Nastavení Zscaler ZIA Cloud NSS

Připojte kanál Zscaler Internet Access (ZIA) Cloud Nanolog Streaming Service (NSS) a odesílejte webové protokoly do Living Security. Jedná se o integraci typu push. Je oddělená od integrace Zscaler Client Connector, která funguje na principu pull.

Co tato integrace přináší

Kanál webových protokolů může identifikovat uživatele a zařízení zapojené do webové aktivity a může poskytovat normalizovanou aktivitu, například blokované požadavky, škodlivé cíle, blokace přenosu dat a používání generativní AI. Výsledek závisí na polích a filtrech nakonfigurovaných ve Zscaleru.

Než začnete

Potřebujete:

předplatné ZIA Cloud NSS a oprávnění ke správě kanálů Cloud NSS
oprávnění ke správě integrací a přístupových klíčů v Living Security
region cílové organizace v Living Security
zabezpečené místo pro uložení vygenerovaného přístupového klíče

Zscaler vyžaduje pro cíl HTTPS Cloud NSS veřejně důvěryhodný certifikát TLS. Regionální koncové body Living Security tento požadavek splňují.

1. Příprava Living Security

Vytvoření zdroje a streamu

Přejděte do Nastavení → Integrace → Katalog, přidejte Custom Push Source a použijte tyto přesné směrovací klíče:

Pole	Hodnota
Data Source Name	`zscaler-nss-feed`
Stream Name	`web_logs`

Podtržítko v web_logs je povinné. Jiná dvojice může data přijmout, ale nepoužije udržovaný interpret Zscaler NSS.

Vytvoření přístupového klíče

Přejděte do Nastavení → Access Keys, vytvořte přístupový klíč s oprávněním Push Ingest a ihned zkopírujte jeho hodnotu.

Sestavení cílové adresy URL

Použijte adresu URL pro region Living Security:

Spojené státy: https://api.us-east-1.livingsecurity.ai/api/v1/push-ingest/zscaler-nss-feed/web_logs
Evropská unie: https://api.eu-west-1.livingsecurity.ai/api/v1/push-ingest/zscaler-nss-feed/web_logs

2. Vytvoření kanálu Cloud NSS

V aktuálním portálu ZIA Admin Portal přejděte do Logs → Log Streaming → Internet Log Streaming — Nanolog Streaming Service, otevřete Cloud NSS Feeds a vyberte Add Cloud NSS Feed. V starších verzích portálu ZIA se názvy nabídek mohou lišit; pro navigaci v portálu je závazný dokument Zscaleru Cloud NSS web-log instructions. Nakonfigurujte kanál:

Pole Zscaleru	Hodnota
Feed Name	Snadno rozpoznatelný název, například `Living Security web logs`
NSS Type	NSS for Web
Status	Disabled během konfigurace; po ověření zapněte
SIEM Rate	Unlimited, pokud vaše vlastní zásady nevyžadují nižší rychlost
SIEM Type	Other
OAuth 2.0 Authentication	Disabled
Max Batch Size	512 KB
API URL	Regionální adresa URL Living Security z kroku 1
HTTP Header 1	`Authorization` = `Bearer <access-key>`
HTTP Header 2	`Content-Type` = `application/json`
Log Type	Web Log
Feed Output Type	JSON
JSON Array Notation	Enabled
Feed Escape Character	`,\"`

Nepoužívejte x-api-key a nekombinujte starý klíč API a tajný klíč pomocí tečky. Aktuální push ingest v Living Security přijímá pouze přístupový klíč s omezeným oprávněním v hlavičce Authorization: Bearer ….

Použijte tento přesný plochý Feed Output Format na jednom řádku:

{"datetime":"%d{yy}-%02d{mth}-%02d{dd} %02d{hh}:%02d{mm}:%02d{ss}","reason":"%s{reason}","event_id":"%d{recordid}","protocol":"%s{proto}","action":"%s{action}","transactionsize":"%d{totalsize}","responsesize":"%d{respsize}","requestsize":"%d{reqsize}","urlcategory":"%s{urlcat}","serverip":"%s{sip}","requestmethod":"%s{reqmethod}","refererURL":"%s{ereferer}","useragent":"%s{eua}","product":"NSS","location":"%s{elocation}","ClientIP":"%s{cip}","status":"%s{respcode}","user":"%s{elogin}","url":"%s{eurl}","vendor":"Zscaler","hostname":"%s{ehost}","clientpublicIP":"%s{cintip}","threatcategory":"%s{malwarecat}","threatname":"%s{threatname}","filetype":"%s{filetype}","appname":"%s{appname}","riskscore":"%d{riskscore}","department":"%s{edepartment}","urlsupercategory":"%s{urlsupercat}","appclass":"%s{appclass}","dlpengine":"%s{dlpeng}","urlclass":"%s{urlclass}","threatclass":"%s{malwareclass}","dlpdictionaries":"%s{dlpdict}","fileclass":"%s{fileclass}","bwthrottle":"%s{bwthrottle}","contenttype":"%s{contenttype}","unscannabletype":"%s{unscannabletype}","deviceowner":"%s{deviceowner}","devicehostname":"%s{devicehostname}","keyprotectiontype":"%s{keyprotectiontype}"}

Ponechte všechna pole na nejvyšší úrovni. Vyřazený průvodce pro Unify zabalil tato pole do objektu event a přidal sourcetype. Takovou obálku lze přijmout jako JSON, ale neodpovídá aktuálnímu interpretu, takže nevytvoří žádné osoby ani aktivitu.

Vyberte časové pásmo, které váš provozní tým očekává při kontrole událostí Zscaleru. Living Security zpracovává hodnotu datetime poskytnutou kanálem.

3. Filtrování a zapnutí kanálu

Pomocí filtrů Policy Action a Policy Reason ve Zscaleru odesílejte webovou aktivitu potřebnou pro váš program řízení lidských rizik. Vyhněte se nízkému nastavení počtu událostí za sekundu, které by mohlo při špičce provozu způsobit zahazování protokolů. Pokud musí vaše organizace kanál omezit, během ladění sledujte doručování ve Zscaleru i Push History v Living Security. Kanál uložte, spusťte test konektivity Zscaleru a poté nastavte Status na Enabled.

4. Ověření doručení a interpretace

V Living Security otevřete Nastavení → Integrace → Připojeno → zscaler-nss-feed.
V části Push History ověřte, že nedávný běh web_logs zobrazuje očekávaný počet záznamů.
Ověřte, že se nedávní uživatelé Zscaleru nebo IP adresy zařízení zobrazují u očekávaných osob a že je webová aktivita dostupná v navazujících částech.
Pokud je běh přijat, ale aktivita se nezobrazuje, znovu zkontrolujte přesný zdroj, stream a plochý výstupní formát.

Řešení potíží

Příznak	Co zkontrolovat
`401 Unauthorized`	Použijte `Authorization` s hodnotou `Bearer <access-key>`; vyměňte vypršelý nebo odvolaný klíč
`403 Forbidden`	Vytvořte klíč s oprávněním Push Ingest
`404 Not Found`	Zaregistrujte `zscaler-nss-feed` a `web_logs` a poté použijte přesně tuto adresu URL
`400 Bad Request`	Zapněte JSON Array Notation a ověřte, že výstup je pole plochých objektů na nejvyšší úrovni
`202`, ale žádné osoby ani aktivita	Odeberte starší obálku `sourcetype` / `event` a ověřte přesné směrovací klíče
`429`	Počkejte, až skončí dočasné omezování na úrovni IP adresy, a respektujte `Retry-After`, pokud je k dispozici
`503`	Ponechte dávku pro opakování, počkejte na `Retry-After` a odešlete ji beze změny znovu
Test konektivity selže	Zkontrolujte regionální název hostitele, hlavičku Bearer, stav klíče a zásady inspekce veřejného TLS

Rozhraní API přijímá nejvýše 10,000 záznamů a 10 MB na požadavek, s limitem 600 požadavků za 60 sekund na organizaci. Úplné informace o odpovědích a pravidlech opakování najdete v Custom Push Source API.

Související

Custom Push Source API

Seznamte se s autentizací, limity datové části, odpověďmi, opakováním a ověřením běhu.

Zscaler Client Connector

Připojte samostatné rozhraní API Client Connector pro data o zařízeních a jejich stavu zabezpečení.

Integrace

Nastavení integrace

Katalog

Odchozí kanály

Co tato integrace přináší

Než začnete

1. Příprava Living Security

2. Vytvoření kanálu Cloud NSS

3. Filtrování a zapnutí kanálu

4. Ověření doručení a interpretace

Řešení potíží

Související

Custom Push Source API

Zscaler Client Connector

Integrace

Nastavení integrace

Katalog

Odchozí kanály

​Co tato integrace přináší

​Než začnete

​1. Příprava Living Security

​2. Vytvoření kanálu Cloud NSS

​3. Filtrování a zapnutí kanálu

​4. Ověření doručení a interpretace

​Řešení potíží

​Související

Custom Push Source API

Zscaler Client Connector

Co tato integrace přináší

Než začnete

1. Příprava Living Security

2. Vytvoření kanálu Cloud NSS

3. Filtrování a zapnutí kanálu

4. Ověření doručení a interpretace

Řešení potíží

Související