Konfiguracja Zscaler ZIA Cloud NSS

Połącz kanał Cloud Nanolog Streaming Service (NSS) usługi Zscaler Internet Access (ZIA), aby wysyłać dzienniki ruchu internetowego do Living Security. Jest to integracja typu push. Jest ona odrębna od integracji Zscaler Client Connector opartej na pobieraniu danych (pull).

Jakie dane dostarcza ta integracja

Kanał dzienników ruchu internetowego może identyfikować użytkownika i urządzenie uczestniczące w aktywności internetowej oraz może dostarczać znormalizowane dane o aktywności, takie jak zablokowane żądania, złośliwe miejsca docelowe, blokady transferu danych i korzystanie z generatywnej AI. Wynik zależy od pól i filtrów skonfigurowanych w Zscaler.

Zanim rozpoczniesz

Potrzebne są:

subskrypcja ZIA Cloud NSS oraz uprawnienia do zarządzania kanałami Cloud NSS
uprawnienia do zarządzania integracjami i kluczami dostępu w Living Security
region docelowej organizacji w Living Security
bezpieczne miejsce do przechowywania wygenerowanego klucza dostępu

Zscaler wymaga publicznie zaufanego certyfikatu TLS dla docelowego adresu HTTPS Cloud NSS. Regionalne punkty końcowe Living Security spełniają ten wymóg.

1. Przygotowanie Living Security

Utwórz źródło i strumień

Przejdź do Ustawienia → Integracje → Katalog, dodaj Custom Push Source i użyj dokładnie tych kluczy routingu:

Pole	Wartość
Data Source Name	`zscaler-nss-feed`
Stream Name	`web_logs`

Podkreślnik w web_logs jest wymagany. Inna para wartości może przyjmować dane, ale nie będzie korzystać z utrzymywanego interpretera Zscaler NSS.

Utwórz klucz dostępu

Przejdź do Ustawienia → Access Keys, utwórz klucz dostępu z zakresem Push Ingest i od razu skopiuj jego wartość.

Zbuduj docelowy adres URL

Użyj adresu URL odpowiedniego dla regionu Living Security:

Stany Zjednoczone: https://api.us-east-1.livingsecurity.ai/api/v1/push-ingest/zscaler-nss-feed/web_logs
Unia Europejska: https://api.eu-west-1.livingsecurity.ai/api/v1/push-ingest/zscaler-nss-feed/web_logs

2. Utworzenie kanału Cloud NSS

W bieżącej wersji portalu ZIA Admin Portal przejdź do Logs → Log Streaming → Internet Log Streaming — Nanolog Streaming Service, otwórz Cloud NSS Feeds i wybierz Add Cloud NSS Feed. Nazwy w menu mogą się różnić w starszych wersjach portalu ZIA; w kwestii nawigacji po portalu wiążące są instrukcje Zscaler dotyczące dzienników ruchu internetowego Cloud NSS. Skonfiguruj kanał:

Pole Zscaler	Wartość
Feed Name	Łatwa do rozpoznania nazwa, na przykład `Living Security web logs`
NSS Type	NSS for Web
Status	Disabled podczas konfiguracji; włącz po weryfikacji
SIEM Rate	Unlimited, chyba że własne zasady wymagają niższej wartości
SIEM Type	Other
OAuth 2.0 Authentication	Disabled
Max Batch Size	512 KB
API URL	Regionalny adres URL Living Security z kroku 1
HTTP Header 1	`Authorization` = `Bearer <access-key>`
HTTP Header 2	`Content-Type` = `application/json`
Log Type	Web Log
Feed Output Type	JSON
JSON Array Notation	Enabled
Feed Escape Character	`,\"`

Nie używaj x-api-key i nie łącz starego klucza API oraz sekretu za pomocą kropki. Obecna usługa push ingest w Living Security akceptuje klucz dostępu z określonym zakresem wyłącznie w nagłówku Authorization: Bearer ….

Użyj dokładnie tego płaskiego formatu Feed Output Format w jednym wierszu:

{"datetime":"%d{yy}-%02d{mth}-%02d{dd} %02d{hh}:%02d{mm}:%02d{ss}","reason":"%s{reason}","event_id":"%d{recordid}","protocol":"%s{proto}","action":"%s{action}","transactionsize":"%d{totalsize}","responsesize":"%d{respsize}","requestsize":"%d{reqsize}","urlcategory":"%s{urlcat}","serverip":"%s{sip}","requestmethod":"%s{reqmethod}","refererURL":"%s{ereferer}","useragent":"%s{eua}","product":"NSS","location":"%s{elocation}","ClientIP":"%s{cip}","status":"%s{respcode}","user":"%s{elogin}","url":"%s{eurl}","vendor":"Zscaler","hostname":"%s{ehost}","clientpublicIP":"%s{cintip}","threatcategory":"%s{malwarecat}","threatname":"%s{threatname}","filetype":"%s{filetype}","appname":"%s{appname}","riskscore":"%d{riskscore}","department":"%s{edepartment}","urlsupercategory":"%s{urlsupercat}","appclass":"%s{appclass}","dlpengine":"%s{dlpeng}","urlclass":"%s{urlclass}","threatclass":"%s{malwareclass}","dlpdictionaries":"%s{dlpdict}","fileclass":"%s{fileclass}","bwthrottle":"%s{bwthrottle}","contenttype":"%s{contenttype}","unscannabletype":"%s{unscannabletype}","deviceowner":"%s{deviceowner}","devicehostname":"%s{devicehostname}","keyprotectiontype":"%s{keyprotectiontype}"}

Zachowaj wszystkie pola na najwyższym poziomie. Wycofany przewodnik Unify umieszczał te pola wewnątrz obiektu event i dodawał sourcetype. Taka koperta może być zaakceptowana jako JSON, ale nie odpowiada obecnemu interpreterowi, więc nie powoduje utworzenia żadnych osób ani aktywności.

Wybierz strefę czasową, której oczekuje Twój zespół operacyjny podczas przeglądania zdarzeń Zscaler. Living Security analizuje wartość datetime dostarczaną przez kanał.

3. Filtrowanie i włączenie kanału

Użyj filtrów Policy Action i Policy Reason w Zscaler, aby wysyłać aktywność internetową potrzebną w programie zarządzania ryzykiem związanym z czynnikiem ludzkim. Unikaj niskiego ustawienia liczby zdarzeń na sekundę, które mogłoby powodować odrzucanie dzienników podczas szczytu ruchu. Jeśli Twoja organizacja musi ograniczyć kanał, podczas dostrajania monitoruj zarówno dostarczanie w Zscaler, jak i Push History w Living Security. Zapisz kanał, uruchom test łączności Zscaler, a następnie ustaw Status na Enabled.

4. Weryfikacja dostarczania i interpretacji

W Living Security otwórz Ustawienia → Integracje → Połączono → zscaler-nss-feed.
W Push History sprawdź, czy ostatnie uruchomienie web_logs pokazuje oczekiwaną liczbę rekordów.
Sprawdź, czy ostatni użytkownicy Zscaler lub adresy IP urządzeń są przypisane do oczekiwanych osób oraz czy aktywność internetowa jest dostępna w dalszych etapach.
Jeśli uruchomienie zostało zaakceptowane, ale nie pojawia się żadna aktywność, ponownie sprawdź dokładne wartości źródła, strumienia i płaski format wyjściowy.

Rozwiązywanie problemów

Objaw	Co sprawdzić
`401 Unauthorized`	Użyj `Authorization` z wartością `Bearer <access-key>`; wymień wygasły lub unieważniony klucz
`403 Forbidden`	Utwórz klucz z zakresem Push Ingest
`404 Not Found`	Zarejestruj `zscaler-nss-feed` i `web_logs`, a następnie użyj dokładnie tego adresu URL
`400 Bad Request`	Włącz JSON Array Notation i upewnij się, że dane wyjściowe są tablicą najwyższego poziomu składającą się z płaskich obiektów
`202`, ale brak osób lub aktywności	Usuń starszą otoczkę `sourcetype` / `event` i sprawdź dokładne klucze routingu
`429`	Odczekaj w przypadku tymczasowego ograniczania na poziomie adresu IP i uwzględnij `Retry-After`, jeśli występuje
`503`	Zachowaj partię do ponowienia, poczekaj na `Retry-After` i wyślij ją ponownie bez zmian
Test łączności kończy się niepowodzeniem	Sprawdź nazwę hosta regionalnego, nagłówek Bearer, stan klucza i politykę publicznej inspekcji TLS

Interfejs API akceptuje maksymalnie 10 000 rekordów i 10 MB na żądanie, przy limicie 600 żądań na 60 sekund na organizację. Pełny opis odpowiedzi i zasad ponawiania znajdziesz w Custom Push Source API.

Powiązane

Custom Push Source API

Zapoznaj się z uwierzytelnianiem, limitami ładunku, odpowiedziami, ponawianiem i weryfikacją uruchomień.

Zscaler Client Connector

Połącz odrębny interfejs API Client Connector, aby pobierać dane o urządzeniach i ich stanie zabezpieczeń.

Integracje

Konfiguracja integracji

Katalog

Kanały wychodzące

Jakie dane dostarcza ta integracja

Zanim rozpoczniesz

1. Przygotowanie Living Security

2. Utworzenie kanału Cloud NSS

3. Filtrowanie i włączenie kanału

4. Weryfikacja dostarczania i interpretacji

Rozwiązywanie problemów

Powiązane

Custom Push Source API

Zscaler Client Connector

Integracje

Konfiguracja integracji

Katalog

Kanały wychodzące

​Jakie dane dostarcza ta integracja

​Zanim rozpoczniesz

​1. Przygotowanie Living Security

​2. Utworzenie kanału Cloud NSS

​3. Filtrowanie i włączenie kanału

​4. Weryfikacja dostarczania i interpretacji

​Rozwiązywanie problemów

​Powiązane

Custom Push Source API

Zscaler Client Connector

Jakie dane dostarcza ta integracja

Zanim rozpoczniesz

1. Przygotowanie Living Security

2. Utworzenie kanału Cloud NSS

3. Filtrowanie i włączenie kanału

4. Weryfikacja dostarczania i interpretacji

Rozwiązywanie problemów

Powiązane