この記事では、Boxのアクティビティログを取り込む方法について説明します。

詳細な手順や説明については、一番下のリンクからドキュメントを参照ください。

Cortex XDRはBoxからログを取り込み、XQLによるサーチやCorrelationルールによる検知などが可能です。

Boxの監査ログを使用したAI/MLアナリティクスはこちらから確認できます。

ここではBox Shields Alertsを除くデータの取り込みをおこないます。

Custom Appの作成

Custom Appの作成から、新規でAppを作成します。ここでは「Cortex XDR App」とします。

custom app.png

作成したAppから「Configuration」タブを指定し、「App + Enterprise Access」を選択します。

d-configure app.png

「Authorization」タブを指定し、「Review and Submit」を選択します。

「submit」をクリックして管理者に承認依頼します。

管理者はAdminコンソールにログインし、「Apps」から「Custom Apps Manager」タブを表示します。

このときAuthorizationがPending Authorizationになっています。

Enablement Statusから「Authorize App」をクリックすると完了します。

Authorizationが「Authorized」になり

Enablement Status「Enabled」が表示されることを確認します。

Cortex XDRに登録するIDの確認

Cortex XDRの設定するID(Enterprise ID, Client ID, Client Secret)を控えておきます。

Enterprise ID

Global Settingsから確認します。

Enterprise ID, Client Secret

ConfigurationからClient IDを確認します。 Client Secretを取得するためにFetch Client Secretをクリックします。

生成されたClient Secretを控えておきます。

Collection IntegrationsからBoxの箇所で「Add Instance」をクリックします。

控えておいたID, Secret、収集するイベントにチェックを入れます。

「test」ボタンをクリックし「Connection established」が表示されたら

連携が成功したことを示しているので、「Enabled」をクリックします。

イベントが入ってくれば、XQLで検索することが可能です。

Boxのログ取り込み方法はこちら