Zscaler ZIA Cloud NSS -asennus

Yhdistä Zscaler Internet Access (ZIA) Cloud Nanolog Streaming Service (NSS) -syöte, jotta verkkolokit lähetetään Living Securityyn. Kyseessä on push-integraatio. Se on erillinen pull-pohjaisesta Zscaler Client Connector -integraatiosta.

Mitä tämä integraatio tuottaa

Verkkolokisyötteen avulla voidaan tunnistaa verkkotoimintaan liittyvä käyttäjä ja laite, ja syöte voi tuottaa normalisoitua toimintatietoa, kuten estettyjä pyyntöjä, haitallisia kohteita, tiedonsiirron estoja ja generatiivisen tekoälyn käyttöä. Lopputulos riippuu Zscalerissa määritetyistä kentistä ja suodattimista.

Ennen aloittamista

Tarvitset seuraavat:

ZIA Cloud NSS -tilauksen ja oikeuden hallita Cloud NSS -syötteitä
oikeuden hallita integraatioita ja käyttöavaimia Living Securityssä
kohteena olevan Living Security -organisaation alueen
turvallisen paikan luodun käyttöavaimen säilyttämiseen

Zscaler edellyttää HTTPS-muotoisen Cloud NSS -kohteen käyttöön julkisesti luotettua TLS-varmennetta. Living Securityn alueelliset päätepisteet täyttävät tämän vaatimuksen.

1. Valmistele Living Security

Luo lähde ja virta

Siirry kohtaan Asetukset → Integraatiot → Luettelo, lisää Custom Push Source ja käytä täsmälleen seuraavia reititysavaimia:

Kenttä	Arvo
Data Source Name	`zscaler-nss-feed`
Stream Name	`web_logs`

Alaviiva kohdassa web_logs on pakollinen. Eri pari voi vastaanottaa dataa, mutta se ei käytä ylläpidettyä Zscaler NSS -tulkkia.

Luo käyttöavain

Siirry kohtaan Asetukset → Access Keys, luo käyttöavain, jonka laajuus on Push Ingest, ja kopioi sen arvo heti.

Muodosta kohde-URL

Käytä Living Security -alueesi URL-osoitetta:

Yhdysvallat: https://api.us-east-1.livingsecurity.ai/api/v1/push-ingest/zscaler-nss-feed/web_logs
Euroopan unioni: https://api.eu-west-1.livingsecurity.ai/api/v1/push-ingest/zscaler-nss-feed/web_logs

2. Luo Cloud NSS -syöte

Nykyisessä ZIA Admin Portalissa siirry kohtaan Logs → Log Streaming → Internet Log Streaming — Nanolog Streaming Service, avaa Cloud NSS Feeds ja valitse Add Cloud NSS Feed. Valikkojen nimet voivat poiketa ZIA-portaalin vanhemmissa versioissa; portaalin navigoinnin osalta ratkaisevia ovat Zscalerin Cloud NSS -verkkolokiohjeet. Määritä syöte:

Zscaler-kenttä	Arvo
Feed Name	Tunnistettava nimi, esimerkiksi `Living Security web logs`
NSS Type	NSS for Web
Status	Disabled määrityksen ajan; ota käyttöön vahvistuksen jälkeen
SIEM Rate	Unlimited, ellei oma käytäntösi edellytä alempaa nopeutta
SIEM Type	Other
OAuth 2.0 Authentication	Disabled
Max Batch Size	512 KB
API URL	Vaiheen 1 alueellinen Living Security -URL
HTTP Header 1	`Authorization` = `Bearer <access-key>`
HTTP Header 2	`Content-Type` = `application/json`
Log Type	Web Log
Feed Output Type	JSON
JSON Array Notation	Enabled
Feed Escape Character	`,\"`

Älä käytä kohtaa x-api-keyäläkä yhdistä vanhaa API-avainta ja salaisuutta pisteellä. Nykyinen Living Securityn push-vastaanotto hyväksyy rajatun käyttöavaimen vain otsikossa Authorization: Bearer ….

Käytä täsmälleen tätä litteää Feed Output Format -muotoa yhdellä rivillä:

{"datetime":"%d{yy}-%02d{mth}-%02d{dd} %02d{hh}:%02d{mm}:%02d{ss}","reason":"%s{reason}","event_id":"%d{recordid}","protocol":"%s{proto}","action":"%s{action}","transactionsize":"%d{totalsize}","responsesize":"%d{respsize}","requestsize":"%d{reqsize}","urlcategory":"%s{urlcat}","serverip":"%s{sip}","requestmethod":"%s{reqmethod}","refererURL":"%s{ereferer}","useragent":"%s{eua}","product":"NSS","location":"%s{elocation}","ClientIP":"%s{cip}","status":"%s{respcode}","user":"%s{elogin}","url":"%s{eurl}","vendor":"Zscaler","hostname":"%s{ehost}","clientpublicIP":"%s{cintip}","threatcategory":"%s{malwarecat}","threatname":"%s{threatname}","filetype":"%s{filetype}","appname":"%s{appname}","riskscore":"%d{riskscore}","department":"%s{edepartment}","urlsupercategory":"%s{urlsupercat}","appclass":"%s{appclass}","dlpengine":"%s{dlpeng}","urlclass":"%s{urlclass}","threatclass":"%s{malwareclass}","dlpdictionaries":"%s{dlpdict}","fileclass":"%s{fileclass}","bwthrottle":"%s{bwthrottle}","contenttype":"%s{contenttype}","unscannabletype":"%s{unscannabletype}","deviceowner":"%s{deviceowner}","devicehostname":"%s{devicehostname}","keyprotectiontype":"%s{keyprotectiontype}"}

Pidä jokainen kenttä ylimmällä tasolla. Poistettu Unify-ohje sisällytti nämä kentät event-objektin sisään ja lisäsi sourcetype. Tällainen kehys voidaan hyväksyä JSON-muotoisena, mutta se ei vastaa nykyistä tulkkia, joten se ei tuota henkilöitä eikä toimintaa.

Valitse aikavyöhyke, jota toimintatiimisi odottaa Zscaler-tapahtumia tarkastellessaan. Living Security jäsentää syötteen toimittaman datetime-arvon.

3. Suodata ja ota syöte käyttöön

Käytä Zscalerin Policy Action - ja Policy Reason -suodattimia lähettääksesi ihmisriskiohjelmasi tarvitseman verkkotoiminnan. Vältä matalaa tapahtumaa sekunnissa -asetusta, joka voisi pudottaa lokeja liikennepiikin aikana. Jos organisaatiosi on rajoitettava syötettä, seuraa säätämisen aikana sekä Zscalerin toimitusta että Living Securityn Push Historya. Tallenna syöte, suorita Zscalerin yhteystesti ja aseta sitten Status-arvoksi Enabled.

4. Varmista toimitus ja tulkinta

Avaa Living Securityssä Asetukset → Integraatiot → yhdistetty → zscaler-nss-feed.
Varmista Push History -näkymässä, että viimeisin web_logs-ajo näyttää odotetun tietueiden määrän.
Varmista, että viimeaikaiset Zscaler-käyttäjät tai laitteiden IP-osoitteet näkyvät odotettujen henkilöiden kohdalla ja että verkkotoiminta on käytettävissä jatkokäsittelyssä.
Jos ajo on hyväksytty mutta toimintaa ei näy, tarkista uudelleen täsmällinen lähde, virta ja litteä tulostemuoto.

Vianmääritys

Oire	Tarkistettava asia
`401 Unauthorized`	Käytä `Authorization`-otsikkoa arvolla `Bearer <access-key>`; vaihda vanhentunut tai mitätöity avain
`403 Forbidden`	Luo avain Push Ingest -laajuudella
`404 Not Found`	Rekisteröi `zscaler-nss-feed` ja `web_logs` ja käytä sitten täsmälleen tätä URL-osoitetta
`400 Bad Request`	Ota JSON Array Notation käyttöön ja varmista, että tuloste on ylimmän tason taulukko litteitä objekteja
`202` mutta ei henkilöitä tai toimintaa	Poista vanha `sourcetype` / `event` -kehys ja tarkista täsmälliset reititysavaimet
`429`	Odota, että tilapäinen IP-tason rajoitus purkautuu, ja noudata `Retry-After`-arvoa, jos se on annettu
`503`	Säilytä erä uudelleenyritystä varten, odota `Retry-After` ja lähetä se uudelleen muuttamattomana
Yhteystesti epäonnistuu	Tarkista alueellinen isäntänimi, Bearer-otsikko, avaimen tila ja julkisen TLS-tarkastuksen käytäntö

API hyväksyy enintään 10 000 tietuetta ja 10 MB pyyntöä kohti, ja organisaatiota kohti sallitaan 600 pyyntöä 60 sekunnin aikana. Täydellisen vaste- ja uudelleenyrityssopimuksen löydät kohdasta Custom Push Source API.

Liittyvää

Custom Push Source API

Tutustu todennukseen, hyötykuormien rajoihin, vasteisiin, uudelleenyrityksiin ja ajojen varmistamiseen.

Zscaler Client Connector

Yhdistä erillinen Client Connector API laite- ja tilannetietoja varten.

Integraatiot

Integraatioiden käyttöönotto

Luettelo

Lähtevät kanavat

Mitä tämä integraatio tuottaa

Ennen aloittamista

1. Valmistele Living Security

2. Luo Cloud NSS -syöte

3. Suodata ja ota syöte käyttöön

4. Varmista toimitus ja tulkinta

Vianmääritys

Liittyvää

Custom Push Source API

Zscaler Client Connector

Integraatiot

Integraatioiden käyttöönotto

Luettelo

Lähtevät kanavat

​Mitä tämä integraatio tuottaa

​Ennen aloittamista

​1. Valmistele Living Security

​2. Luo Cloud NSS -syöte

​3. Suodata ja ota syöte käyttöön

​4. Varmista toimitus ja tulkinta

​Vianmääritys

​Liittyvää

Custom Push Source API

Zscaler Client Connector

Mitä tämä integraatio tuottaa

Ennen aloittamista

1. Valmistele Living Security

2. Luo Cloud NSS -syöte

3. Suodata ja ota syöte käyttöön

4. Varmista toimitus ja tulkinta

Vianmääritys

Liittyvää