Zscaler ZIA Cloud NSS सेटअप

Living Security को वेब लॉग भेजने के लिए Zscaler Internet Access (ZIA) Cloud Nanolog Streaming Service (NSS) फ़ीड कनेक्ट करें। यह एक पुश इंटीग्रेशन है। यह पुल-आधारित Zscaler Client Connector इंटीग्रेशन से अलग है।

यह इंटीग्रेशन क्या योगदान देता है

वेब-लॉग फ़ीड वेब गतिविधि में शामिल उपयोगकर्ता और डिवाइस की पहचान कर सकती है, और ब्लॉक किए गए अनुरोध, दुर्भावनापूर्ण गंतव्य, डेटा-ट्रांसफ़र ब्लॉक तथा जनरेटिव AI के उपयोग जैसी सामान्यीकृत गतिविधि का योगदान दे सकती है। परिणाम इस पर निर्भर करता है कि Zscaler में कौन-से फ़ील्ड और फ़िल्टर कॉन्फ़िगर किए गए हैं।

शुरू करने से पहले

आपके पास निम्नलिखित होना चाहिए:

ZIA Cloud NSS सब्सक्रिप्शन और Cloud NSS फ़ीड प्रबंधित करने की अनुमति
Living Security में इंटीग्रेशन और एक्सेस कुंजियाँ प्रबंधित करने की अनुमति
लक्षित Living Security संगठन का क्षेत्र (region)
जनरेट की गई एक्सेस कुंजी को सुरक्षित रूप से संग्रहीत करने का स्थान

HTTPS Cloud NSS गंतव्य के लिए Zscaler को सार्वजनिक रूप से विश्वसनीय TLS प्रमाणपत्र की आवश्यकता होती है। Living Security के क्षेत्रीय एंडपॉइंट इस आवश्यकता को पूरा करते हैं।

1. Living Security तैयार करें

स्रोत और स्ट्रीम बनाएँ

Settings → Integrations → Catalog पर जाएँ, Custom Push Source जोड़ें, और ये सटीक रूटिंग कुंजियाँ उपयोग करें:

Field	Value
Data Source Name	`zscaler-nss-feed`
Stream Name	`web_logs`

web_logs में अंडरस्कोर आवश्यक है। कोई भिन्न जोड़ी डेटा स्वीकार कर सकती है, लेकिन वह अनुरक्षित Zscaler NSS इंटरप्रेटर का उपयोग नहीं करेगी।

एक्सेस कुंजी बनाएँ

Settings → Access Keys पर जाएँ, Push Ingest स्कोप के साथ एक एक्सेस कुंजी बनाएँ, और उसका मान तुरंत कॉपी कर लें।

गंतव्य URL बनाएँ

Living Security क्षेत्र के अनुसार URL का उपयोग करें:

संयुक्त राज्य अमेरिका: https://api.us-east-1.livingsecurity.ai/api/v1/push-ingest/zscaler-nss-feed/web_logs
यूरोपीय संघ: https://api.eu-west-1.livingsecurity.ai/api/v1/push-ingest/zscaler-nss-feed/web_logs

2. Cloud NSS फ़ीड बनाएँ

वर्तमान ZIA Admin Portal में Logs → Log Streaming → Internet Log Streaming — Nanolog Streaming Service पर जाएँ, Cloud NSS Feeds खोलें, और Add Cloud NSS Feed चुनें। ZIA पोर्टल के पुराने संस्करणों में मेनू लेबल भिन्न हो सकते हैं; पोर्टल नेविगेशन के लिए Zscaler के Cloud NSS वेब-लॉग निर्देश ही प्रामाणिक हैं। फ़ीड कॉन्फ़िगर करें:

Zscaler फ़ील्ड	मान
Feed Name	कोई पहचानने योग्य नाम, जैसे `Living Security web logs`
NSS Type	NSS for Web
Status	कॉन्फ़िगर करते समय Disabled; सत्यापन के बाद सक्षम करें
SIEM Rate	Unlimited, जब तक आपकी अपनी नीति के अनुसार कम दर आवश्यक न हो
SIEM Type	Other
OAuth 2.0 Authentication	Disabled
Max Batch Size	512 KB
API URL	चरण 1 का क्षेत्रीय Living Security URL
HTTP Header 1	`Authorization` = `Bearer <access-key>`
HTTP Header 2	`Content-Type` = `application/json`
Log Type	Web Log
Feed Output Type	JSON
JSON Array Notation	Enabled
Feed Escape Character	`,\"`

x-api-key का उपयोग न करें और पुरानी API कुंजी तथा सीक्रेट को पीरियड के साथ जोड़कर उपयोग न करें। वर्तमान Living Security पुश इनजेस्ट केवल स्कोप्ड एक्सेस कुंजी को Authorization: Bearer … हेडर में स्वीकार करता है।

इस सटीक, फ़्लैट Feed Output Format को एक ही पंक्ति में उपयोग करें:

{"datetime":"%d{yy}-%02d{mth}-%02d{dd} %02d{hh}:%02d{mm}:%02d{ss}","reason":"%s{reason}","event_id":"%d{recordid}","protocol":"%s{proto}","action":"%s{action}","transactionsize":"%d{totalsize}","responsesize":"%d{respsize}","requestsize":"%d{reqsize}","urlcategory":"%s{urlcat}","serverip":"%s{sip}","requestmethod":"%s{reqmethod}","refererURL":"%s{ereferer}","useragent":"%s{eua}","product":"NSS","location":"%s{elocation}","ClientIP":"%s{cip}","status":"%s{respcode}","user":"%s{elogin}","url":"%s{eurl}","vendor":"Zscaler","hostname":"%s{ehost}","clientpublicIP":"%s{cintip}","threatcategory":"%s{malwarecat}","threatname":"%s{threatname}","filetype":"%s{filetype}","appname":"%s{appname}","riskscore":"%d{riskscore}","department":"%s{edepartment}","urlsupercategory":"%s{urlsupercat}","appclass":"%s{appclass}","dlpengine":"%s{dlpeng}","urlclass":"%s{urlclass}","threatclass":"%s{malwareclass}","dlpdictionaries":"%s{dlpdict}","fileclass":"%s{fileclass}","bwthrottle":"%s{bwthrottle}","contenttype":"%s{contenttype}","unscannabletype":"%s{unscannabletype}","deviceowner":"%s{deviceowner}","devicehostname":"%s{devicehostname}","keyprotectiontype":"%s{keyprotectiontype}"}

हर फ़ील्ड को शीर्ष स्तर पर रखें। बंद किए जा चुके Unify गाइड में ये फ़ील्ड event ऑब्जेक्ट के अंदर रखे गए थे और sourcetype जोड़ा गया था। वह एन्वेलप JSON के रूप में स्वीकार हो सकता है, लेकिन वर्तमान इंटरप्रेटर से मेल नहीं खाता, इसलिए इससे कोई लोग या गतिविधि प्राप्त नहीं होती।

वह टाइमज़ोन चुनें जिसकी अपेक्षा आपकी ऑपरेशन्स टीम Zscaler इवेंट की समीक्षा करते समय करती है। Living Security फ़ीड द्वारा दिए गए datetime मान को पार्स करता है।

3. फ़ीड को फ़िल्टर करें और सक्षम करें

अपने ह्यूमन-रिस्क प्रोग्राम के लिए आवश्यक वेब गतिविधि भेजने हेतु Zscaler के Policy Action और Policy Reason फ़िल्टर का उपयोग करें। प्रति सेकंड इवेंट की कम सेटिंग से बचें, क्योंकि ट्रैफ़िक में अचानक वृद्धि के दौरान लॉग छूट सकते हैं। यदि आपके संगठन को फ़ीड पर सीमा लगानी ही पड़े, तो ट्यूनिंग के दौरान Zscaler डिलीवरी और Living Security Push History, दोनों की निगरानी करें। फ़ीड सहेजें, Zscaler का कनेक्टिविटी परीक्षण चलाएँ, और फिर Status को Enabled पर सेट करें।

4. डिलीवरी और इंटरप्रिटेशन सत्यापित करें

Living Security में Settings → Integrations → Connected → zscaler-nss-feed खोलें।
Push History में पुष्टि करें कि हाल के web_logs रन में अपेक्षित रिकॉर्ड संख्या दिख रही है।
पुष्टि करें कि हाल के Zscaler उपयोगकर्ता या डिवाइस IP अपेक्षित लोगों से मेल खाते हैं और वेब गतिविधि डाउनस्ट्रीम उपलब्ध है।
यदि रन स्वीकार हो गया है लेकिन कोई गतिविधि दिखाई नहीं देती, तो सटीक स्रोत, स्ट्रीम और फ़्लैट आउटपुट फ़ॉर्मेट की दोबारा जाँच करें।

समस्या निवारण

लक्षण	जाँचें
`401 Unauthorized`	`Bearer <access-key>` मान के साथ `Authorization` का उपयोग करें; समाप्त या रद्द की गई कुंजी को रोटेट करें
`403 Forbidden`	कुंजी को Push Ingest स्कोप के साथ बनाएँ
`404 Not Found`	`zscaler-nss-feed` और `web_logs` पंजीकृत करें, फिर उसी सटीक URL का उपयोग करें
`400 Bad Request`	JSON Array Notation सक्षम करें और पुष्टि करें कि आउटपुट फ़्लैट ऑब्जेक्ट्स की शीर्ष-स्तरीय ऐरे है
`202` लेकिन कोई लोग या गतिविधि नहीं	पुराने `sourcetype` / `event` रैपर को हटाएँ और सटीक रूटिंग कुंजियों की जाँच करें
`429`	अस्थायी IP-स्तरीय थ्रॉटलिंग के समाप्त होने तक प्रतीक्षा करें और `Retry-After` उपलब्ध होने पर उसका पालन करें
`503`	बैच को पुनः प्रयास के लिए रखें, `Retry-After` तक प्रतीक्षा करें, और उसे बिना बदलाव के फिर से भेजें
कनेक्टिविटी परीक्षण विफल होता है	क्षेत्रीय होस्टनाम, Bearer हेडर, कुंजी की स्थिति और सार्वजनिक TLS इंस्पेक्शन नीति की जाँच करें

API प्रति अनुरोध अधिकतम 10,000 रिकॉर्ड और 10 MB स्वीकार करता है, और प्रति संगठन प्रति 60 सेकंड में 600 अनुरोधों की अनुमति है। पूर्ण रिस्पॉन्स और रीट्राई अनुबंध के लिए Custom Push Source API देखें।

Custom Push Source API

ऑथेंटिकेशन, पेलोड सीमाएँ, रिस्पॉन्स, रीट्राई और रन सत्यापन की समीक्षा करें।

Zscaler Client Connector

डिवाइस और पोस्चर डेटा के लिए अलग Client Connector API कनेक्ट करें।

Integrations

Integration सेटअप

कैटलॉग

आउटबाउंड चैनल

यह इंटीग्रेशन क्या योगदान देता है

शुरू करने से पहले

1. Living Security तैयार करें

2. Cloud NSS फ़ीड बनाएँ

3. फ़ीड को फ़िल्टर करें और सक्षम करें

4. डिलीवरी और इंटरप्रिटेशन सत्यापित करें

समस्या निवारण

संबंधित

Custom Push Source API

Zscaler Client Connector

Integrations

Integration सेटअप

कैटलॉग

आउटबाउंड चैनल

​यह इंटीग्रेशन क्या योगदान देता है

​शुरू करने से पहले

​1. Living Security तैयार करें

​2. Cloud NSS फ़ीड बनाएँ

​3. फ़ीड को फ़िल्टर करें और सक्षम करें

​4. डिलीवरी और इंटरप्रिटेशन सत्यापित करें

​समस्या निवारण

​संबंधित

Custom Push Source API

Zscaler Client Connector

यह इंटीग्रेशन क्या योगदान देता है

शुरू करने से पहले

1. Living Security तैयार करें

2. Cloud NSS फ़ीड बनाएँ

3. फ़ीड को फ़िल्टर करें और सक्षम करें

4. डिलीवरी और इंटरप्रिटेशन सत्यापित करें

समस्या निवारण

संबंधित