收集 Netskope 快訊記錄 v1

總覽

這個剖析器會從 JSON 格式的訊息中擷取 Netskope 快訊記錄，並轉換為 Google Security Operations UDM。這項服務會正規化欄位、剖析時間戳記、處理快訊和嚴重程度、擷取網路資訊 (IP、通訊埠、通訊協定)、擴充使用者和檔案資料，以及將欄位對應至 UDM 結構。剖析器也會處理特定 Netskope 活動 (例如登入和資料遺失防護事件)，並新增自訂標籤來強化背景資訊。

事前準備

請確認您已完成下列事前準備事項：

• Google SecOps 執行個體。
• Netskope 的特殊存取權。

啟用 Netskope REST API 存取權

1. 使用管理員憑證登入 Netskope 租戶。
2. 依序前往「設定」>「工具」>「REST API v1」。
3. 建立 Google SecOps 專用的新 API 金鑰。
4. 提供描述性名稱 (例如「Google SecOps Key」)。
5. 複製並儲存產生的金鑰和密鑰。

設定動態饋給

在 Google SecOps 平台中，有兩種不同的進入點可設定動態饋給：

• 「SIEM 設定」>「動態消息」
• 內容中心 > 內容包

依序前往「SIEM 設定」>「動態饋給」，設定動態饋給

如要設定動態消息，請按照下列步驟操作：

1. 依序前往「SIEM 設定」>「動態消息」。
2. 按一下「新增動態消息」。
3. 在下一個頁面中，按一下「設定單一動態饋給」。
4. 在「動態饋給名稱」欄位中，輸入動態饋給的名稱，例如「Netskope Alert Logs」。
5. 選取「第三方 API」做為「來源類型」。
6. 選取「Netskope」做為「記錄類型」。
7. 點選「下一步」。
8. 指定下列輸入參數的值：
   • 驗證 HTTP 標頭：先前以 <key>:<secret> 格式產生的金鑰配對，用於向 Netskope API 進行驗證。
   • API 主機名稱：Netskope REST API 端點的完整網域名稱 (FQDN)，例如 myinstance.goskope.com。
   • API 端點：輸入 alerts。
   • 內容類型：輸入 all。
9. 點選「下一步」。
10. 在「Finalize」畫面中檢查動態饋給設定，然後按一下「Submit」。

從內容中心設定動態饋給

為下列欄位指定值：

• 驗證 HTTP 標頭：先前以 <key>:<secret> 格式產生的金鑰配對，用於向 Netskope API 進行驗證。
• API 主機名稱：Netskope REST API 端點的完整網域名稱 (FQDN)，例如 myinstance.goskope.com。
• API 端點：輸入 alerts。
• 內容類型：輸入 all。

進階選項

• 動態饋給名稱：系統預先填入的值，用於識別動態饋給。
• 來源類型：將記錄收集到 Google SecOps 的方法。
• 資產命名空間：與動態饋給相關聯的命名空間。
• 擷取標籤：套用至這個動態饋給所有事件的標籤。

選用：新增動態饋給設定，擷取 Netskope 事件記錄

1. 依序前往「SIEM 設定」>「動態消息」。
2. 按一下「新增」。
3. 在「動態饋給名稱」欄位中，輸入動態饋給的名稱 (例如「Netskope Event Logs」)。
4. 選取「第三方 API」做為「來源類型」。
5. 選取「Netskope」做為「記錄類型」。
6. 點選「下一步」。
7. 指定下列輸入參數的值：
   • 驗證 HTTP 標頭：先前以 <key>:<secret> 格式產生的金鑰配對，用於向 Netskope API 進行驗證。
   • API 主機名稱：Netskope REST API 端點的完整網域名稱 (FQDN)，例如 myinstance.goskope.com。
   • API 端點：輸入 events。
   • 內容類型：輸入 page、application、audit、infrastructure 或 network，視要剖析的事件而定。
   • 資產命名空間：資產命名空間。
   • 擷取標籤：套用至這個動態饋給事件的標籤。
8. 點選「下一步」。
9. 在「Finalize」畫面中檢查動態饋給設定，然後按一下「Submit」。

UDM 對應表

還有其他問題嗎？向社群成員和 Google SecOps 專業人員尋求答案。