> ## Documentation Index
> Fetch the complete documentation index at: https://docs.livingsecurity.com/llms.txt
> Use this file to discover all available pages before exploring further.

# Zscaler ZIA Cloud NSS 設定

> 透過 Cloud NSS 摘要將 Zscaler Internet Access 網頁日誌傳送至 Living Security。

連接 Zscaler Internet Access (ZIA) Cloud Nanolog Streaming Service (NSS) 摘要，以將網頁日誌傳送至 Living Security。這是推送式整合，與以拉取為基礎的 [Zscaler Client Connector](/zh-Hant/integrations/catalog/zscaler-client-connector-custom) 整合各自獨立。

## 此整合提供的內容

網頁日誌摘要可識別涉及網頁活動的使用者與裝置，並可提供標準化的活動資料，例如遭封鎖的請求、惡意目的地、資料傳輸封鎖，以及生成式 AI 的使用情形。實際結果取決於您在 Zscaler 中設定的欄位與篩選條件。

## 開始之前

您需要：

* ZIA Cloud NSS 訂閱，以及管理 Cloud NSS 摘要的權限
* 在 Living Security 中管理整合與存取金鑰的權限
* 目標 Living Security 組織所在的區域
* 用於存放所產生存取金鑰的安全位置

Zscaler 要求 HTTPS Cloud NSS 目的地必須使用公開受信任的 TLS 憑證。Living Security 的區域端點符合此要求。

## 1. 準備 Living Security

<Steps>
  <Step title="建立來源與串流">
    前往 **設定 → 集成 → 目錄**，新增 **Custom Push Source**，並使用以下確切的路由金鑰：

    | 欄位 | 值 |
    | - | - |
    | Data Source Name | `zscaler-nss-feed` |
    | Stream Name | `web_logs` |

    `web_logs` 中的底線為必要字元。使用不同的組合可能仍會接受資料，但不會使用受維護的 Zscaler NSS 解譯器。
  </Step>

  <Step title="建立存取金鑰">
    前往 **設定 → Access Keys**，建立具有 **Push Ingest** 範圍的存取金鑰，並立即複製其值。
  </Step>

  <Step title="組成目的地 URL">
    請使用對應 Living Security 區域的 URL：

    * 美國：`https://api.us-east-1.livingsecurity.ai/api/v1/push-ingest/zscaler-nss-feed/web_logs`
    * 歐盟：`https://api.eu-west-1.livingsecurity.ai/api/v1/push-ingest/zscaler-nss-feed/web_logs`
  </Step>
</Steps>

## 2. 建立 Cloud NSS 摘要

在目前的 ZIA Admin Portal 中，前往 **Logs → Log Streaming → Internet Log Streaming — Nanolog Streaming Service**，開啟 **Cloud NSS Feeds**，然後選取 **Add Cloud NSS Feed**。較舊版本的 ZIA 入口網站，其選單標籤可能有所不同；入口網站的導覽方式請以 Zscaler 的 [Cloud NSS 網頁日誌說明](https://help.zscaler.com/zia/adding-cloud-nss-feeds-web-logs)為準。

設定摘要：

| Zscaler 欄位 | 值 |
| - | - |
| Feed Name | 易於辨識的名稱，例如 `Living Security web logs` |
| NSS Type | **NSS for Web** |
| Status | 設定期間為 **Disabled**；驗證後再啟用 |
| SIEM Rate | **Unlimited**，除非貴組織的政策要求較低的速率 |
| SIEM Type | **Other** |
| OAuth 2.0 Authentication | **Disabled** |
| Max Batch Size | **512 KB** |
| API URL | 步驟 1 中對應區域的 Living Security URL |
| HTTP Header 1 | `Authorization` = `Bearer <access-key>` |
| HTTP Header 2 | `Content-Type` = `application/json` |
| Log Type | **Web Log** |
| Feed Output Type | **JSON** |
| JSON Array Notation | **Enabled** |
| Feed Escape Character | `,\"` |

<Warning>
  請勿使用 `x-api-key`，也不要以句點將舊的 API 金鑰與密鑰串接使用。目前 Living Security 的推送擷取僅接受
  `Authorization: Bearer …` 標頭中的限定範圍存取金鑰。
</Warning>

請在單一行中使用以下確切的扁平 **Feed Output Format**：

```text theme={null}
{"datetime":"%d{yy}-%02d{mth}-%02d{dd} %02d{hh}:%02d{mm}:%02d{ss}","reason":"%s{reason}","event_id":"%d{recordid}","protocol":"%s{proto}","action":"%s{action}","transactionsize":"%d{totalsize}","responsesize":"%d{respsize}","requestsize":"%d{reqsize}","urlcategory":"%s{urlcat}","serverip":"%s{sip}","requestmethod":"%s{reqmethod}","refererURL":"%s{ereferer}","useragent":"%s{eua}","product":"NSS","location":"%s{elocation}","ClientIP":"%s{cip}","status":"%s{respcode}","user":"%s{elogin}","url":"%s{eurl}","vendor":"Zscaler","hostname":"%s{ehost}","clientpublicIP":"%s{cintip}","threatcategory":"%s{malwarecat}","threatname":"%s{threatname}","filetype":"%s{filetype}","appname":"%s{appname}","riskscore":"%d{riskscore}","department":"%s{edepartment}","urlsupercategory":"%s{urlsupercat}","appclass":"%s{appclass}","dlpengine":"%s{dlpeng}","urlclass":"%s{urlclass}","threatclass":"%s{malwareclass}","dlpdictionaries":"%s{dlpdict}","fileclass":"%s{fileclass}","bwthrottle":"%s{bwthrottle}","contenttype":"%s{contenttype}","unscannabletype":"%s{unscannabletype}","deviceowner":"%s{deviceowner}","devicehostname":"%s{devicehostname}","keyprotectiontype":"%s{keyprotectiontype}"}
```

<Warning>
  請讓所有欄位維持在最上層。已停用的 Unify 指南曾將這些欄位包在 `event` 物件內，並加入 `sourcetype`。該封裝格式雖可能被接受為 JSON，但與目前的解譯器不符，因此不會產生任何人員或活動資料。
</Warning>

請選擇營運團隊在檢視 Zscaler 事件時所預期的時區。Living Security 會解析摘要所提供的 `datetime` 值。

## 3. 篩選並啟用摘要

請使用 Zscaler 的 **Policy Action** 與 **Policy Reason** 篩選條件，傳送貴組織人員風險計畫所需的網頁活動。請避免設定過低的每秒事件數，以免在流量高峰期間遺失日誌。如果貴組織必須限制摘要的流量，請在調整時同時監控 Zscaler 的傳送狀況與 Living Security 的 Push History。

儲存摘要，執行 Zscaler 的連線測試，然後將 **Status** 設為 **Enabled**。

## 4. 驗證傳送與解譯

1. 在 Living Security 中，開啟 **設定 → 集成 → 已連接 → zscaler-nss-feed**。
2. 在 **Push History** 中，確認最近一次 `web_logs` 執行顯示預期的記錄數量。
3. 確認最近的 Zscaler 使用者或裝置 IP 已對應到預期的人員，且網頁活動可供下游使用。
4. 如果執行已被接受但未出現任何活動，請重新檢查確切的來源、串流與扁平輸出格式。

## 疑難排解

| 症狀 | 檢查項目 |
| - | - |
| `401 Unauthorized` | 使用 `Authorization`，其值為 `Bearer <access-key>`；請輪換已過期或已撤銷的金鑰 |
| `403 Forbidden` | 建立具有 **Push Ingest** 範圍的金鑰 |
| `404 Not Found` | 註冊 `zscaler-nss-feed` 與 `web_logs`，然後使用該確切的 URL |
| `400 Bad Request` | 啟用 JSON Array Notation，並確認輸出為由扁平物件組成的最上層陣列 |
| `202`，但沒有人員或活動 | 移除舊版 `sourcetype` / `event` 封裝，並確認確切的路由金鑰 |
| `429` | 暫停並等待 IP 層級的暫時性節流解除，若有 `Retry-After` 則請遵循其指示 |
| `503` | 保留該批次以供重試，等待 `Retry-After` 後，原封不動地重新傳送 |
| 連線測試失敗 | 檢查區域主機名稱、Bearer 標頭、金鑰狀態，以及公開 TLS 檢查政策 |

API 每次請求最多接受 10,000 筆記錄與 10 MB，每個組織每 60 秒最多 600 次請求。完整的回應與重試規範請參閱 [Custom Push Source API](/zh-Hant/integrations/custom-push-source)。

## 相關資源

<CardGroup cols={2}>
  <Card title="Custom Push Source API" icon="arrow-up-from-bracket" href="/zh-Hant/integrations/custom-push-source">
    檢閱驗證、酬載限制、回應、重試及執行驗證。
  </Card>

  <Card title="Zscaler Client Connector" icon="laptop" href="/zh-Hant/integrations/catalog/zscaler-client-connector-custom">
    連接獨立的 Client Connector API，以取得裝置與安全狀態資料。
  </Card>
</CardGroup>


This documentation is built and hosted on [Mintlify](https://mintlify.com), a developer documentation platform.