> ## Documentation Index
> Fetch the complete documentation index at: https://docs.livingsecurity.com/llms.txt
> Use this file to discover all available pages before exploring further.
# Opsætning af Zscaler ZIA Cloud NSS
> Send Zscaler Internet Access-weblogs til Living Security via et Cloud NSS-feed.
Tilslut et Zscaler Internet Access (ZIA) Cloud Nanolog Streaming Service (NSS)-feed for at sende weblogs til Living Security. Dette er en push-integration. Den er adskilt fra den pull-baserede integration [Zscaler Client Connector](/da/integrations/catalog/zscaler-client-connector-custom).
## Hvad denne integration bidrager med
Weblog-feedet kan identificere den bruger og den enhed, der er involveret i webaktivitet, og kan bidrage med normaliseret aktivitet såsom blokerede forespørgsler, ondsindede destinationer, blokeringer af dataoverførsel og brug af generativ AI. Resultatet afhænger af de felter og filtre, der er konfigureret i Zscaler.
## Inden du går i gang
Du skal bruge:
* et ZIA Cloud NSS-abonnement og tilladelse til at administrere Cloud NSS-feeds
* tilladelse til at administrere integrationer og adgangsnøgler i Living Security
* regionen for den pågældende Living Security-organisation
* et sikkert sted til at opbevare den genererede adgangsnøgle
Zscaler kræver et offentligt betroet TLS-certifikat til en HTTPS Cloud NSS-destination. Living Securitys regionale endpoints opfylder dette krav.
## 1. Forbered Living Security
Gå til **Indstillinger → Integrationer → Katalog**, tilføj **Custom Push Source**, og brug disse præcise routing-nøgler:
| Felt | Værdi |
| - | - |
| Data Source Name | `zscaler-nss-feed` |
| Stream Name | `web_logs` |
Understregningen i `web_logs` er påkrævet. Et andet par kan modtage data, men vil ikke bruge den vedligeholdte Zscaler NSS-fortolker.
Gå til **Indstillinger → Access Keys**, opret en adgangsnøgle med scopet **Push Ingest**, og kopiér dens værdi med det samme.
Brug URL'en for Living Security-regionen:
* USA: `https://api.us-east-1.livingsecurity.ai/api/v1/push-ingest/zscaler-nss-feed/web_logs`
* Den Europæiske Union: `https://api.eu-west-1.livingsecurity.ai/api/v1/push-ingest/zscaler-nss-feed/web_logs`
## 2. Opret Cloud NSS-feedet
I den aktuelle ZIA Admin Portal skal du gå til **Logs → Log Streaming → Internet Log Streaming — Nanolog Streaming Service**, åbne **Cloud NSS Feeds** og vælge **Add Cloud NSS Feed**. Menuetiketter kan afvige i ældre versioner af ZIA-portalen; Zscalers [vejledning til Cloud NSS-weblogs](https://help.zscaler.com/zia/adding-cloud-nss-feeds-web-logs) er gældende for navigationen i portalen.
Konfigurer feedet:
| Zscaler-felt | Værdi |
| - | - |
| Feed Name | Et letgenkendeligt navn, f.eks. `Living Security web logs` |
| NSS Type | **NSS for Web** |
| Status | **Disabled** under konfigurationen; aktivér efter verifikation |
| SIEM Rate | **Unlimited**, medmindre din egen politik kræver en lavere rate |
| SIEM Type | **Other** |
| OAuth 2.0 Authentication | **Disabled** |
| Max Batch Size | **512 KB** |
| API URL | Den regionale Living Security-URL fra trin 1 |
| HTTP Header 1 | `Authorization` = `Bearer ` |
| HTTP Header 2 | `Content-Type` = `application/json` |
| Log Type | **Web Log** |
| Feed Output Type | **JSON** |
| JSON Array Notation | **Enabled** |
| Feed Escape Character | `,\"` |
Brug ikke `x-api-key`, og kombinér ikke en gammel API-nøgle og en hemmelighed med
et punktum. Den aktuelle push-indlæsning i Living Security accepterer kun den scopede adgangsnøgle
i headeren `Authorization: Bearer …`.
Brug dette præcise, flade **Feed Output Format** på én linje:
```text theme={null}
{"datetime":"%d{yy}-%02d{mth}-%02d{dd} %02d{hh}:%02d{mm}:%02d{ss}","reason":"%s{reason}","event_id":"%d{recordid}","protocol":"%s{proto}","action":"%s{action}","transactionsize":"%d{totalsize}","responsesize":"%d{respsize}","requestsize":"%d{reqsize}","urlcategory":"%s{urlcat}","serverip":"%s{sip}","requestmethod":"%s{reqmethod}","refererURL":"%s{ereferer}","useragent":"%s{eua}","product":"NSS","location":"%s{elocation}","ClientIP":"%s{cip}","status":"%s{respcode}","user":"%s{elogin}","url":"%s{eurl}","vendor":"Zscaler","hostname":"%s{ehost}","clientpublicIP":"%s{cintip}","threatcategory":"%s{malwarecat}","threatname":"%s{threatname}","filetype":"%s{filetype}","appname":"%s{appname}","riskscore":"%d{riskscore}","department":"%s{edepartment}","urlsupercategory":"%s{urlsupercat}","appclass":"%s{appclass}","dlpengine":"%s{dlpeng}","urlclass":"%s{urlclass}","threatclass":"%s{malwareclass}","dlpdictionaries":"%s{dlpdict}","fileclass":"%s{fileclass}","bwthrottle":"%s{bwthrottle}","contenttype":"%s{contenttype}","unscannabletype":"%s{unscannabletype}","deviceowner":"%s{deviceowner}","devicehostname":"%s{devicehostname}","keyprotectiontype":"%s{keyprotectiontype}"}
```
Behold alle felter på øverste niveau. Den udgåede Unify-vejledning pakkede disse
felter ind i et `event`-objekt og tilføjede `sourcetype`. Den indpakning kan
accepteres som JSON, men matcher ikke den aktuelle fortolker, så den giver
hverken personer eller aktivitet.
Vælg den tidszone, som dit driftsteam forventer, når Zscaler-hændelser gennemgås. Living Security fortolker den `datetime`-værdi, som feedet leverer.
## 3. Filtrer og aktivér feedet
Brug Zscalers filtre **Policy Action** og **Policy Reason** til at sende den webaktivitet, som dit program for menneskelig risiko har brug for. Undgå en lav indstilling for hændelser pr. sekund, da den kan medføre, at logs kasseres under en trafikspids. Hvis din organisation er nødt til at begrænse feedet, skal du overvåge både Zscalers leverance og Push History i Living Security, mens du justerer det.
Gem feedet, kør Zscalers forbindelsestest, og sæt derefter **Status** til **Enabled**.
## 4. Verificer levering og fortolkning
1. Åbn **Indstillinger → Integrationer → Tilsluttet → zscaler-nss-feed** i Living Security.
2. Under **Push History** skal du bekræfte, at en nylig `web_logs`-kørsel viser det forventede antal poster.
3. Bekræft, at nylige Zscaler-brugere eller enheds-IP'er vises ud for de forventede personer, og at webaktivitet er tilgængelig downstream.
4. Hvis kørslen er accepteret, men der ikke vises nogen aktivitet, skal du kontrollere den præcise kilde, stream og det flade outputformat igen.
## Fejlfinding
| Symptom | Kontrollér |
| - | - |
| `401 Unauthorized` | Brug `Authorization` med værdien `Bearer `; roter en udløbet eller tilbagekaldt nøgle |
| `403 Forbidden` | Opret nøglen med scopet **Push Ingest** |
| `404 Not Found` | Registrér `zscaler-nss-feed` og `web_logs`, og brug derefter præcis den URL |
| `400 Bad Request` | Aktivér JSON Array Notation, og bekræft, at outputtet er et array på øverste niveau bestående af flade objekter |
| `202` men ingen personer eller aktivitet | Fjern den gamle `sourcetype` / `event`-indpakning, og verificer de præcise routing-nøgler |
| `429` | Vent, til midlertidig begrænsning på IP-niveau er ophørt, og overhold `Retry-After`, når den er til stede |
| `503` | Behold batchen til nyt forsøg, vent på `Retry-After`, og send den igen uændret |
| Forbindelsestesten mislykkes | Kontrollér det regionale værtsnavn, Bearer-headeren, nøglens status og politikken for offentlig TLS-inspektion |
API'en accepterer højst 10.000 poster og 10 MB pr. forespørgsel, med 600 forespørgsler pr. 60 sekunder pr. organisation. Se [Custom Push Source API](/da/integrations/custom-push-source) for den fulde kontrakt for svar og nye forsøg.
## Relateret
Gennemgå autentificering, grænser for payload, svar, nye forsøg og verifikation af kørsler.
Tilslut den separate Client Connector API for enheds- og posture-data.
This documentation is built and hosted on [Mintlify](https://mintlify.com), a developer documentation platform.