Zscaler ZIA Cloud NSS-configuratie

Koppel een Zscaler Internet Access (ZIA) Cloud Nanolog Streaming Service (NSS)-feed om weblogs naar Living Security te sturen. Dit is een push-integratie. Deze staat los van de op pull gebaseerde integratie Zscaler Client Connector.

Wat deze integratie bijdraagt

De weblogfeed kan de gebruiker en het apparaat identificeren die bij webactiviteit betrokken zijn en kan genormaliseerde activiteit aanleveren, zoals geblokkeerde verzoeken, kwaadaardige bestemmingen, geblokkeerde gegevensoverdracht en gebruik van generatieve AI. Het resultaat hangt af van de velden en filters die in Zscaler zijn geconfigureerd.

Voordat u begint

U hebt het volgende nodig:

een ZIA Cloud NSS-abonnement en de machtiging om Cloud NSS-feeds te beheren
de machtiging om integraties en toegangssleutels te beheren in Living Security
de regio van de beoogde Living Security-organisatie
een beveiligde plek om de gegenereerde toegangssleutel op te slaan

Zscaler vereist een openbaar vertrouwd TLS-certificaat voor een HTTPS Cloud NSS-bestemming. De regionale eindpunten van Living Security voldoen aan die eis.

1. Living Security voorbereiden

De bron en de stream maken

Ga naar Instellingen → Integraties → Catalog, voeg Custom Push Source toe en gebruik deze exacte routeringssleutels:

Veld	Waarde
Data Source Name	`zscaler-nss-feed`
Stream Name	`web_logs`

De underscore in web_logs is vereist. Een ander paar kan gegevens accepteren, maar gebruikt de onderhouden Zscaler NSS-interpreter niet.

Een toegangssleutel maken

Ga naar Instellingen → Access Keys, maak een toegangssleutel met het bereik Push Ingest en kopieer de waarde direct.

De bestemmings-URL samenstellen

Gebruik de URL voor de Living Security-regio:

Verenigde Staten: https://api.us-east-1.livingsecurity.ai/api/v1/push-ingest/zscaler-nss-feed/web_logs
Europese Unie: https://api.eu-west-1.livingsecurity.ai/api/v1/push-ingest/zscaler-nss-feed/web_logs

2. De Cloud NSS-feed maken

Ga in de huidige ZIA Admin Portal naar Logs → Log Streaming → Internet Log Streaming — Nanolog Streaming Service, open Cloud NSS Feeds en selecteer Add Cloud NSS Feed. Menulabels kunnen in oudere versies van de ZIA-portal afwijken; de Cloud NSS-instructies voor weblogs van Zscaler zijn leidend voor de navigatie in de portal. Configureer de feed:

Zscaler-veld	Waarde
Feed Name	Een herkenbare naam, zoals `Living Security web logs`
NSS Type	NSS for Web
Status	Disabled tijdens het configureren; inschakelen na verificatie
SIEM Rate	Unlimited, tenzij uw eigen beleid een lagere waarde vereist
SIEM Type	Other
OAuth 2.0 Authentication	Disabled
Max Batch Size	512 KB
API URL	De regionale Living Security-URL uit stap 1
HTTP Header 1	`Authorization` = `Bearer <access-key>`
HTTP Header 2	`Content-Type` = `application/json`
Log Type	Web Log
Feed Output Type	JSON
JSON Array Notation	Enabled
Feed Escape Character	`,\"`

Gebruik x-api-key niet en combineer geen oude API-sleutel en geheim met een punt. De huidige push-ingestie van Living Security accepteert de toegangssleutel met beperkt bereik alleen in de header Authorization: Bearer ….

Gebruik dit exacte, platte Feed Output Format op één regel:

{"datetime":"%d{yy}-%02d{mth}-%02d{dd} %02d{hh}:%02d{mm}:%02d{ss}","reason":"%s{reason}","event_id":"%d{recordid}","protocol":"%s{proto}","action":"%s{action}","transactionsize":"%d{totalsize}","responsesize":"%d{respsize}","requestsize":"%d{reqsize}","urlcategory":"%s{urlcat}","serverip":"%s{sip}","requestmethod":"%s{reqmethod}","refererURL":"%s{ereferer}","useragent":"%s{eua}","product":"NSS","location":"%s{elocation}","ClientIP":"%s{cip}","status":"%s{respcode}","user":"%s{elogin}","url":"%s{eurl}","vendor":"Zscaler","hostname":"%s{ehost}","clientpublicIP":"%s{cintip}","threatcategory":"%s{malwarecat}","threatname":"%s{threatname}","filetype":"%s{filetype}","appname":"%s{appname}","riskscore":"%d{riskscore}","department":"%s{edepartment}","urlsupercategory":"%s{urlsupercat}","appclass":"%s{appclass}","dlpengine":"%s{dlpeng}","urlclass":"%s{urlclass}","threatclass":"%s{malwareclass}","dlpdictionaries":"%s{dlpdict}","fileclass":"%s{fileclass}","bwthrottle":"%s{bwthrottle}","contenttype":"%s{contenttype}","unscannabletype":"%s{unscannabletype}","deviceowner":"%s{deviceowner}","devicehostname":"%s{devicehostname}","keyprotectiontype":"%s{keyprotectiontype}"}

Houd elk veld op het hoogste niveau. De verouderde Unify-handleiding plaatste deze velden in een object event en voegde sourcetype toe. Die envelop kan als JSON worden geaccepteerd, maar komt niet overeen met de huidige interpreter, waardoor er geen personen of activiteit uit voortkomen.

Kies de tijdzone die uw operationele team verwacht bij het beoordelen van Zscaler-gebeurtenissen. Living Security parseert de waarde datetime die door de feed wordt aangeleverd.

3. De feed filteren en inschakelen

Gebruik de filters Policy Action en Policy Reason van Zscaler om de webactiviteit te verzenden die uw human-risk-programma nodig heeft. Vermijd een lage instelling voor gebeurtenissen per seconde, waardoor logs tijdens een verkeerspiek verloren kunnen gaan. Als uw organisatie de feed moet beperken, controleer dan tijdens het afstemmen zowel de aflevering vanuit Zscaler als de Push History in Living Security. Sla de feed op, voer de connectiviteitstest van Zscaler uit en stel Status vervolgens in op Enabled.

4. Aflevering en interpretatie verifiëren

Open in Living Security Instellingen → Integraties → verbonden → zscaler-nss-feed.
Controleer in Push History of een recente run van web_logs het verwachte aantal records toont.
Controleer of recente Zscaler-gebruikers of apparaat-IP’s bij de verwachte personen worden weergegeven en of webactiviteit verderop beschikbaar is.
Als de run is geaccepteerd maar er geen activiteit verschijnt, controleer dan opnieuw de exacte bron, stream en het platte uitvoerformaat.

Probleemoplossing

Symptoom	Controle
`401 Unauthorized`	Gebruik `Authorization` met waarde `Bearer <access-key>`; vervang een verlopen of ingetrokken sleutel
`403 Forbidden`	Maak de sleutel met het bereik Push Ingest
`404 Not Found`	Registreer `zscaler-nss-feed` en `web_logs` en gebruik vervolgens exact die URL
`400 Bad Request`	Schakel JSON Array Notation in en controleer of de uitvoer een array op het hoogste niveau van platte objecten is
`202` maar geen personen of activiteit	Verwijder de verouderde wrapper `sourcetype` / `event` en controleer de exacte routeringssleutels
`429`	Wacht tot de tijdelijke throttling op IP-niveau voorbij is en houd rekening met `Retry-After` indien aanwezig
`503`	Bewaar de batch voor een nieuwe poging, wacht op `Retry-After` en verstuur de batch ongewijzigd opnieuw
Connectiviteitstest mislukt	Controleer de regionale hostnaam, de Bearer-header, de status van de sleutel en het beleid voor openbare TLS-inspectie

De API accepteert maximaal 10.000 records en 10 MB per verzoek, met 600 verzoeken per 60 seconden per organisatie. Zie Custom Push Source API voor het volledige antwoord- en hersteldcontract.

Gerelateerd

Custom Push Source API

Bekijk authenticatie, payloadlimieten, antwoorden, nieuwe pogingen en runverificatie.

Zscaler Client Connector

Koppel de afzonderlijke Client Connector API voor apparaat- en postuurgegevens.

Integraties

Integratie-instellingen

Catalogus

Uitgaande kanalen

Wat deze integratie bijdraagt

Voordat u begint

1. Living Security voorbereiden

2. De Cloud NSS-feed maken

3. De feed filteren en inschakelen

4. Aflevering en interpretatie verifiëren

Probleemoplossing

Gerelateerd

Custom Push Source API

Zscaler Client Connector

Integraties

Integratie-instellingen

Catalogus

Uitgaande kanalen

​Wat deze integratie bijdraagt

​Voordat u begint

​1. Living Security voorbereiden

​2. De Cloud NSS-feed maken

​3. De feed filteren en inschakelen

​4. Aflevering en interpretatie verifiëren

​Probleemoplossing

​Gerelateerd

Custom Push Source API

Zscaler Client Connector

Wat deze integratie bijdraagt

Voordat u begint

1. Living Security voorbereiden

2. De Cloud NSS-feed maken

3. De feed filteren en inschakelen

4. Aflevering en interpretatie verifiëren

Probleemoplossing

Gerelateerd