Thiết lập Zscaler ZIA Cloud NSS

Kết nối nguồn cấp dữ liệu Zscaler Internet Access (ZIA) Cloud Nanolog Streaming Service (NSS) để gửi nhật ký web đến Living Security. Đây là tích hợp dạng đẩy (push). Tích hợp này tách biệt với tích hợp dạng kéo (pull) Zscaler Client Connector.

Tích hợp này đóng góp những gì

Nguồn cấp nhật ký web có thể xác định người dùng và thiết bị liên quan đến hoạt động web, đồng thời có thể cung cấp các hoạt động đã được chuẩn hóa như yêu cầu bị chặn, đích đến độc hại, chặn truyền dữ liệu và việc sử dụng AI tạo sinh. Kết quả phụ thuộc vào các trường và bộ lọc được cấu hình trong Zscaler.

Trước khi bắt đầu

Bạn cần có:

gói đăng ký ZIA Cloud NSS và quyền quản lý các nguồn cấp dữ liệu Cloud NSS
quyền quản lý tích hợp và khóa truy cập trong Living Security
khu vực của tổ chức Living Security đích
một nơi an toàn để lưu trữ khóa truy cập đã được tạo

Zscaler yêu cầu chứng chỉ TLS được tin cậy công khai cho đích HTTPS của Cloud NSS. Các điểm cuối theo khu vực của Living Security đáp ứng yêu cầu này.

1. Chuẩn bị Living Security

Tạo nguồn và luồng dữ liệu

Đi tới Cài đặt → Tích hợp → Danh mục, thêm Custom Push Source, và sử dụng chính xác các khóa định tuyến sau:

Trường	Giá trị
Data Source Name	`zscaler-nss-feed`
Stream Name	`web_logs`

Dấu gạch dưới trong web_logs là bắt buộc. Một cặp giá trị khác có thể vẫn nhận dữ liệu nhưng sẽ không sử dụng trình diễn giải Zscaler NSS đang được duy trì.

Tạo khóa truy cập

Đi tới Cài đặt → Access Keys, tạo khóa truy cập với phạm vi Push Ingest, và sao chép giá trị của khóa ngay lập tức.

Xây dựng URL đích

Sử dụng URL tương ứng với khu vực Living Security:

Hoa Kỳ: https://api.us-east-1.livingsecurity.ai/api/v1/push-ingest/zscaler-nss-feed/web_logs
Liên minh châu Âu: https://api.eu-west-1.livingsecurity.ai/api/v1/push-ingest/zscaler-nss-feed/web_logs

2. Tạo nguồn cấp dữ liệu Cloud NSS

Trong ZIA Admin Portal hiện tại, đi tới Logs → Log Streaming → Internet Log Streaming — Nanolog Streaming Service, mở Cloud NSS Feeds, rồi chọn Add Cloud NSS Feed. Nhãn menu có thể khác nhau ở các phiên bản cổng ZIA cũ hơn; hướng dẫn nhật ký web Cloud NSS của Zscaler là tài liệu chính thức về cách điều hướng trong cổng. Cấu hình nguồn cấp dữ liệu:

Trường Zscaler	Giá trị
Feed Name	Một tên dễ nhận biết, chẳng hạn `Living Security web logs`
NSS Type	NSS for Web
Status	Disabled trong khi cấu hình; chỉ bật sau khi đã xác minh
SIEM Rate	Unlimited, trừ khi chính sách của tổ chức bạn yêu cầu tốc độ thấp hơn
SIEM Type	Other
OAuth 2.0 Authentication	Disabled
Max Batch Size	512 KB
API URL	URL theo khu vực của Living Security ở bước 1
HTTP Header 1	`Authorization` = `Bearer <access-key>`
HTTP Header 2	`Content-Type` = `application/json`
Log Type	Web Log
Feed Output Type	JSON
JSON Array Notation	Enabled
Feed Escape Character	`,\"`

Không sử dụng x-api-key và không kết hợp khóa API cũ với secret bằng dấu chấm. Tính năng push ingest hiện tại của Living Security chỉ chấp nhận khóa truy cập có phạm vi trong header Authorization: Bearer ….

Sử dụng chính xác Feed Output Format phẳng sau đây trên một dòng:

{"datetime":"%d{yy}-%02d{mth}-%02d{dd} %02d{hh}:%02d{mm}:%02d{ss}","reason":"%s{reason}","event_id":"%d{recordid}","protocol":"%s{proto}","action":"%s{action}","transactionsize":"%d{totalsize}","responsesize":"%d{respsize}","requestsize":"%d{reqsize}","urlcategory":"%s{urlcat}","serverip":"%s{sip}","requestmethod":"%s{reqmethod}","refererURL":"%s{ereferer}","useragent":"%s{eua}","product":"NSS","location":"%s{elocation}","ClientIP":"%s{cip}","status":"%s{respcode}","user":"%s{elogin}","url":"%s{eurl}","vendor":"Zscaler","hostname":"%s{ehost}","clientpublicIP":"%s{cintip}","threatcategory":"%s{malwarecat}","threatname":"%s{threatname}","filetype":"%s{filetype}","appname":"%s{appname}","riskscore":"%d{riskscore}","department":"%s{edepartment}","urlsupercategory":"%s{urlsupercat}","appclass":"%s{appclass}","dlpengine":"%s{dlpeng}","urlclass":"%s{urlclass}","threatclass":"%s{malwareclass}","dlpdictionaries":"%s{dlpdict}","fileclass":"%s{fileclass}","bwthrottle":"%s{bwthrottle}","contenttype":"%s{contenttype}","unscannabletype":"%s{unscannabletype}","deviceowner":"%s{deviceowner}","devicehostname":"%s{devicehostname}","keyprotectiontype":"%s{keyprotectiontype}"}

Giữ mọi trường ở cấp cao nhất. Hướng dẫn Unify đã ngừng sử dụng từng bọc các trường này bên trong một đối tượng event và thêm sourcetype. Lớp bọc đó có thể được chấp nhận là JSON nhưng không khớp với trình diễn giải hiện tại, do đó sẽ không tạo ra người dùng hay hoạt động nào.

Chọn múi giờ mà nhóm vận hành của bạn mong muốn khi xem xét các sự kiện Zscaler. Living Security phân tích giá trị datetime do nguồn cấp dữ liệu cung cấp.

3. Lọc và bật nguồn cấp dữ liệu

Sử dụng các bộ lọc Policy Action và Policy Reason của Zscaler để gửi hoạt động web cần thiết cho chương trình quản lý rủi ro con người của bạn. Tránh đặt giá trị sự kiện mỗi giây quá thấp, vì có thể làm mất nhật ký khi lưu lượng tăng đột biến. Nếu tổ chức của bạn bắt buộc phải giới hạn nguồn cấp dữ liệu, hãy theo dõi cả việc chuyển phát của Zscaler lẫn Push History của Living Security trong khi tinh chỉnh. Lưu nguồn cấp dữ liệu, chạy kiểm tra kết nối của Zscaler, rồi đặt Status thành Enabled.

4. Xác minh việc chuyển phát và diễn giải

Trong Living Security, mở Cài đặt → Tích hợp → đã kết nối → zscaler-nss-feed.
Trong Push History, xác nhận rằng lần chạy web_logs gần đây hiển thị đúng số lượng bản ghi mong đợi.
Xác nhận rằng người dùng hoặc IP thiết bị Zscaler gần đây xuất hiện tương ứng với đúng những người dự kiến và hoạt động web khả dụng ở các bước xử lý tiếp theo.
Nếu lần chạy được chấp nhận nhưng không có hoạt động nào xuất hiện, hãy kiểm tra lại chính xác nguồn, luồng dữ liệu và định dạng đầu ra phẳng.

Khắc phục sự cố

Triệu chứng	Nội dung cần kiểm tra
`401 Unauthorized`	Sử dụng `Authorization` với giá trị `Bearer <access-key>`; xoay vòng khóa đã hết hạn hoặc bị thu hồi
`403 Forbidden`	Tạo khóa với phạm vi Push Ingest
`404 Not Found`	Đăng ký `zscaler-nss-feed` và `web_logs`, sau đó sử dụng chính xác URL đó
`400 Bad Request`	Bật JSON Array Notation và xác nhận đầu ra là một mảng cấp cao nhất gồm các đối tượng phẳng
`202` nhưng không có người dùng hoặc hoạt động	Loại bỏ lớp bọc `sourcetype` / `event` cũ và xác minh chính xác các khóa định tuyến
`429`	Giảm tần suất gửi khi bị giới hạn tốc độ tạm thời ở cấp IP và tuân thủ `Retry-After` khi có
`503`	Giữ lại lô dữ liệu để thử lại, chờ `Retry-After`, rồi gửi lại lô đó mà không thay đổi
Kiểm tra kết nối thất bại	Kiểm tra tên máy chủ theo khu vực, header Bearer, trạng thái khóa và chính sách kiểm tra TLS công khai

API chấp nhận tối đa 10,000 bản ghi và 10 MB cho mỗi yêu cầu, với 600 yêu cầu mỗi 60 giây cho mỗi tổ chức. Xem Custom Push Source API để biết đầy đủ quy ước về phản hồi và thử lại.

Liên quan

Custom Push Source API

Xem xét xác thực, giới hạn tải dữ liệu, phản hồi, thử lại và xác minh lần chạy.

Zscaler Client Connector

Kết nối API Client Connector riêng biệt để lấy dữ liệu thiết bị và tình trạng bảo mật.

Tích hợp

Thiết lập tích hợp

Danh mục

Kênh gửi đi

Tích hợp này đóng góp những gì

Trước khi bắt đầu

1. Chuẩn bị Living Security

2. Tạo nguồn cấp dữ liệu Cloud NSS

3. Lọc và bật nguồn cấp dữ liệu

4. Xác minh việc chuyển phát và diễn giải

Khắc phục sự cố

Liên quan

Custom Push Source API

Zscaler Client Connector

Tích hợp

Thiết lập tích hợp

Danh mục

Kênh gửi đi

​Tích hợp này đóng góp những gì

​Trước khi bắt đầu

​1. Chuẩn bị Living Security

​2. Tạo nguồn cấp dữ liệu Cloud NSS

​3. Lọc và bật nguồn cấp dữ liệu

​4. Xác minh việc chuyển phát và diễn giải

​Khắc phục sự cố

​Liên quan

Custom Push Source API

Zscaler Client Connector

Tích hợp này đóng góp những gì

Trước khi bắt đầu

1. Chuẩn bị Living Security

2. Tạo nguồn cấp dữ liệu Cloud NSS

3. Lọc và bật nguồn cấp dữ liệu

4. Xác minh việc chuyển phát và diễn giải

Khắc phục sự cố

Liên quan