Configurarea Zscaler ZIA Cloud NSS

Conectați un flux Zscaler Internet Access (ZIA) Cloud Nanolog Streaming Service (NSS) pentru a trimite jurnalele web către Living Security. Aceasta este o integrare de tip push. Este separată de integrarea Zscaler Client Connector, bazată pe pull.

Ce aduce această integrare

Fluxul de jurnale web poate identifica utilizatorul și dispozitivul implicate în activitatea web și poate furniza activitate normalizată, cum ar fi solicitările blocate, destinațiile malițioase, blocările de transfer de date și utilizarea IA generative. Rezultatul depinde de câmpurile și filtrele configurate în Zscaler.

Înainte de a începe

Aveți nevoie de:

un abonament ZIA Cloud NSS și permisiunea de a gestiona fluxurile Cloud NSS
permisiunea de a gestiona integrările și cheile de acces în Living Security
regiunea organizației Living Security țintă
un loc sigur pentru stocarea cheii de acces generate

Zscaler necesită un certificat TLS de încredere publică pentru o destinație Cloud NSS HTTPS. Punctele finale regionale Living Security îndeplinesc această cerință.

1. Pregătiți Living Security

Creați sursa și fluxul

Accesați Setări → Integrări → Catalog, adăugați Custom Push Source și utilizați exact aceste chei de rutare:

Câmp	Valoare
Data Source Name	`zscaler-nss-feed`
Stream Name	`web_logs`

Caracterul de subliniere din web_logs este obligatoriu. O pereche diferită poate accepta date, dar nu va utiliza interpretorul Zscaler NSS întreținut.

Creați o cheie de acces

Accesați Setări → Access Keys, creați o cheie de acces cu domeniul Push Ingest și copiați imediat valoarea acesteia.

Construiți URL-ul destinației

Utilizați URL-ul pentru regiunea Living Security:

Statele Unite: https://api.us-east-1.livingsecurity.ai/api/v1/push-ingest/zscaler-nss-feed/web_logs
Uniunea Europeană: https://api.eu-west-1.livingsecurity.ai/api/v1/push-ingest/zscaler-nss-feed/web_logs

2. Creați fluxul Cloud NSS

În ZIA Admin Portal actual, accesați Jurnalele → Log Streaming → Internet Log Streaming — Nanolog Streaming Service, deschideți Cloud NSS Feeds și selectați Add Cloud NSS Feed. Denumirile din meniu pot diferi în versiunile mai vechi ale portalului ZIA; instrucțiunile Zscaler pentru jurnalele web Cloud NSS sunt sursa de referință pentru navigarea în portal. Configurați fluxul:

Câmp Zscaler	Valoare
Feed Name	Un nume ușor de recunoscut, cum ar fi `Living Security web logs`
NSS Type	NSS for Web
Status	Dezactivat pe durata configurării; activați după verificare
SIEM Rate	Unlimited, cu excepția cazului în care politica dvs. impune o rată mai mică
SIEM Type	Altele
OAuth 2.0 Authentication	Dezactivat
Max Batch Size	512 KB
API URL	URL-ul regional Living Security de la pasul 1
HTTP Header 1	`Authorization` = `Bearer <access-key>`
HTTP Header 2	`Content-Type` = `application/json`
Log Type	Web Log
Feed Output Type	JSON
JSON Array Notation	Activat
Feed Escape Character	`,\"`

Nu utilizați x-api-key și nu combinați o cheie API veche și un secret cu un punct. Funcția actuală de preluare push din Living Security acceptă cheia de acces cu domeniu limitat exclusiv în antetul Authorization: Bearer ….

Utilizați exact acest Feed Output Format plat, pe o singură linie:

{"datetime":"%d{yy}-%02d{mth}-%02d{dd} %02d{hh}:%02d{mm}:%02d{ss}","reason":"%s{reason}","event_id":"%d{recordid}","protocol":"%s{proto}","action":"%s{action}","transactionsize":"%d{totalsize}","responsesize":"%d{respsize}","requestsize":"%d{reqsize}","urlcategory":"%s{urlcat}","serverip":"%s{sip}","requestmethod":"%s{reqmethod}","refererURL":"%s{ereferer}","useragent":"%s{eua}","product":"NSS","location":"%s{elocation}","ClientIP":"%s{cip}","status":"%s{respcode}","user":"%s{elogin}","url":"%s{eurl}","vendor":"Zscaler","hostname":"%s{ehost}","clientpublicIP":"%s{cintip}","threatcategory":"%s{malwarecat}","threatname":"%s{threatname}","filetype":"%s{filetype}","appname":"%s{appname}","riskscore":"%d{riskscore}","department":"%s{edepartment}","urlsupercategory":"%s{urlsupercat}","appclass":"%s{appclass}","dlpengine":"%s{dlpeng}","urlclass":"%s{urlclass}","threatclass":"%s{malwareclass}","dlpdictionaries":"%s{dlpdict}","fileclass":"%s{fileclass}","bwthrottle":"%s{bwthrottle}","contenttype":"%s{contenttype}","unscannabletype":"%s{unscannabletype}","deviceowner":"%s{deviceowner}","devicehostname":"%s{devicehostname}","keyprotectiontype":"%s{keyprotectiontype}"}

Păstrați toate câmpurile la nivelul superior. Ghidul Unify retras încadra aceste câmpuri într-un obiect event și adăuga sourcetype. Acest înveliș poate fi acceptat ca JSON, dar nu corespunde interpretorului actual, astfel încât nu produce nicio persoană și nicio activitate.

Alegeți fusul orar pe care echipa dvs. de operațiuni îl așteaptă la examinarea evenimentelor Zscaler. Living Security analizează valoarea datetime furnizată de flux.

3. Filtrați și activați fluxul

Utilizați filtrele Policy Action și Policy Reason din Zscaler pentru a trimite activitatea web necesară programului dvs. de gestionare a riscului uman. Evitați o setare scăzută a numărului de evenimente pe secundă, care ar putea duce la eliminarea jurnalelor în timpul unui vârf de trafic. Dacă organizația dvs. trebuie să limiteze fluxul, monitorizați atât livrarea din Zscaler, cât și Push History din Living Security în timpul ajustării. Salvați fluxul, rulați testul de conectivitate Zscaler, apoi setați Stare la Activat.

4. Verificați livrarea și interpretarea

În Living Security, deschideți Setări → Integrări → Conectat → zscaler-nss-feed.
În Push History, confirmați că o rulare recentă web_logs afișează numărul de înregistrări așteptat.
Confirmați că utilizatorii Zscaler sau adresele IP ale dispozitivelor recente apar în dreptul persoanelor așteptate și că activitatea web este disponibilă în aval.
Dacă rularea este acceptată, dar nu apare nicio activitate, verificați din nou sursa, fluxul și formatul plat de ieșire exacte.

Depanare

Simptom	Verificare
`401 Unauthorized`	Utilizați `Authorization` cu valoarea `Bearer <access-key>`; înlocuiți o cheie expirată sau revocată
`403 Forbidden`	Creați cheia cu domeniul Push Ingest
`404 Not Found`	Înregistrați `zscaler-nss-feed` și `web_logs`, apoi utilizați exact acel URL
`400 Bad Request`	Activați JSON Array Notation și confirmați că ieșirea este o matrice de nivel superior de obiecte plate
`202` dar nicio persoană sau activitate	Eliminați învelișul vechi `sourcetype` / `event` și verificați cheile de rutare exacte
`429`	Așteptați încheierea limitării temporare la nivel de IP și respectați `Retry-After` atunci când este prezent
`503`	Păstrați lotul pentru reîncercare, așteptați `Retry-After` și retrimiteți-l nemodificat
Testul de conectivitate eșuează	Verificați numele de gazdă regional, antetul Bearer, starea cheii și politica de inspecție TLS publică

API-ul acceptă cel mult 10,000 de înregistrări și 10 MB per solicitare, cu 600 de solicitări la 60 de secunde per organizație. Consultați Custom Push Source API pentru contractul complet privind răspunsurile și reîncercările.

Custom Push Source API

Examinați autentificarea, limitele payload-ului, răspunsurile, reîncercările și verificarea rulărilor.

Zscaler Client Connector

Conectați API-ul Client Connector separat pentru datele despre dispozitive și postura de securitate.

Integrări

Configurarea integrărilor

Catalog

Canale de ieșire

Ce aduce această integrare

Înainte de a începe

1. Pregătiți Living Security

2. Creați fluxul Cloud NSS

3. Filtrați și activați fluxul

4. Verificați livrarea și interpretarea

Depanare

Custom Push Source API

Zscaler Client Connector

Integrări

Configurarea integrărilor

Catalog

Canale de ieșire

​Ce aduce această integrare

​Înainte de a începe

​1. Pregătiți Living Security

​2. Creați fluxul Cloud NSS

​3. Filtrați și activați fluxul

​4. Verificați livrarea și interpretarea

​Depanare

​Related

Custom Push Source API

Zscaler Client Connector

Ce aduce această integrare

Înainte de a începe

1. Pregătiți Living Security

2. Creați fluxul Cloud NSS

3. Filtrați și activați fluxul

4. Verificați livrarea și interpretarea

Depanare

Related