[Cortex XDR/XSIAM]Box のアクティビティログを取り込む

[massaito]

この記事では、Boxのアクティビティログを取り込む方法について説明します。

詳細な手順や説明については、一番下のリンクからドキュメントを参照ください。

Cortex XDRはBoxからログを取り込み、XQLによるサーチやCorrelationルールによる検知などが可能です。

ここではBox Shields Alertsを除くデータの取り込みをおこないます。

Custom Appの作成

Custom Appの作成から、新規でAppを作成します。ここでは「Cortex XDR App」とします。

作成したAppから「Configuration」タブを指定し、「App + Enterprise Access」を選択します。

「Authorization」タブを指定し、「Review and Submit」を選択します。

「submit」をクリックして管理者に承認依頼します。

管理者はAdminコンソールにログインし、「Apps」から「Custom Apps Manager」タブを表示します。

このときAuthorizationがPending Authorizationになっています。

Enablement Statusから「Authorize App」をクリックすると完了します。

Authorizationが「Authorized」になり

Enablement Status「Enabled」が表示されることを確認します。

Cortex XDRに登録するIDの確認

Cortex XDRの設定するID(Enterprise ID, Client ID, Client Secret)を控えておきます。

Enterprise ID

Global Settingsから確認します。

Enterprise ID, Client Secret

ConfigurationからClient IDを確認します。 Client Secretを取得するためにFetch Client Secretをクリックします。

生成されたClient Secretを控えておきます。

Cortex XDRの設定

Collection IntegrationsからBoxの箇所で「Add Instance」をクリックします。

控えておいたID, Secret、収集するイベントにチェックを入れます。

「test」ボタンをクリックし「Connection established」が表示されたら

連携が成功したことを示しているので、「Enabled」をクリックします。

イベントが入ってくれば、XQLで検索することが可能です。

Tech Doc

Boxのログ取り込み方法はこちら