Skip to main content
חברו הזנת Zscaler Internet Access (ZIA) Cloud Nanolog Streaming Service (NSS) כדי לשלוח יומני רשת אל Living Security. זוהי אינטגרציית דחיפה (push). היא נפרדת מאינטגרציית Zscaler Client Connector המבוססת על משיכה (pull).

מה האינטגרציה הזו מספקת

הזנת יומני הרשת יכולה לזהות את המשתמש והמכשיר המעורבים בפעילות ברשת, ויכולה לספק פעילות מנורמלת כגון בקשות שנחסמו, יעדים זדוניים, חסימות של העברת נתונים ושימוש בבינה מלאכותית גנרטיבית. התוצאה תלויה בשדות ובמסננים שהוגדרו ב-Zscaler.

לפני שמתחילים

נדרשים:
  • מנוי ל-ZIA Cloud NSS והרשאה לניהול הזנות Cloud NSS
  • הרשאה לניהול אינטגרציות ומפתחות גישה ב-Living Security
  • האזור (region) של הארגון היעד ב-Living Security
  • מקום מאובטח לאחסון מפתח הגישה שנוצר
Zscaler דורשת אישור TLS מהימן לציבור עבור יעד HTTPS של Cloud NSS. נקודות הקצה האזוריות של Living Security עומדות בדרישה זו.

1. הכנת Living Security

1

יצירת המקור והזרם

עברו אל הגדרות → שילובי → קטלוג, הוסיפו את Custom Push Source, והשתמשו במפתחות הניתוב המדויקים הבאים:קו תחתון ב-web_logs הוא חובה. זוג אחר עשוי לקבל נתונים, אך לא ישתמש במפרש Zscaler NSS המתוחזק.
2

יצירת מפתח גישה

עברו אל הגדרות → Access Keys, צרו מפתח גישה עם ההיקף Push Ingest, והעתיקו את ערכו מיד.
3

בניית כתובת ה-URL של היעד

השתמשו בכתובת ה-URL של אזור Living Security:
  • ארצות הברית: https://api.us-east-1.livingsecurity.ai/api/v1/push-ingest/zscaler-nss-feed/web_logs
  • האיחוד האירופי: https://api.eu-west-1.livingsecurity.ai/api/v1/push-ingest/zscaler-nss-feed/web_logs

2. יצירת הזנת Cloud NSS

בפורטל הניהול הנוכחי של ZIA, עברו אל Logs → Log Streaming → Internet Log Streaming — Nanolog Streaming Service, פתחו את Cloud NSS Feeds, ובחרו Add Cloud NSS Feed. ייתכן שתוויות התפריט שונות בגרסאות ישנות יותר של פורטל ZIA; הוראות Cloud NSS ליומני רשת של Zscaler הן המקור המחייב לניווט בפורטל. הגדירו את ההזנה:
אל תשתמשו ב-x-api-key ואל תשלבו מפתח API וסוד ישנים באמצעות נקודה. קליטת הדחיפה (push ingest) הנוכחית של Living Security מקבלת את מפתח הגישה בעל ההיקף בלבד בכותרת Authorization: Bearer ….
השתמשו ב-Feed Output Format השטוח והמדויק הבא, בשורה אחת:
שמרו כל שדה ברמה העליונה. המדריך הישן של Unify עטף את השדות האלה בתוך אובייקט event והוסיף sourcetype. מעטפת כזו עשויה להתקבל כ-JSON אך אינה תואמת למפרש הנוכחי, ולכן אינה מפיקה אנשים או פעילות.
בחרו את אזור הזמן שצוות התפעול שלכם מצפה לו בעת סקירת אירועי Zscaler. Living Security מנתחת את הערך datetime שההזנה מספקת.

3. סינון והפעלה של ההזנה

השתמשו במסנני Policy Action ו-Policy Reason של Zscaler כדי לשלוח את הפעילות ברשת הנדרשת לתוכנית סיכוני האנוש שלכם. הימנעו מהגדרה נמוכה של אירועים לשנייה, העלולה לגרום לאובדן יומנים בעת שיא בתעבורה. אם הארגון שלכם נדרש להגביל את ההזנה, עקבו הן אחר המסירה ב-Zscaler והן אחר Push History ב-Living Security בזמן כוונון ההגדרה. שמרו את ההזנה, הריצו את בדיקת הקישוריות של Zscaler, ולאחר מכן הגדירו את Status ל-Enabled.

4. אימות המסירה והפירוש

  1. ב-Living Security, פתחו הגדרות → שילובי → מחובר → zscaler-nss-feed.
  2. ב-Push History, ודאו שהרצה אחרונה של web_logs מציגה את מספר הרשומות הצפוי.
  3. ודאו שמשתמשי Zscaler או כתובות IP של מכשירים אחרונים מופיעים מול האנשים הצפויים, ושהפעילות ברשת זמינה בהמשך התהליך.
  4. אם ההרצה התקבלה אך לא מופיעה פעילות, בדקו שוב את המקור, הזרם ופורמט הפלט השטוח המדויקים.

פתרון בעיות

ה-API מקבל לכל היותר 10,000 רשומות ו-10 MB לכל בקשה, עם 600 בקשות ב-60 שניות לכל ארגון. לפרטים מלאים על חוזה התגובות והניסיונות החוזרים, ראו Custom Push Source API.

קישורים קשורים

Custom Push Source API

סקירה של אימות, מגבלות מטען, תגובות, ניסיונות חוזרים ואימות הרצות.

Zscaler Client Connector

חיבור ה-API הנפרד של Client Connector לנתוני מכשירים ומצב אבטחה (posture).