> ## Documentation Index
> Fetch the complete documentation index at: https://docs.livingsecurity.com/llms.txt
> Use this file to discover all available pages before exploring further.
# Zscaler ZIA Cloud NSS-configuratie
> Verstuur Zscaler Internet Access-weblogs via een Cloud NSS-feed naar Living Security.
Koppel een Zscaler Internet Access (ZIA) Cloud Nanolog Streaming Service (NSS)-feed om weblogs naar Living Security te sturen. Dit is een push-integratie. Deze staat los van de op pull gebaseerde integratie [Zscaler Client Connector](/nl/integrations/catalog/zscaler-client-connector-custom).
## Wat deze integratie bijdraagt
De weblogfeed kan de gebruiker en het apparaat identificeren die bij webactiviteit betrokken zijn en kan genormaliseerde activiteit aanleveren, zoals geblokkeerde verzoeken, kwaadaardige bestemmingen, geblokkeerde gegevensoverdracht en gebruik van generatieve AI. Het resultaat hangt af van de velden en filters die in Zscaler zijn geconfigureerd.
## Voordat u begint
U hebt het volgende nodig:
* een ZIA Cloud NSS-abonnement en de machtiging om Cloud NSS-feeds te beheren
* de machtiging om integraties en toegangssleutels te beheren in Living Security
* de regio van de beoogde Living Security-organisatie
* een beveiligde plek om de gegenereerde toegangssleutel op te slaan
Zscaler vereist een openbaar vertrouwd TLS-certificaat voor een HTTPS Cloud NSS-bestemming. De regionale eindpunten van Living Security voldoen aan die eis.
## 1. Living Security voorbereiden
Ga naar **Instellingen → Integraties → Catalog**, voeg **Custom Push Source** toe en gebruik deze exacte routeringssleutels:
| Veld | Waarde |
| - | - |
| Data Source Name | `zscaler-nss-feed` |
| Stream Name | `web_logs` |
De underscore in `web_logs` is vereist. Een ander paar kan gegevens accepteren, maar gebruikt de onderhouden Zscaler NSS-interpreter niet.
Ga naar **Instellingen → Access Keys**, maak een toegangssleutel met het bereik **Push Ingest** en kopieer de waarde direct.
Gebruik de URL voor de Living Security-regio:
* Verenigde Staten: `https://api.us-east-1.livingsecurity.ai/api/v1/push-ingest/zscaler-nss-feed/web_logs`
* Europese Unie: `https://api.eu-west-1.livingsecurity.ai/api/v1/push-ingest/zscaler-nss-feed/web_logs`
## 2. De Cloud NSS-feed maken
Ga in de huidige ZIA Admin Portal naar **Logs → Log Streaming → Internet Log Streaming — Nanolog Streaming Service**, open **Cloud NSS Feeds** en selecteer **Add Cloud NSS Feed**. Menulabels kunnen in oudere versies van de ZIA-portal afwijken; de [Cloud NSS-instructies voor weblogs](https://help.zscaler.com/zia/adding-cloud-nss-feeds-web-logs) van Zscaler zijn leidend voor de navigatie in de portal.
Configureer de feed:
| Zscaler-veld | Waarde |
| - | - |
| Feed Name | Een herkenbare naam, zoals `Living Security web logs` |
| NSS Type | **NSS for Web** |
| Status | **Disabled** tijdens het configureren; inschakelen na verificatie |
| SIEM Rate | **Unlimited**, tenzij uw eigen beleid een lagere waarde vereist |
| SIEM Type | **Other** |
| OAuth 2.0 Authentication | **Disabled** |
| Max Batch Size | **512 KB** |
| API URL | De regionale Living Security-URL uit stap 1 |
| HTTP Header 1 | `Authorization` = `Bearer ` |
| HTTP Header 2 | `Content-Type` = `application/json` |
| Log Type | **Web Log** |
| Feed Output Type | **JSON** |
| JSON Array Notation | **Enabled** |
| Feed Escape Character | `,\"` |
Gebruik `x-api-key` niet en combineer geen oude API-sleutel en geheim met een
punt. De huidige push-ingestie van Living Security accepteert de toegangssleutel met beperkt bereik alleen
in de header `Authorization: Bearer …`.
Gebruik dit exacte, platte **Feed Output Format** op één regel:
```text theme={null}
{"datetime":"%d{yy}-%02d{mth}-%02d{dd} %02d{hh}:%02d{mm}:%02d{ss}","reason":"%s{reason}","event_id":"%d{recordid}","protocol":"%s{proto}","action":"%s{action}","transactionsize":"%d{totalsize}","responsesize":"%d{respsize}","requestsize":"%d{reqsize}","urlcategory":"%s{urlcat}","serverip":"%s{sip}","requestmethod":"%s{reqmethod}","refererURL":"%s{ereferer}","useragent":"%s{eua}","product":"NSS","location":"%s{elocation}","ClientIP":"%s{cip}","status":"%s{respcode}","user":"%s{elogin}","url":"%s{eurl}","vendor":"Zscaler","hostname":"%s{ehost}","clientpublicIP":"%s{cintip}","threatcategory":"%s{malwarecat}","threatname":"%s{threatname}","filetype":"%s{filetype}","appname":"%s{appname}","riskscore":"%d{riskscore}","department":"%s{edepartment}","urlsupercategory":"%s{urlsupercat}","appclass":"%s{appclass}","dlpengine":"%s{dlpeng}","urlclass":"%s{urlclass}","threatclass":"%s{malwareclass}","dlpdictionaries":"%s{dlpdict}","fileclass":"%s{fileclass}","bwthrottle":"%s{bwthrottle}","contenttype":"%s{contenttype}","unscannabletype":"%s{unscannabletype}","deviceowner":"%s{deviceowner}","devicehostname":"%s{devicehostname}","keyprotectiontype":"%s{keyprotectiontype}"}
```
Houd elk veld op het hoogste niveau. De verouderde Unify-handleiding plaatste deze
velden in een object `event` en voegde `sourcetype` toe. Die envelop kan
als JSON worden geaccepteerd, maar komt niet overeen met de huidige interpreter, waardoor er
geen personen of activiteit uit voortkomen.
Kies de tijdzone die uw operationele team verwacht bij het beoordelen van Zscaler-gebeurtenissen. Living Security parseert de waarde `datetime` die door de feed wordt aangeleverd.
## 3. De feed filteren en inschakelen
Gebruik de filters **Policy Action** en **Policy Reason** van Zscaler om de webactiviteit te verzenden die uw human-risk-programma nodig heeft. Vermijd een lage instelling voor gebeurtenissen per seconde, waardoor logs tijdens een verkeerspiek verloren kunnen gaan. Als uw organisatie de feed moet beperken, controleer dan tijdens het afstemmen zowel de aflevering vanuit Zscaler als de Push History in Living Security.
Sla de feed op, voer de connectiviteitstest van Zscaler uit en stel **Status** vervolgens in op **Enabled**.
## 4. Aflevering en interpretatie verifiëren
1. Open in Living Security **Instellingen → Integraties → verbonden → zscaler-nss-feed**.
2. Controleer in **Push History** of een recente run van `web_logs` het verwachte aantal records toont.
3. Controleer of recente Zscaler-gebruikers of apparaat-IP's bij de verwachte personen worden weergegeven en of webactiviteit verderop beschikbaar is.
4. Als de run is geaccepteerd maar er geen activiteit verschijnt, controleer dan opnieuw de exacte bron, stream en het platte uitvoerformaat.
## Probleemoplossing
| Symptoom | Controle |
| - | - |
| `401 Unauthorized` | Gebruik `Authorization` met waarde `Bearer `; vervang een verlopen of ingetrokken sleutel |
| `403 Forbidden` | Maak de sleutel met het bereik **Push Ingest** |
| `404 Not Found` | Registreer `zscaler-nss-feed` en `web_logs` en gebruik vervolgens exact die URL |
| `400 Bad Request` | Schakel JSON Array Notation in en controleer of de uitvoer een array op het hoogste niveau van platte objecten is |
| `202` maar geen personen of activiteit | Verwijder de verouderde wrapper `sourcetype` / `event` en controleer de exacte routeringssleutels |
| `429` | Wacht tot de tijdelijke throttling op IP-niveau voorbij is en houd rekening met `Retry-After` indien aanwezig |
| `503` | Bewaar de batch voor een nieuwe poging, wacht op `Retry-After` en verstuur de batch ongewijzigd opnieuw |
| Connectiviteitstest mislukt | Controleer de regionale hostnaam, de Bearer-header, de status van de sleutel en het beleid voor openbare TLS-inspectie |
De API accepteert maximaal 10.000 records en 10 MB per verzoek, met 600 verzoeken per 60 seconden per organisatie. Zie [Custom Push Source API](/nl/integrations/custom-push-source) voor het volledige antwoord- en hersteldcontract.
## Gerelateerd
Bekijk authenticatie, payloadlimieten, antwoorden, nieuwe pogingen en runverificatie.
Koppel de afzonderlijke Client Connector API voor apparaat- en postuurgegevens.
This documentation is built and hosted on [Mintlify](https://mintlify.com), a developer documentation platform.