Configuração do Zscaler ZIA Cloud NSS

Conecte um feed do Cloud Nanolog Streaming Service (NSS) do Zscaler Internet Access (ZIA) para enviar registros de web à Living Security. Esta é uma integração de envio (push). Ela é independente da integração do Zscaler Client Connector, baseada em coleta (pull).

O que esta integração fornece

O feed de registros de web pode identificar o usuário e o dispositivo envolvidos na atividade web e pode fornecer atividades normalizadas, como solicitações bloqueadas, destinos maliciosos, bloqueios de transferência de dados e uso de IA generativa. O resultado depende dos campos e filtros configurados no Zscaler.

Antes de começar

Você precisa de:

uma assinatura do ZIA Cloud NSS e permissão para gerenciar feeds do Cloud NSS
permissão para gerenciar integrações e chaves de acesso na Living Security
a região da organização de destino na Living Security
um local seguro para armazenar a chave de acesso gerada

O Zscaler exige um certificado TLS publicamente confiável para um destino HTTPS do Cloud NSS. Os endpoints regionais da Living Security atendem a esse requisito.

1. Preparar a Living Security

Criar a origem e o stream

Acesse Configurações → Integrações → Catálogo, adicione Custom Push Source e use estas chaves de roteamento exatas:

Campo	Valor
Data Source Name	`zscaler-nss-feed`
Stream Name	`web_logs`

O sublinhado em web_logs é obrigatório. Um par diferente pode aceitar dados, mas não usará o interpretador de Zscaler NSS mantido.

Criar uma chave de acesso

Acesse Configurações → Access Keys, crie uma chave de acesso com o escopo Push Ingest e copie o valor imediatamente.

Montar a URL de destino

Use a URL correspondente à região da Living Security:

Estados Unidos: https://api.us-east-1.livingsecurity.ai/api/v1/push-ingest/zscaler-nss-feed/web_logs
União Europeia: https://api.eu-west-1.livingsecurity.ai/api/v1/push-ingest/zscaler-nss-feed/web_logs

2. Criar o feed do Cloud NSS

No ZIA Admin Portal atual, acesse Logs → Log Streaming → Internet Log Streaming — Nanolog Streaming Service, abra Cloud NSS Feeds e selecione Add Cloud NSS Feed. Os rótulos de menu podem variar em versões mais antigas do portal ZIA; as instruções do Zscaler para registros de web do Cloud NSS são a referência oficial para a navegação no portal. Configure o feed:

Campo do Zscaler	Valor
Feed Name	Um nome identificável, como `Living Security web logs`
NSS Type	NSS for Web
Status	Disabled durante a configuração; ative após a verificação
SIEM Rate	Unlimited, a menos que sua própria política exija uma taxa menor
SIEM Type	Other
OAuth 2.0 Authentication	Disabled
Max Batch Size	512 KB
API URL	A URL regional da Living Security da etapa 1
HTTP Header 1	`Authorization` = `Bearer <access-key>`
HTTP Header 2	`Content-Type` = `application/json`
Log Type	Web Log
Feed Output Type	JSON
JSON Array Notation	Enabled
Feed Escape Character	`,\"`

Não use x-api-key e não combine uma chave de API e um segredo antigos com um ponto. O push ingest atual da Living Security aceita a chave de acesso com escopo somente no cabeçalho Authorization: Bearer ….

Use este Feed Output Format exato e simples, em uma única linha:

{"datetime":"%d{yy}-%02d{mth}-%02d{dd} %02d{hh}:%02d{mm}:%02d{ss}","reason":"%s{reason}","event_id":"%d{recordid}","protocol":"%s{proto}","action":"%s{action}","transactionsize":"%d{totalsize}","responsesize":"%d{respsize}","requestsize":"%d{reqsize}","urlcategory":"%s{urlcat}","serverip":"%s{sip}","requestmethod":"%s{reqmethod}","refererURL":"%s{ereferer}","useragent":"%s{eua}","product":"NSS","location":"%s{elocation}","ClientIP":"%s{cip}","status":"%s{respcode}","user":"%s{elogin}","url":"%s{eurl}","vendor":"Zscaler","hostname":"%s{ehost}","clientpublicIP":"%s{cintip}","threatcategory":"%s{malwarecat}","threatname":"%s{threatname}","filetype":"%s{filetype}","appname":"%s{appname}","riskscore":"%d{riskscore}","department":"%s{edepartment}","urlsupercategory":"%s{urlsupercat}","appclass":"%s{appclass}","dlpengine":"%s{dlpeng}","urlclass":"%s{urlclass}","threatclass":"%s{malwareclass}","dlpdictionaries":"%s{dlpdict}","fileclass":"%s{fileclass}","bwthrottle":"%s{bwthrottle}","contenttype":"%s{contenttype}","unscannabletype":"%s{unscannabletype}","deviceowner":"%s{deviceowner}","devicehostname":"%s{devicehostname}","keyprotectiontype":"%s{keyprotectiontype}"}

Mantenha todos os campos no nível superior. O guia descontinuado do Unify agrupava esses campos dentro de um objeto event e adicionava sourcetype. Esse envelope pode ser aceito como JSON, mas não corresponde ao interpretador atual e, por isso, não gera pessoas nem atividades.

Escolha o fuso horário que sua equipe de operações espera ao revisar os eventos do Zscaler. A Living Security interpreta o valor de datetime fornecido pelo feed.

3. Filtrar e ativar o feed

Use os filtros Policy Action e Policy Reason do Zscaler para enviar a atividade web necessária ao seu programa de risco humano. Evite uma configuração baixa de eventos por segundo que possa descartar registros durante um pico de tráfego. Se sua organização precisar limitar o feed, monitore tanto a entrega no Zscaler quanto o Push History da Living Security durante o ajuste. Salve o feed, execute o teste de conectividade do Zscaler e, em seguida, defina Status como Enabled.

4. Verificar a entrega e a interpretação

Na Living Security, abra Configurações → Integrações → conectado → zscaler-nss-feed.
Em Push History, confirme que uma execução recente de web_logs mostra a contagem de registros esperada.
Confirme que os usuários ou IPs de dispositivo recentes do Zscaler aparecem associados às pessoas esperadas e que a atividade web está disponível nas etapas seguintes.
Se a execução for aceita, mas nenhuma atividade aparecer, verifique novamente a origem, o stream e o formato de saída simples exatos.

Solução de problemas

Sintoma	O que verificar
`401 Unauthorized`	Use `Authorization` com o valor `Bearer <access-key>`; substitua uma chave expirada ou revogada
`403 Forbidden`	Crie a chave com o escopo Push Ingest
`404 Not Found`	Registre `zscaler-nss-feed` e `web_logs` e, em seguida, use exatamente essa URL
`400 Bad Request`	Ative o JSON Array Notation e confirme que a saída é um array de nível superior de objetos simples
`202` mas sem pessoas ou atividades	Remova o wrapper legado `sourcetype` / `event` e verifique as chaves de roteamento exatas
`429`	Aguarde o fim da limitação temporária por IP e respeite `Retry-After` quando presente
`503`	Mantenha o lote para nova tentativa, aguarde `Retry-After` e reenvie-o sem alterações
O teste de conectividade falha	Verifique o nome de host regional, o cabeçalho Bearer, o estado da chave e a política pública de inspeção de TLS

A API aceita no máximo 10,000 registros e 10 MB por solicitação, com 600 solicitações por 60 segundos por organização. Consulte a Custom Push Source API para obter o contrato completo de respostas e novas tentativas.

Relacionados

Custom Push Source API

Revise autenticação, limites de payload, respostas, novas tentativas e verificação de execuções.

Zscaler Client Connector

Conecte a API independente do Client Connector para obter dados de dispositivo e de postura.

Integrações

Configuração de integração

Catálogo

Canais de saída

O que esta integração fornece

Antes de começar

1. Preparar a Living Security

2. Criar o feed do Cloud NSS

3. Filtrar e ativar o feed

4. Verificar a entrega e a interpretação

Solução de problemas

Relacionados

Custom Push Source API

Zscaler Client Connector

Integrações

Configuração de integração

Catálogo

Canais de saída

​O que esta integração fornece

​Antes de começar

​1. Preparar a Living Security

​2. Criar o feed do Cloud NSS

​3. Filtrar e ativar o feed

​4. Verificar a entrega e a interpretação

​Solução de problemas

​Relacionados

Custom Push Source API

Zscaler Client Connector

O que esta integração fornece

Antes de começar

1. Preparar a Living Security

2. Criar o feed do Cloud NSS

3. Filtrar e ativar o feed

4. Verificar a entrega e a interpretação

Solução de problemas

Relacionados