Penyiapan Zscaler ZIA Cloud NSS

Hubungkan feed Zscaler Internet Access (ZIA) Cloud Nanolog Streaming Service (NSS) untuk mengirim log web ke Living Security. Ini merupakan integrasi berbasis push. Integrasi ini terpisah dari integrasi Zscaler Client Connector yang berbasis pull.

Kontribusi integrasi ini

Feed log web dapat mengidentifikasi pengguna dan perangkat yang terlibat dalam aktivitas web, serta dapat menyumbangkan aktivitas yang dinormalisasi, seperti permintaan yang diblokir, tujuan berbahaya, pemblokiran transfer data, dan penggunaan AI generatif. Hasilnya bergantung pada kolom dan filter yang dikonfigurasi di Zscaler.

Sebelum Anda memulai

Anda memerlukan:

langganan ZIA Cloud NSS dan izin untuk mengelola feed Cloud NSS
izin untuk mengelola integrasi dan kunci akses di Living Security
wilayah untuk organisasi Living Security yang dituju
tempat yang aman untuk menyimpan kunci akses yang dihasilkan

Zscaler mewajibkan sertifikat TLS yang tepercaya secara publik untuk tujuan Cloud NSS berbasis HTTPS. Endpoint regional Living Security memenuhi persyaratan tersebut.

1. Siapkan Living Security

Buat sumber dan stream

Buka Pengaturan → Integrasi → Katalog, tambahkan Custom Push Source, dan gunakan kunci perutean berikut persis seperti tertulis:

Kolom	Nilai
Data Source Name	`zscaler-nss-feed`
Stream Name	`web_logs`

Garis bawah pada web_logs wajib ada. Pasangan yang berbeda mungkin tetap dapat menerima data, tetapi tidak akan menggunakan interpreter Zscaler NSS yang dipelihara.

Buat kunci akses

Buka Pengaturan → Access Keys, buat kunci akses dengan cakupan Push Ingest, lalu segera salin nilainya.

Susun URL tujuan

Gunakan URL untuk wilayah Living Security:

Amerika Serikat: https://api.us-east-1.livingsecurity.ai/api/v1/push-ingest/zscaler-nss-feed/web_logs
Uni Eropa: https://api.eu-west-1.livingsecurity.ai/api/v1/push-ingest/zscaler-nss-feed/web_logs

2. Buat feed Cloud NSS

Di ZIA Admin Portal versi terbaru, buka Logs → Log Streaming → Internet Log Streaming — Nanolog Streaming Service, buka Cloud NSS Feeds, lalu pilih Add Cloud NSS Feed. Label menu dapat berbeda pada portal ZIA versi lama; petunjuk log web Cloud NSS dari Zscaler menjadi acuan utama untuk navigasi portal. Konfigurasikan feed:

Kolom Zscaler	Nilai
Feed Name	Nama yang mudah dikenali, misalnya `Living Security web logs`
NSS Type	NSS for Web
Status	Disabled selama konfigurasi; aktifkan setelah verifikasi
SIEM Rate	Unlimited kecuali kebijakan Anda sendiri mensyaratkan laju yang lebih rendah
SIEM Type	Other
OAuth 2.0 Authentication	Disabled
Max Batch Size	512 KB
API URL	URL regional Living Security dari langkah 1
HTTP Header 1	`Authorization` = `Bearer <access-key>`
HTTP Header 2	`Content-Type` = `application/json`
Log Type	Web Log
Feed Output Type	JSON
JSON Array Notation	Enabled
Feed Escape Character	`,\"`

Jangan gunakan x-api-key dan jangan menggabungkan kunci API dan secret lama dengan tanda titik. Push ingest Living Security saat ini hanya menerima kunci akses yang bercakupan pada header Authorization: Bearer ….

Gunakan Feed Output Format yang datar dan persis seperti berikut dalam satu baris:

{"datetime":"%d{yy}-%02d{mth}-%02d{dd} %02d{hh}:%02d{mm}:%02d{ss}","reason":"%s{reason}","event_id":"%d{recordid}","protocol":"%s{proto}","action":"%s{action}","transactionsize":"%d{totalsize}","responsesize":"%d{respsize}","requestsize":"%d{reqsize}","urlcategory":"%s{urlcat}","serverip":"%s{sip}","requestmethod":"%s{reqmethod}","refererURL":"%s{ereferer}","useragent":"%s{eua}","product":"NSS","location":"%s{elocation}","ClientIP":"%s{cip}","status":"%s{respcode}","user":"%s{elogin}","url":"%s{eurl}","vendor":"Zscaler","hostname":"%s{ehost}","clientpublicIP":"%s{cintip}","threatcategory":"%s{malwarecat}","threatname":"%s{threatname}","filetype":"%s{filetype}","appname":"%s{appname}","riskscore":"%d{riskscore}","department":"%s{edepartment}","urlsupercategory":"%s{urlsupercat}","appclass":"%s{appclass}","dlpengine":"%s{dlpeng}","urlclass":"%s{urlclass}","threatclass":"%s{malwareclass}","dlpdictionaries":"%s{dlpdict}","fileclass":"%s{fileclass}","bwthrottle":"%s{bwthrottle}","contenttype":"%s{contenttype}","unscannabletype":"%s{unscannabletype}","deviceowner":"%s{deviceowner}","devicehostname":"%s{devicehostname}","keyprotectiontype":"%s{keyprotectiontype}"}

Pertahankan setiap kolom di tingkat teratas. Panduan Unify yang sudah tidak digunakan membungkus kolom-kolom ini di dalam objek event dan menambahkan sourcetype. Envelope tersebut mungkin diterima sebagai JSON, tetapi tidak sesuai dengan interpreter saat ini sehingga tidak menghasilkan data orang maupun aktivitas.

Pilih zona waktu yang diharapkan tim operasi Anda saat meninjau peristiwa Zscaler. Living Security mengurai nilai datetime yang disediakan oleh feed.

3. Filter dan aktifkan feed

Gunakan filter Policy Action dan Policy Reason dari Zscaler untuk mengirim aktivitas web yang dibutuhkan program risiko manusia Anda. Hindari pengaturan peristiwa per detik yang rendah, karena dapat membuang log saat lalu lintas melonjak. Jika organisasi Anda harus membatasi feed, pantau pengiriman di Zscaler sekaligus Push History di Living Security selama penyesuaian. Simpan feed, jalankan uji konektivitas Zscaler, lalu atur Status ke Enabled.

4. Verifikasi pengiriman dan interpretasi

Di Living Security, buka Pengaturan → Integrasi → Terhubung → zscaler-nss-feed.
Di Push History, pastikan proses web_logs terbaru menunjukkan jumlah rekaman yang diharapkan.
Pastikan pengguna atau IP perangkat Zscaler terbaru muncul pada orang yang sesuai dan aktivitas web tersedia di tahap berikutnya.
Jika proses diterima tetapi tidak ada aktivitas yang muncul, periksa kembali sumber, stream, dan format output datar yang tepat.

Pemecahan masalah

Gejala	Pemeriksaan
`401 Unauthorized`	Gunakan `Authorization` dengan nilai `Bearer <access-key>`; ganti kunci yang kedaluwarsa atau telah dicabut
`403 Forbidden`	Buat kunci dengan cakupan Push Ingest
`404 Not Found`	Daftarkan `zscaler-nss-feed` dan `web_logs`, lalu gunakan URL yang persis sama
`400 Bad Request`	Aktifkan JSON Array Notation dan pastikan output berupa array tingkat teratas yang berisi objek datar
`202` tetapi tidak ada orang atau aktivitas	Hapus pembungkus lama `sourcetype` / `event` dan verifikasi kunci perutean yang tepat
`429`	Tunggu hingga pembatasan sementara pada tingkat IP berakhir dan patuhi `Retry-After` jika ada
`503`	Simpan batch untuk dicoba ulang, tunggu `Retry-After`, lalu kirim ulang tanpa perubahan
Uji konektivitas gagal	Periksa hostname regional, header Bearer, status kunci, dan kebijakan inspeksi TLS publik

API menerima paling banyak 10,000 rekaman dan 10 MB per permintaan, dengan 600 permintaan per 60 detik per organisasi. Lihat Custom Push Source API untuk ketentuan lengkap respons dan percobaan ulang.

Terkait

Custom Push Source API

Tinjau autentikasi, batas payload, respons, percobaan ulang, dan verifikasi proses.

Zscaler Client Connector

Hubungkan API Client Connector yang terpisah untuk data perangkat dan postur.

Integrasi

Penyiapan integrasi

Katalog

Saluran Keluar

Kontribusi integrasi ini

Sebelum Anda memulai

1. Siapkan Living Security

2. Buat feed Cloud NSS

3. Filter dan aktifkan feed

4. Verifikasi pengiriman dan interpretasi

Pemecahan masalah

Terkait

Custom Push Source API

Zscaler Client Connector

Integrasi

Penyiapan integrasi

Katalog

Saluran Keluar

​Kontribusi integrasi ini

​Sebelum Anda memulai

​1. Siapkan Living Security

​2. Buat feed Cloud NSS

​3. Filter dan aktifkan feed

​4. Verifikasi pengiriman dan interpretasi

​Pemecahan masalah

​Terkait

Custom Push Source API

Zscaler Client Connector

Kontribusi integrasi ini

Sebelum Anda memulai

1. Siapkan Living Security

2. Buat feed Cloud NSS

3. Filter dan aktifkan feed

4. Verifikasi pengiriman dan interpretasi

Pemecahan masalah

Terkait