキュリティ ユーザー アカウントをお持ちでない場合は、Cisco Threat Response のログインページで作成できます。管理者アクセス権を使用して、Cisco Threat Response でユーザーアカウントを作成していることを確認します。新しいユーザーアカウントを作成するには、北米の場合は https://visibility.amp.cisco.com、欧州の場合は https://visibility.eu.amp.cisco.com を使用して Cisco Threat Response のログインページに移動し、ログインページで [シスコのセキュリティアカウントの作成（Create a Cisco Security account）] をクリックします。新しいユーザ アカウントを作成できない場合は、Cisco TAC に連絡してサポートを受けてください。

  • Cisco Security Services Exchange（SSE）ポータルで Cisco Threat Response の統合が有効になっていることを確認します。詳細については、北米の場合は https://visibility.amp.cisco.com/help/module-wsa 、欧州の場合は https://visibility.eu.amp.cisco.com/help/module-wsa にある Cisco Threat Response のマニュアルを参照してください。

  • Cisco Threat Response にアプライアンスを登録するには、ファイアウォール上で HTTPS（アウトバウンド）443 ポートを次の FQDN 用に開いていることを確認してください。

    • api-sse.cisco.com（アメリカ地域のユーザのみに対応）

    • api.eu.sse.itd.cisco.com（欧州連合（EU）のユーザのみに対応）

    • api.apj.sse.itd.cisco.com（APJC ユーザのみに対応）

    • est.sco.cisco.com（アメリカ地域と EU 両方の APJC ユーザに対応）

  • DNS サーバーが管理（M1）インターフェイスに設定されているホスト名を解決できることを確認します。

手順

ステップ 1

アプライアンスにログインします。

ステップ 2

[ネットワーク（Networks）] > [クラウドサービス設定（Cloud Service Settings）] を選択します。

ステップ 3

[設定の編集（Edit Settings）] をクリックします。

ステップ 4

[有効（Enable）] をオンにします。

ステップ 5

変更を送信し、保存します。
ステップ 6

数分が経過したら、[クラウドサービス設定（Cloud Service Settings）] ページに戻り、アプライアンスを Cisco Threat Response に登録します。
ステップ 7

[脅威対応サーバー（Threat Response Server）] ドロップダウンリストから希望するサーバーを選択します。

ステップ 8

Cisco Threat Response から登録トークンを取得し、アプライアンスを Cisco Threat Response に登録します。詳細については、北米の場合は https://visibility.amp.cisco.com/help/module-wsa 、欧州の場合は https://visibility.eu.amp.cisco.com/help/module-wsa にある Cisco Threat Response のマニュアルを参照してください。

ステップ 9

Cisco Threat Response から取得した登録トークンを入力し、[登録（Register）] をクリックします。

ステップ 10

Cisco Threat Response への統合モジュールとしてアプライアンスを追加します。詳細については、北米の場合は https://visibility.amp.cisco.com/help/module-wsa 、欧州の場合は https://visibility.eu.amp.cisco.com/help/module-wsa にある Cisco Threat Response のマニュアルを参照してください。

次のタスク

Cisco Threat Response で統合モジュールとしてアプライアンスを追加した後は、Cisco Threat Response でアプライアンスから Web トラッキング情報を確認できます。詳細については、北米の場合は https://visibility.amp.cisco.com/help/module-wsa、欧州の場合は https://visibility.eu.amp.cisco.com/help/module-wsa にある Cisco Threat Response のマニュアルを参照してください。


（注）  

アプライアンスの接続を Cisco Threat Response から登録解除するには、アプライアンスの [クラウドサービス設定（Cloud Services Settings）] ページで [登録解除（Deregister）] をクリックします。

ケースブックを使用した脅威分析の実行

事例集とピボットメニューは Cisco Threat Response で使用できるウィジェットです。

ケースブックは、調査および攻撃分析の際に主要な観測対象のグループを記録、整理、共有するために使用します。ケースブックを使用して、観測対象の現在の判定または傾向を取得できます。詳細については、北米の場合は https://visibility.amp.cisco.com/help/casebooks、欧州の場合は https://visibility.eu.amp.cisco.com/help/casebooks にある Cisco Threat Response のマニュアルを参照してください。

ピボットメニューは、Web セキュリティ アプライアンス インターフェイスから、観測対象に対して直接的に脅威対応可能なタスクを実行するために使用されます。これらのタスクは、Cisco Threat Response または任意のユーザー設定モジュール（AMP for Endpoints、Cisco Umbrella、Cisco Talos Intelligence など）を使用して実行できます。詳細については、北米の場合は https://visibility.amp.cisco.com/help/pivot-menus、欧州の場合は https://visibility.eu.amp.cisco.com/help/pivot-menus にある Cisco Threat Response のマニュアルを参照してください。

Web セキュリティアプライアンスには、ケースブックとピボットメニューのウィジェットが含まれるようになりました。[ケースブック（Casebook）] ウィジェットと [ピボット メニュー（Pivot Menu）] ウィジェットを使用して、アプライアンスで次のアクションを実行できます。

  • 観測対象をケースブックに追加し、脅威分析の調査を実行します。

  • 新しいケース、既存のケース、または Cisco Threat Response ポータルに登録されているその他のデバイス（エンドポイント向け AMP、Cisco Umbrella、Cisco Talos Intelligence など）の監視対象をピボットし、脅威分析のために調査します。

Web セキュリティアプライアンスのユーザーインターフェイスに Cisco Threat Response のピボットメニューがある観測対象のリストを以下に示します。

  • IP アドレス

  • ドメイン

  • URL

  • ファイル ハッシュ（SHA-256 のみ）


（注）  

  • ピボット メニュー ウィジェットは、アプライアンスの Web レポートページの観測対象の横にあります。

  • ケースブックウィジェットは、アプライアンスの Web レポートページの右下隅にあります。

関連トピック

クライアント ID およびクライアント パスワード クレデンシャルの取得

アプライアンスのケースブックとピボット メニュー ウィジェットにアクセスするには、クライアント ID とクライアント パスワードが必要です。

始める前に

次の「はじめる前に」セクションに記載されているすべての前提条件を満たしていることを確認してください。 アプライアンスと Cisco Threat Response との統合

手順

ステップ 1

アプライアンスの新しい Web インターフェイスにログインします。
ステップ 2

新しい API クライアントを追加します。

  1. [Threat Response APIクライアント（Threat Response API Clients）] リンクをクリックします。

    [Threat Response APIクライアント（Threat Response API Clients）] リンクをクリックすると、Cisco Threat Response ログインページにリダイレクトされます。

  2. Cisco Threat Response にログインします。

  3. [Threat Response] で、[設定（Settings）] をクリックし、[APIクライアント（API Clients）] を選択して [APIクライアント（API Clients）] ページに移動します。

  4. [APIクレデンシャルの追加（Add API Credentials）] をクリックします。

  5. アプライアンスの名前（「Web_Security_Appliance」など）をクライアント名として入力します。

  6. ケースブックとピボット メニュー ウィジェットへのフル アクセスを付与する次のスコープを選択します。

    • ケースブック（Casebook）

    • 強化（Enrich）

    • プライベート インテリジェンス（Private Intelligence）

    • 応答（Response）

    • 検査（Inspect）

    （注）   

    • ケースブック ウィジェットにのみアクセスする場合は、[ケースブック（Casebook）]、[プライベートインテリジェンス（Private Intelligence）]、および [検査（Inspect）] をスコープとして選択します。

    • ピボット メニュー ウィジェットにのみアクセスする場合は、[強化（Enrich）] および [応答（Response）] をスコープとして選択します。

  7. [新しいクライアントの追加（Add New Client）] をクリックします。

  8. クライアント ID とクライアント パスワードをクリップボードにコピーします。

    （注）   

    [新しいクライアントの追加（Add New Client）] ダイアログ ボックスを閉じる前に、クライアント ID とクライアント パスワードをメモしてください。

  9. [閉じる（Close）] をクリックします。

    （注）   

    新しい API クライアントを追加する場合は、既存の API クライアントを削除する必要はありません。
ステップ 3

[ケースブック（Casebook）] ボタンをクリックします。

ステップ 4

アプライアンスの [ログインしてケースブック/ピボットメニューを使用（Login to use Casebook/Pivot Menu）] ダイアログボックスのステップ 2 で取得したクライアント ID とクライアントパスワードを入力します。
ステップ 5

[ログインしてケースブック/ピボットメニューを使用（Login to use Casebook/Pivot Menu）] ダイアログ ボックスで必要な Cisco Threat Response サーバを選択します。
ステップ 6

[認証（Authenticate）] をクリックします。

（注）   

クライアント ID、クライアント パスワード、および Cisco Threat Response サーバを編集する場合は、[ケースブック（Casebook）] ボタンを右クリックして詳細を追加します。

次のタスク

観測対象をケースブックに追加し、攻撃分析の調査を実行します。攻撃分析のケースブックへ観測対象を追加を参照してください

攻撃分析のケースブックへ観測対象を追加

始める前に

アプライアンスのケースブックとピボット メニュー ウィジェットにアクセスするには、クライアント ID とクライアント パスワードを取得します。詳細については、クライアント ID およびクライアント パスワード クレデンシャルの取得を参照してください。

手順

ステップ 1

アプライアンスの新しい Web インターフェイスにログインします。

ステップ 2

[Webレポート（Web Reporting）] ページに移動して、該当する観測対象（schemas.micrsoft.com など）の横にあるピボットメニュー ボタンをクリックし、[新しいケースに追加（Add to New Case）] または [現在のケースに追加（Add to Current Case）] をクリックします。

（注）   

  • 観測対象の横にあるドラッグ アンド ドロップ ボタンを使用して、観測対象を既存のケースへドラッグ アンド ドロップします。

  • ピボットメニュー ボタンを使用して、Cisco Threat Response またはその他の設定済み Cisco Threat Response モジュールを使用した観測対象で脅威対応が有効なアクション（Umbrella を使用したドメインのブロック、AMP を使用したファイルハッシュのブロック、すべてのモジュールを同時に使用した IP の調査など）を実行します。

ステップ 3

[ケースブック（Casebook）] ボタンをクリックして、観測対象が新しいまたは既存のケースに追加されたかを確認します。

ステップ 4

（オプション） ボタンをクリックして、タイトル、説明、またはメモをケースブックに追加します。

ステップ 5

[このケースを調査（Investigate this Case）] をクリックして、攻撃分析の観測対象を調査します。詳細については、北米の場合は https://visibility.amp.cisco.com/help/introduction 、欧州の場合は https://visibility.eu.amp.cisco.com/help/introduction にある Cisco Threat Response のマニュアルを参照してください。

このドキュメントは役に立ちましたか?

Feedbackフィードバック

シスコに問い合わせ