Configuração do Zscaler ZIA Cloud NSS

Conecte um feed do Cloud Nanolog Streaming Service (NSS) do Zscaler Internet Access (ZIA) para enviar registros web à Living Security. Esta é uma integração de tipo push. Ela é independente da integração baseada em pull Zscaler Client Connector.

O que esta integração oferece

O feed de registros web pode identificar o usuário e o dispositivo envolvidos na atividade web e pode fornecer atividades normalizadas, como solicitações bloqueadas, destinos maliciosos, bloqueios de transferência de dados e uso de IA generativa. O resultado depende dos campos e dos filtros configurados no Zscaler.

Antes de começar

Você precisa de:

uma assinatura do ZIA Cloud NSS e permissão para gerenciar feeds do Cloud NSS
permissão para gerenciar integrações e chaves de acesso na Living Security
a região da organização de destino na Living Security
um local seguro para armazenar a chave de acesso gerada

O Zscaler exige um certificado TLS publicamente confiável para um destino HTTPS do Cloud NSS. Os endpoints regionais da Living Security atendem a esse requisito.

1. Preparar a Living Security

Criar a origem e o stream

Acesse Configurações → Integrações → Catálogo, adicione Custom Push Source e use estas chaves de roteamento exatas:

Campo	Valor
Data Source Name	`zscaler-nss-feed`
Stream Name	`web_logs`

O sublinhado em web_logs é obrigatório. Um par diferente pode aceitar dados, mas não usará o interpretador do Zscaler NSS mantido.

Criar uma chave de acesso

Acesse Configurações → Access Keys, crie uma chave de acesso com o escopo Push Ingest e copie o valor imediatamente.

Montar a URL de destino

Use a URL correspondente à região da Living Security:

Estados Unidos: https://api.us-east-1.livingsecurity.ai/api/v1/push-ingest/zscaler-nss-feed/web_logs
União Europeia: https://api.eu-west-1.livingsecurity.ai/api/v1/push-ingest/zscaler-nss-feed/web_logs

2. Criar o feed do Cloud NSS

No ZIA Admin Portal atual, acesse Logs → Log Streaming → Internet Log Streaming — Nanolog Streaming Service, abra Cloud NSS Feeds e selecione Add Cloud NSS Feed. Os rótulos de menu podem diferir em versões mais antigas do portal ZIA; as instruções de registros web do Cloud NSS do Zscaler são a referência oficial para a navegação no portal. Configure o feed:

Campo do Zscaler	Valor
Feed Name	Um nome identificável, como `Living Security web logs`
NSS Type	NSS for Web
Status	Disabled durante a configuração; ative após a verificação
SIEM Rate	Unlimited, a menos que sua própria política exija uma taxa menor
SIEM Type	Other
OAuth 2.0 Authentication	Disabled
Max Batch Size	512 KB
API URL	A URL regional da Living Security da etapa 1
HTTP Header 1	`Authorization` = `Bearer <access-key>`
HTTP Header 2	`Content-Type` = `application/json`
Log Type	Web Log
Feed Output Type	JSON
JSON Array Notation	Enabled
Feed Escape Character	`,\"`

Não use x-api-key e não combine uma chave de API e um segredo antigos com um ponto. O push ingest atual da Living Security aceita a chave de acesso com escopo somente no cabeçalho Authorization: Bearer ….

Use este Feed Output Format exato, plano e em uma única linha:

{"datetime":"%d{yy}-%02d{mth}-%02d{dd} %02d{hh}:%02d{mm}:%02d{ss}","reason":"%s{reason}","event_id":"%d{recordid}","protocol":"%s{proto}","action":"%s{action}","transactionsize":"%d{totalsize}","responsesize":"%d{respsize}","requestsize":"%d{reqsize}","urlcategory":"%s{urlcat}","serverip":"%s{sip}","requestmethod":"%s{reqmethod}","refererURL":"%s{ereferer}","useragent":"%s{eua}","product":"NSS","location":"%s{elocation}","ClientIP":"%s{cip}","status":"%s{respcode}","user":"%s{elogin}","url":"%s{eurl}","vendor":"Zscaler","hostname":"%s{ehost}","clientpublicIP":"%s{cintip}","threatcategory":"%s{malwarecat}","threatname":"%s{threatname}","filetype":"%s{filetype}","appname":"%s{appname}","riskscore":"%d{riskscore}","department":"%s{edepartment}","urlsupercategory":"%s{urlsupercat}","appclass":"%s{appclass}","dlpengine":"%s{dlpeng}","urlclass":"%s{urlclass}","threatclass":"%s{malwareclass}","dlpdictionaries":"%s{dlpdict}","fileclass":"%s{fileclass}","bwthrottle":"%s{bwthrottle}","contenttype":"%s{contenttype}","unscannabletype":"%s{unscannabletype}","deviceowner":"%s{deviceowner}","devicehostname":"%s{devicehostname}","keyprotectiontype":"%s{keyprotectiontype}"}

Mantenha todos os campos no nível superior. O guia descontinuado do Unify encapsulava esses campos dentro de um objeto event e adicionava sourcetype. Esse envelope pode ser aceito como JSON, mas não corresponde ao interpretador atual e, portanto, não gera pessoas nem atividades.

Escolha o fuso horário que sua equipe de operações espera ao revisar os eventos do Zscaler. A Living Security analisa o valor de datetime fornecido pelo feed.

3. Filtrar e ativar o feed

Use os filtros Policy Action e Policy Reason do Zscaler para enviar a atividade web necessária ao seu programa de risco humano. Evite uma configuração baixa de eventos por segundo, que poderia descartar registros durante um pico de tráfego. Se a sua organização precisar limitar o feed, monitore tanto a entrega no Zscaler quanto o Push History da Living Security durante o ajuste. Salve o feed, execute o teste de conectividade do Zscaler e, em seguida, defina Status como Enabled.

4. Verificar a entrega e a interpretação

Na Living Security, abra Configurações → Integrações → conectado → zscaler-nss-feed.
Em Push History, confirme que uma execução recente de web_logs mostra a contagem de registros esperada.
Confirme que os usuários ou IPs de dispositivo recentes do Zscaler aparecem associados às pessoas esperadas e que a atividade web está disponível downstream.
Se a execução for aceita, mas nenhuma atividade aparecer, verifique novamente a origem, o stream e o formato de saída plano exatos.

Solução de problemas

Sintoma	Verificação
`401 Unauthorized`	Use `Authorization` com o valor `Bearer <access-key>`; faça a rotação de uma chave expirada ou revogada
`403 Forbidden`	Crie a chave com o escopo Push Ingest
`404 Not Found`	Registre `zscaler-nss-feed` e `web_logs` e, em seguida, use exatamente essa URL
`400 Bad Request`	Ative o JSON Array Notation e confirme que a saída é um array de nível superior de objetos planos
`202` mas sem pessoas nem atividades	Remova o wrapper legado `sourcetype` / `event` e verifique as chaves de roteamento exatas
`429`	Aguarde o fim da limitação temporária no nível de IP e respeite `Retry-After` quando presente
`503`	Mantenha o lote para nova tentativa, aguarde `Retry-After` e reenvie-o sem alterações
O teste de conectividade falha	Verifique o nome de host regional, o cabeçalho Bearer, o estado da chave e a política pública de inspeção de TLS

A API aceita no máximo 10.000 registros e 10 MB por solicitação, com 600 solicitações por 60 segundos por organização. Consulte Custom Push Source API para obter o contrato completo de respostas e novas tentativas.

Relacionados

Custom Push Source API

Revise autenticação, limites de payload, respostas, novas tentativas e verificação de execuções.

Zscaler Client Connector

Conecte a API separada do Client Connector para obter dados de dispositivo e de postura.

Integrações

Configuração de integração

Catálogo

Canais de saída

O que esta integração oferece

Antes de começar

1. Preparar a Living Security

2. Criar o feed do Cloud NSS

3. Filtrar e ativar o feed

4. Verificar a entrega e a interpretação

Solução de problemas

Relacionados

Custom Push Source API

Zscaler Client Connector

Integrações

Configuração de integração

Catálogo

Canais de saída

​O que esta integração oferece

​Antes de começar

​1. Preparar a Living Security

​2. Criar o feed do Cloud NSS

​3. Filtrar e ativar o feed

​4. Verificar a entrega e a interpretação

​Solução de problemas

​Relacionados

Custom Push Source API

Zscaler Client Connector

O que esta integração oferece

Antes de começar

1. Preparar a Living Security

2. Criar o feed do Cloud NSS

3. Filtrar e ativar o feed

4. Verificar a entrega e a interpretação

Solução de problemas

Relacionados