SIEM/SOAR連携
SIEM/SOAR連携は、PowerDMARCのAPIを通じて、メール認証・ドメインセキュリティのテレメトリをSIEM(Security Information and Event Management)・SOAR(Security Orchestration, Automation and Response)・XDRへ取り込む機能です。
SOC(Security Operation Center)が既に運用している監視基盤の中で、自社ドメインのなりすまし・スプーフィングを他のセキュリティイベントと合わせて一元監視できます。
取り込めるデータ
- DMARC集計レポート(RUA)の認証結果(送信元IP・ホスト名・SPF/DKIM/DMARCの結果・適用ポリシー)
- DMARCフォレンジックレポート(RUF)の情報
- 脅威インテリジェンスで検出した悪意のあるIPアドレスの情報
- 監査ログ(ユーザの操作履歴)
連携方法
- Elastic SIEM
-
Elastic Agentのhttpjson入力を使い、PowerDMARCのAPIから定期的にデータを取得します。
追加のスクリプトを用意せずに、認証データをElasticsearchへ取り込めます。 - Splunk
- PowerDMARC APIからSPF・DKIM・DMARCの認証データを取得し、Splunkに取り込んで可視化・アラート設定を行います。
- その他のSIEM/SOAR/XDR
-
REST APIからJSON形式でデータを取得できるため、HTTP入力に対応するSIEM/SOAR/XDR製品であれば、同様の方法で取り込めます。
個別の製品との連携についてはお問い合わせください。
活用例
- なりすましメールの相関分析
- DMARCに失敗した送信元IPを、ファイアウォールやプロキシのログと相関させ、同じ攻撃者による他の活動を確認します。
- インシデント対応の自動化
- SOARのプレイブックに認証テレメトリを取り込み、なりすましの検出からチケット起票・関係者への通知までを自動化します。
- 監査証跡の集約
- PowerDMARC上の設定変更の履歴を、他システムの監査ログと一緒に長期保管します。
設定手順
- API設定で、取り込むデータに応じたアクセス権を持つAPIトークンを作成します。
- SIEM側で、PowerDMARC APIのエンドポイントを定期取得するデータ入力を設定し、Bearerトークンとして手順1のトークンを指定します。
- 取り込んだデータに対して、ダッシュボードやアラートルールを作成します。