Zscaler ZIA Cloud NSS iestatīšana

Pievienojiet Zscaler Internet Access (ZIA) Cloud Nanolog Streaming Service (NSS) plūsmu, lai nosūtītu tīmekļa žurnālus uz Living Security. Šī ir push tipa integrācija. Tā ir atsevišķa no uz datu izgūšanu (pull) balstītās Zscaler Client Connector integrācijas.

Ko šī integrācija nodrošina

Tīmekļa žurnālu plūsma var identificēt tīmekļa aktivitātē iesaistīto lietotāju un ierīci, kā arī var sniegt normalizētus aktivitātes datus, piemēram, par bloķētiem pieprasījumiem, ļaunprātīgiem galamērķiem, datu pārsūtīšanas bloķēšanu un ģeneratīvā mākslīgā intelekta izmantošanu. Rezultāts ir atkarīgs no Zscaler konfigurētajiem laukiem un filtriem.

Pirms sākat

Nepieciešams:

ZIA Cloud NSS abonements un atļauja pārvaldīt Cloud NSS plūsmas
atļauja pārvaldīt integrācijas un piekļuves atslēgas programmā Living Security
mērķa Living Security organizācijas reģions
droša vieta, kur glabāt izveidoto piekļuves atslēgu

Zscaler HTTPS Cloud NSS galamērķim pieprasa publiski uzticamu TLS sertifikātu. Living Security reģionālie galapunkti šo prasību izpilda.

1. Sagatavojiet Living Security

Izveidojiet avotu un straumi

Atveriet Settings → Integrations → Catalog, pievienojiet Custom Push Source un izmantojiet šīs precīzās maršrutēšanas atslēgas:

Field	Value
Data Source Name	`zscaler-nss-feed`
Stream Name	`web_logs`

Pasvītrojuma zīme web_logs ir obligāta. Cits pāris var pieņemt datus, taču netiks izmantots uzturētais Zscaler NSS interpretators.

Izveidojiet piekļuves atslēgu

Atveriet Settings → Access Keys, izveidojiet piekļuves atslēgu ar Push Ingest darbības jomu un nekavējoties nokopējiet tās vērtību.

Izveidojiet galamērķa URL

Izmantojiet Living Security reģionam atbilstošo URL:

Amerikas Savienotās Valstis: https://api.us-east-1.livingsecurity.ai/api/v1/push-ingest/zscaler-nss-feed/web_logs
Eiropas Savienība: https://api.eu-west-1.livingsecurity.ai/api/v1/push-ingest/zscaler-nss-feed/web_logs

2. Izveidojiet Cloud NSS plūsmu

Pašreizējā ZIA Admin Portal atveriet Logs → Log Streaming → Internet Log Streaming — Nanolog Streaming Service, atveriet Cloud NSS Feeds un atlasiet Add Cloud NSS Feed. Vecākās ZIA portāla versijās izvēlņu nosaukumi var atšķirties; portāla navigācijai noteicošās ir Zscaler Cloud NSS tīmekļa žurnālu instrukcijas. Konfigurējiet plūsmu:

Zscaler field	Value
Feed Name	Atpazīstams nosaukums, piemēram, `Living Security web logs`
NSS Type	NSS for Web
Status	Disabled konfigurēšanas laikā; iespējojiet pēc pārbaudes
SIEM Rate	Unlimited, ja jūsu pašu politika neparedz zemāku ātrumu
SIEM Type	Other
OAuth 2.0 Authentication	Disabled
Max Batch Size	512 KB
API URL	Living Security reģionālā URL no 1. soļa
HTTP Header 1	`Authorization` = `Bearer <access-key>`
HTTP Header 2	`Content-Type` = `application/json`
Log Type	Web Log
Feed Output Type	JSON
JSON Array Notation	Enabled
Feed Escape Character	`,\"`

Neizmantojiet x-api-key un nekombinējiet vecu API atslēgu un noslēpumu ar punktu. Pašreizējā Living Security push datu uzņemšana pieņem ierobežotas darbības jomas piekļuves atslēgu tikai galvenē Authorization: Bearer ….

Izmantojiet šo precīzo plakano Feed Output Format vienā rindā:

{"datetime":"%d{yy}-%02d{mth}-%02d{dd} %02d{hh}:%02d{mm}:%02d{ss}","reason":"%s{reason}","event_id":"%d{recordid}","protocol":"%s{proto}","action":"%s{action}","transactionsize":"%d{totalsize}","responsesize":"%d{respsize}","requestsize":"%d{reqsize}","urlcategory":"%s{urlcat}","serverip":"%s{sip}","requestmethod":"%s{reqmethod}","refererURL":"%s{ereferer}","useragent":"%s{eua}","product":"NSS","location":"%s{elocation}","ClientIP":"%s{cip}","status":"%s{respcode}","user":"%s{elogin}","url":"%s{eurl}","vendor":"Zscaler","hostname":"%s{ehost}","clientpublicIP":"%s{cintip}","threatcategory":"%s{malwarecat}","threatname":"%s{threatname}","filetype":"%s{filetype}","appname":"%s{appname}","riskscore":"%d{riskscore}","department":"%s{edepartment}","urlsupercategory":"%s{urlsupercat}","appclass":"%s{appclass}","dlpengine":"%s{dlpeng}","urlclass":"%s{urlclass}","threatclass":"%s{malwareclass}","dlpdictionaries":"%s{dlpdict}","fileclass":"%s{fileclass}","bwthrottle":"%s{bwthrottle}","contenttype":"%s{contenttype}","unscannabletype":"%s{unscannabletype}","deviceowner":"%s{deviceowner}","devicehostname":"%s{devicehostname}","keyprotectiontype":"%s{keyprotectiontype}"}

Visiem laukiem jāatrodas augšējā līmenī. Novecojušajā Unify rokasgrāmatā šie lauki bija ievietoti objektā event un tika pievienots sourcetype. Šāds apvalks var tikt pieņemts kā JSON, taču neatbilst pašreizējam interpretatoram, tāpēc netiek izveidoti ne cilvēku, ne aktivitātes dati.

Izvēlieties laika joslu, ko jūsu darbības komanda sagaida, pārskatot Zscaler notikumus. Living Security parsē plūsmas sniegto datetime vērtību.

3. Filtrējiet un iespējojiet plūsmu

Izmantojiet Zscaler filtrus Policy Action un Policy Reason, lai nosūtītu tīmekļa aktivitāti, kas nepieciešama jūsu cilvēku radīta riska programmai. Izvairieties no zemas notikumu sekundē vērtības, kas datplūsmas pīķa laikā var izraisīt žurnālu atmešanu. Ja jūsu organizācijai plūsma jāierobežo, regulēšanas laikā uzraugiet gan Zscaler piegādi, gan Living Security Push History. Saglabājiet plūsmu, palaidiet Zscaler savienojamības pārbaudi un pēc tam iestatiet Status vērtību Enabled.

4. Pārbaudiet piegādi un interpretāciju

Programmā Living Security atveriet Settings → Integrations → Connected → zscaler-nss-feed.
Sadaļā Push History pārliecinieties, ka nesenā web_logs izpilde rāda paredzēto ierakstu skaitu.
Pārliecinieties, ka nesenie Zscaler lietotāji vai ierīču IP adreses tiek piesaistīti paredzētajiem cilvēkiem un ka tīmekļa aktivitāte ir pieejama turpmākai apstrādei.
Ja izpilde ir pieņemta, bet aktivitāte neparādās, vēlreiz pārbaudiet precīzo avotu, straumi un plakano izvades formātu.

Problēmu novēršana

Symptom	Check
`401 Unauthorized`	Izmantojiet `Authorization` ar vērtību `Bearer <access-key>`; nomainiet beigušos vai atsauktu atslēgu
`403 Forbidden`	Izveidojiet atslēgu ar Push Ingest darbības jomu
`404 Not Found`	Reģistrējiet `zscaler-nss-feed` un `web_logs`, pēc tam izmantojiet tieši šo URL
`400 Bad Request`	Iespējojiet JSON Array Notation un pārliecinieties, ka izvade ir augšējā līmeņa plakanu objektu masīvs
`202`, bet nav ne cilvēku, ne aktivitātes datu	Noņemiet mantoto `sourcetype` / `event` apvalku un pārbaudiet precīzās maršrutēšanas atslēgas
`429`	Uzgaidiet, līdz beigsies pagaidu IP līmeņa ierobežošana, un ievērojiet `Retry-After`, ja tas ir norādīts
`503`	Saglabājiet partiju atkārtotai mēģināšanai, uzgaidiet `Retry-After` un nosūtiet to vēlreiz nemainītu
Connectivity test fails	Pārbaudiet reģionālo resursdatora nosaukumu, Bearer galveni, atslēgas statusu un publiskā TLS pārbaudes politiku

API pieņem ne vairāk kā 10,000 ierakstu un 10 MB vienā pieprasījumā, ar 600 pieprasījumiem 60 sekundēs katrai organizācijai. Pilnīgu atbilžu un atkārtošanas noteikumu aprakstu skatiet sadaļā Custom Push Source API.

Saistītie materiāli

Custom Push Source API

Pārskatiet autentifikāciju, datu apjoma ierobežojumus, atbildes, atkārtošanu un izpildes pārbaudi.

Zscaler Client Connector

Pievienojiet atsevišķo Client Connector API ierīču un stāvokļa datu iegūšanai.

Integrations

Integrāciju iestatīšana

Katalogs

Izejošie kanāli

Ko šī integrācija nodrošina

Pirms sākat

1. Sagatavojiet Living Security

2. Izveidojiet Cloud NSS plūsmu

3. Filtrējiet un iespējojiet plūsmu

4. Pārbaudiet piegādi un interpretāciju

Problēmu novēršana

Saistītie materiāli

Custom Push Source API

Zscaler Client Connector

Integrations

Integrāciju iestatīšana

Katalogs

Izejošie kanāli

​Ko šī integrācija nodrošina

​Pirms sākat

​1. Sagatavojiet Living Security

​2. Izveidojiet Cloud NSS plūsmu

​3. Filtrējiet un iespējojiet plūsmu

​4. Pārbaudiet piegādi un interpretāciju

​Problēmu novēršana

​Saistītie materiāli

Custom Push Source API

Zscaler Client Connector

Ko šī integrācija nodrošina

Pirms sākat

1. Sagatavojiet Living Security

2. Izveidojiet Cloud NSS plūsmu

3. Filtrējiet un iespējojiet plūsmu

4. Pārbaudiet piegādi un interpretāciju

Problēmu novēršana

Saistītie materiāli