إعداد Zscaler ZIA Cloud NSS

قم بربط موجز Cloud Nanolog Streaming Service (NSS) الخاص بـ Zscaler Internet Access (ZIA) لإرسال سجلات الويب إلى Living Security. يُعد هذا التكامل من نوع الدفع (push)، وهو منفصل عن تكامل Zscaler Client Connector القائم على السحب (pull).

ما يقدمه هذا التكامل

يمكن لموجز سجلات الويب تحديد المستخدم والجهاز المعنيين بنشاط الويب، كما يمكنه تقديم أنشطة موحّدة مثل الطلبات المحظورة، والوجهات الضارة، وحالات حظر نقل البيانات، واستخدام الذكاء الاصطناعي التوليدي. وتعتمد النتيجة على الحقول والمرشحات التي تم إعدادها في Zscaler.

قبل البدء

تحتاج إلى ما يلي:

اشتراك في ZIA Cloud NSS وصلاحية إدارة موجزات Cloud NSS
صلاحية إدارة التكاملات ومفاتيح الوصول في Living Security
المنطقة الخاصة بمؤسسة Living Security المستهدفة
مكان آمن لتخزين مفتاح الوصول الذي سيتم إنشاؤه

تشترط Zscaler شهادة TLS موثوقة علنًا لوجهة Cloud NSS عبر HTTPS. وتستوفي نقاط النهاية الإقليمية لـ Living Security هذا الشرط.

1. تجهيز Living Security

إنشاء المصدر والتدفق

انتقل إلى الإعدادات → التكاملات → كتالوج، وأضف Custom Push Source، واستخدم مفاتيح التوجيه التالية تمامًا كما هي:

الحقل	القيمة
Data Source Name	`zscaler-nss-feed`
Stream Name	`web_logs`

الشرطة السفلية في web_logs إلزامية. قد يقبل النظام البيانات عند استخدام زوج مختلف، لكنه لن يستخدم مفسّر Zscaler NSS المعتمد.

إنشاء مفتاح وصول

انتقل إلى الإعدادات → Access Keys، وأنشئ مفتاح وصول بنطاق Push Ingest، وانسخ قيمته فورًا.

إنشاء عنوان URL للوجهة

استخدم عنوان URL الخاص بمنطقة Living Security:

الولايات المتحدة: https://api.us-east-1.livingsecurity.ai/api/v1/push-ingest/zscaler-nss-feed/web_logs
الاتحاد الأوروبي: https://api.eu-west-1.livingsecurity.ai/api/v1/push-ingest/zscaler-nss-feed/web_logs

2. إنشاء موجز Cloud NSS

في بوابة إدارة ZIA الحالية، انتقل إلى Logs → Log Streaming → Internet Log Streaming — Nanolog Streaming Service، وافتح Cloud NSS Feeds، ثم اختر Add Cloud NSS Feed. قد تختلف تسميات القوائم في الإصدارات الأقدم من بوابة ZIA؛ وتُعد تعليمات Cloud NSS لسجلات الويب من Zscaler المرجع المعتمد للتنقل في البوابة. قم بإعداد الموجز:

حقل Zscaler	القيمة
Feed Name	اسم يسهل التعرف عليه، مثل `Living Security web logs`
NSS Type	NSS for Web
Status	Disabled أثناء الإعداد؛ وقم بالتفعيل بعد التحقق
SIEM Rate	Unlimited ما لم تتطلب سياستك الخاصة معدلًا أقل
SIEM Type	Other
OAuth 2.0 Authentication	Disabled
Max Batch Size	512 KB
API URL	عنوان URL الإقليمي لـ Living Security من الخطوة 1
HTTP Header 1	`Authorization` = `Bearer <access-key>`
HTTP Header 2	`Content-Type` = `application/json`
Log Type	Web Log
Feed Output Type	JSON
JSON Array Notation	Enabled
Feed Escape Character	`,\"`

لا تستخدم x-api-key ولا تجمع بين مفتاح API قديم وسر (secret) باستخدام نقطة. يقبل الإدخال بالدفع الحالي في Living Security مفتاح الوصول ذا النطاق المحدد فقط في الترويسة Authorization: Bearer ….

استخدم Feed Output Format المسطّح التالي تمامًا كما هو وفي سطر واحد:

{"datetime":"%d{yy}-%02d{mth}-%02d{dd} %02d{hh}:%02d{mm}:%02d{ss}","reason":"%s{reason}","event_id":"%d{recordid}","protocol":"%s{proto}","action":"%s{action}","transactionsize":"%d{totalsize}","responsesize":"%d{respsize}","requestsize":"%d{reqsize}","urlcategory":"%s{urlcat}","serverip":"%s{sip}","requestmethod":"%s{reqmethod}","refererURL":"%s{ereferer}","useragent":"%s{eua}","product":"NSS","location":"%s{elocation}","ClientIP":"%s{cip}","status":"%s{respcode}","user":"%s{elogin}","url":"%s{eurl}","vendor":"Zscaler","hostname":"%s{ehost}","clientpublicIP":"%s{cintip}","threatcategory":"%s{malwarecat}","threatname":"%s{threatname}","filetype":"%s{filetype}","appname":"%s{appname}","riskscore":"%d{riskscore}","department":"%s{edepartment}","urlsupercategory":"%s{urlsupercat}","appclass":"%s{appclass}","dlpengine":"%s{dlpeng}","urlclass":"%s{urlclass}","threatclass":"%s{malwareclass}","dlpdictionaries":"%s{dlpdict}","fileclass":"%s{fileclass}","bwthrottle":"%s{bwthrottle}","contenttype":"%s{contenttype}","unscannabletype":"%s{unscannabletype}","deviceowner":"%s{deviceowner}","devicehostname":"%s{devicehostname}","keyprotectiontype":"%s{keyprotectiontype}"}

أبقِ كل حقل في المستوى الأعلى. كان دليل Unify المتقاعد يضع هذه الحقول داخل كائن event ويضيف sourcetype. قد يُقبل هذا الغلاف بصيغة JSON، لكنه لا يتوافق مع المفسّر الحالي، ولذلك لا ينتج أي أشخاص أو أنشطة.

اختر المنطقة الزمنية التي يتوقعها فريق العمليات لديك عند مراجعة أحداث Zscaler. تقوم Living Security بتحليل قيمة datetime المقدَّمة من الموجز.

3. تصفية الموجز وتفعيله

استخدم مرشحي Policy Action وPolicy Reason في Zscaler لإرسال نشاط الويب الذي يحتاجه برنامج المخاطر البشرية لديك. تجنب تعيين قيمة منخفضة للأحداث في الثانية، فقد يؤدي ذلك إلى تجاهل بعض السجلات أثناء ارتفاع حركة المرور. وإذا كان لا بد لمؤسستك من تحديد سقف للموجز، فراقب تسليم البيانات في Zscaler وكذلك Push History في Living Security أثناء الضبط. احفظ الموجز، وشغّل اختبار الاتصال في Zscaler، ثم اضبط Status على Enabled.

4. التحقق من التسليم والتفسير

في Living Security، افتح الإعدادات → التكاملات → متصل → zscaler-nss-feed.
في Push History، تأكد من أن تشغيلًا حديثًا بحالة web_logs يعرض عدد السجلات المتوقع.
تأكد من ظهور مستخدمي Zscaler الحديثين أو عناوين IP للأجهزة مقابل الأشخاص المتوقعين، ومن توفر نشاط الويب في المراحل اللاحقة.
إذا تم قبول التشغيل ولكن لم يظهر أي نشاط، فأعد التحقق من المصدر والتدفق وتنسيق الإخراج المسطّح تمامًا كما هي.

استكشاف الأخطاء وإصلاحها

العَرَض	ما يجب التحقق منه
`401 Unauthorized`	استخدم `Authorization` بالقيمة `Bearer <access-key>`؛ وقم بتدوير المفتاح المنتهي الصلاحية أو الملغى
`403 Forbidden`	أنشئ المفتاح بنطاق Push Ingest
`404 Not Found`	سجّل `zscaler-nss-feed` و`web_logs`، ثم استخدم عنوان URL هذا تمامًا كما هو
`400 Bad Request`	فعّل JSON Array Notation وتأكد من أن الإخراج مصفوفة في المستوى الأعلى من الكائنات المسطّحة
`202` ولكن بلا أشخاص أو أنشطة	أزل الغلاف القديم `sourcetype` / `event` وتحقق من مفاتيح التوجيه تمامًا كما هي
`429`	تمهّل أثناء التقييد المؤقت على مستوى IP والتزم بـ `Retry-After` عند وجوده
`503`	احتفظ بالدفعة لإعادة المحاولة، وانتظر `Retry-After`، ثم أعد إرسالها دون تغيير
فشل اختبار الاتصال	تحقق من اسم المضيف الإقليمي، وترويسة Bearer، وحالة المفتاح، وسياسة فحص TLS العامة

تقبل واجهة API ما لا يزيد عن 10,000 سجل و10 MB لكل طلب، بمعدل 600 طلب كل 60 ثانية لكل مؤسسة. راجع Custom Push Source API للاطلاع على عقد الاستجابة وإعادة المحاولة الكامل.

Custom Push Source API

راجع المصادقة وحدود الحمولة والاستجابات وإعادة المحاولة والتحقق من التشغيل.

Zscaler Client Connector

اربط واجهة API المنفصلة الخاصة بـ Client Connector للحصول على بيانات الأجهزة والوضع الأمني.

التكاملات

إعداد التكامل

الكتالوج

القنوات الصادرة

ما يقدمه هذا التكامل

قبل البدء

1. تجهيز Living Security

2. إنشاء موجز Cloud NSS

3. تصفية الموجز وتفعيله

4. التحقق من التسليم والتفسير

استكشاف الأخطاء وإصلاحها

ذات صلة

Custom Push Source API

Zscaler Client Connector

التكاملات

إعداد التكامل

الكتالوج

القنوات الصادرة

​ما يقدمه هذا التكامل

​قبل البدء

​1. تجهيز Living Security

​2. إنشاء موجز Cloud NSS

​3. تصفية الموجز وتفعيله

​4. التحقق من التسليم والتفسير

​استكشاف الأخطاء وإصلاحها

​ذات صلة

Custom Push Source API

Zscaler Client Connector

ما يقدمه هذا التكامل

قبل البدء

1. تجهيز Living Security

2. إنشاء موجز Cloud NSS

3. تصفية الموجز وتفعيله

4. التحقق من التسليم والتفسير

استكشاف الأخطاء وإصلاحها

ذات صلة