はじめに

みなさん、こんちにちは
今回はCATOのログをCrowdStrikeのNext-Gen SIEM（NG-SIEM）に連携に関する記事でございます。

CATOのログを取り込む際の連携手順について、直近でアップデートがございましたのでご紹介いたします。また、CATO×CrowdStrikeに関する記事については過去にも投稿しておりますので、ぜひご覧ください。

【Cato Networks】XOpsでCrowdstrike統合を検証してみました

CATO×CrowdStrikeによるゼロトラストモデルの実現

　

従来との変更点

従来、CATOのログをCrowdStrikeのNG-SIEMと連携する際は、直接連携できるAPIコネクターが実装されておらず、AWS S3バケットを経由してログを取り込む必要がございました。

今回のアップデートにより、CATO側にNG-SIEMと連携可能なAPIが実装されました。（EA版）CrowdStrike側ではHTTPまたはHTTPSプロトコルを使用して任意のソースからデータを取り込む「HECコネクタ」を利用することで、S3を介さずにネイティブ連携が可能になりました。次項で連携手順をご紹介します。

※補足事項
本連携手順は投稿時点でCrowdStrike NG-SIEMと連携するためのAPIが**Early Availability（EA）**状態でございます。今後GAにて機能等がアップデートされる可能性があるため予めご了承ください。

連携手順

・CrowdStrike：HEC/HTTPデータコネクタ設定
・CATO：APIキーとAPI URLの設定
・CrowdStrike：データ取り込み確認

・CrowdStrike：HEC/HTTPデータコネクタ設定

Falconコンソールにてデータコネクター画面に移動し、「HEC/HTTP Event Connector」を選択します。

設定欄の各項目に必要な情報を入力します。VendorやVendor Product、ParsersはCATO製品を設定してください。

データコネクター作成後、セットアップが進行します。完了したら「APIキーの生成」をクリックし、表示される「APIキー」および「API URL」を確実にコピーしてください。
APIキーはコネクターのセットアップ時に1回だけ表示されるため、必ず控えておいてください。

以上でデータコネクターの設定が完了です。

　

・CATO：APIキーとAPI URLの設定

次にCATOの設定を行います。管理者権限でCATO Management Application（CMA）にログインします。
統合カタログページに移動し、「新規」をクリックします。

Integratrionとして「CrowdStrike Falcon NG-SIEM」を選択し、必要となる情報を設定します。設定欄のIngestion URLには「HEC/HTTPデータコネクター」で生成されたAPI URLを、API KeyにはAPIキーを貼り付けてください。

設定が完了すると、「Configured Integrations」欄に作成したAPIが表示されます。ステータスが「接続済み」となれば統合完了となります。

※補足事項
CATO側で設定するCrowdStrike NG-SIEMコネクタは投稿時点でEA版でございます。そのためデフォルトでは非表示になっている可能性が高いです。そのため、有効化いただく場合はメーカー様へのお問い合わせください。

　

・CrowdStrike：データ取り込み確認

連携が完了したら、CrowdStrikeのNG-SIEMにCATOのログが取り込まれているか確認します。
Falconコンソールから「データコネクター」＞「データ接続」のページに移動し、作成したコネクターが「Active」になっているか確認してください。

最後に「次世代SIEM」＞「高度なイベント検索」画面から「#Vendor = cato」と検索し、ログが出力されているかご確認ください。
「高度なイベント検索」画面は、CrowdStrike製品にて収集したログや、NG-SIEMにて収集したサードパーティ製品のログを横断的に検索できます。

ログが出力されていれば連携が完了です。

　

まとめ

いかがでしたでしょうか。CATO×CrowdStrikeのNG-SIEM連携はAWS S3を介したログ連携からネイティブなAPI連携が可能となりました。これによりCATOおよびCrowdStrikeをご利用のお客様はNG-SIEMの導入ハードルが大幅に下がったのではないでしょうか。

CrowdStrikeのNG-SIEMは、幅広い製品のログを取り込むことができます。ご利用・ご検討の際はぜひ参考にしていただければ幸いです！

最後までご覧いただきありがとうございました。

---

※本ブログの内容は投稿時点での情報となります。今後アップデートが重なるにつれ
　正確性、最新性、完全性は保証できませんのでご了承ください。