Интеграция пользовательских списков IoC с контейнерами

Вы можете добавить пользовательские списки IoC в разведку угроз для вашего аккаунта Cato, чтобы удовлетворить специфические требования вашей организации по отрасли или местоположению. Списки IoC настраиваются с использованием Контейнеров, которые представляют собой категории, определяемые пользователем, и помогают управлять группами объектов, такими как IP-адреса или FQDN. Например, создайте Контейнер, включающий список вредоносных IP-адресов, идентифицированных Центром операционного управления вашей организации или предоставленных сторонней службой разведки угроз.

Вы можете настроить Контейнеры со списками IoC напрямую в Приложении управления Cato или через автоматизированные API процессы, а затем включить Контейнеры в правила Межсетевого экрана для Интернета. Для получения дополнительной информации об API для Контейнеров см. Cato Networks Справочник по API GraphQL.

Существуют различные типы Контейнеров, и каждый тип может включать только один тип данных. Эти типы Контейнеров:

Это пример рабочего процесса для интеграции пользовательских IoC с использованием Контейнера:

Вы можете создать Контейнер на странице Категории, загрузив файл-источник с данными для Контейнера. После создания Контейнер появляется в таблице на вкладке Контейнеры. Вы можете редактировать Контейнер в таблице и загружать новый файл-источник, чтобы обновить значения в Контейнере.

Создание контейнеров

Создайте новый Контейнер, определив Тип контейнера и загрузив файл-источник, содержащий соответствующие значения. Контейнер может быть типа Полное доменное имя (FQDN) или IP. IP-контейнер может включать список отдельных IP-адресов, масок подсетей (в точечно-десятичной или CIDR нотации) или диапазонов IP.

Требования к исходным файлам контейнеров

• Исходные файлы для контейнеров должны быть в одном из следующих форматов:

  • TXT файлы с значениями, разделенными одним из следующих разделителей:

    • Запятая

    • Пробел

    • Перенос строки

  • JSON файлы в формате STIX

    Примечание: Cato постепенно включает поддержку формата STIX на аккаунтах в течение нескольких недель. Возможно, это может быть недоступно для вашего аккаунта.

• Исходные файлы должны содержать минимум 1 значение и максимум 1 миллион значений

• Для Контейнеров FQDN поддерживаются только буквенные или числовые символы, специальные символы не поддерживаются

Чтобы создать контенейр:

1. На панели навигации выберите Ресурсы > Категории и разверните вкладку Контейнеры.

2. Нажмите Новый. Откроется панель Новый контейнер.

3. Введите Отображаемое имя для Контейнера.

4. Выберите Тип контейнера. Возможные значения: FQDN, IP.

5. Введите Описание для Контейнера.

6. В разделе Источник перетащите или выделите файл с данными для включения в Контейнер.

7. Нажмите Сохранить. Контейнер создан.

Настройте Контейнеры в поле Приложение/Категория в правиле межсетевого экрана Интернета. Выберите тип Контейнера, а затем выберите конкретные Контейнеры для включения в правило. Вы можете настроить несколько Контейнеров одного типа в правиле, но не можете настроить более одного типа Контейнера в правиле.