Dieser Parser extrahiert Netskope-Warnungslogs aus JSON-formatierten Nachrichten und wandelt sie in das UDM von Google Security Operations um. Sie normalisiert Felder, parst Zeitstempel, verarbeitet Benachrichtigungen und Schweregrade, extrahiert Netzwerkinformationen (IPs, Ports, Protokolle), reichert Nutzer- und Dateidaten an und ordnet Felder der UDM-Struktur zu. Der Parser verarbeitet auch bestimmte Netskope-Aktivitäten wie Logins und DLP-Ereignisse und fügt benutzerdefinierte Labels für zusätzlichen Kontext hinzu.
Hinweise
Prüfen Sie, ob die folgenden Voraussetzungen erfüllt sind:
Google SecOps-Instanz.
Privilegierter Zugriff auf Netskope.
Netskope REST API-Zugriff aktivieren
Melden Sie sich mit Ihren Administratoranmeldedaten im Netskope-Mandanten an.
Gehen Sie zu Einstellungen>Tools>REST API v2.
Aktivieren Sie REST API Status.
Neues Token erstellen:
Klicken Sie auf Neues Token.
Geben Sie den Namen des Tokens ein, z. B. Google SecOps-Token.
Geben Sie die Ablaufzeit des Tokens ein.
Klicken Sie auf Endpunkt hinzufügen, um die API-Endpunkte auszuwählen, die mit dem Token verwendet werden sollen.
Geben Sie die Berechtigungen für den Endpunkt an:
Leseberechtigungen umfassen GET.
Die Berechtigungen „Lesen“ und „Schreiben“ umfassen GET, PUT, POST, PATCH und DELETE.
Klicken Sie auf Speichern.
Es wird ein Bestätigungsfeld geöffnet, in dem angezeigt wird, ob das Token erfolgreich erstellt wurde.
Klicken Sie auf Token kopieren und speichern Sie es zur späteren Verwendung im API-Authentifizierungsheader.
Feeds einrichten
So konfigurieren Sie einen Feed:
Rufen Sie die SIEM-Einstellungen>Feeds auf.
Klicken Sie auf Neuen Feed hinzufügen.
Klicken Sie auf der nächsten Seite auf Einen einzelnen Feed konfigurieren.
Geben Sie im Feld Feed name (Feedname) einen Namen für den Feed ein, z. B. Netskope Alert Logs v2.
Wählen Sie Drittanbieter-API als Quelltyp aus.
Wählen Sie Netskope V2 als Logtyp aus.
Klicken Sie auf Weiter.
Geben Sie Werte für die folgenden Eingabeparameter an:
HTTP-Header für die Authentifizierung:Token, das zuvor im Netskope-Api-Token:<value>-Format generiert wurde (z. B. Netskope-Api-Token:AAAABBBBCCCC111122223333).
API-Hostname:Der FQDN (Fully Qualified Domain Name) Ihres Netskope REST API-Endpunkt, z. B. myinstance.goskope.com.
API-Endpunkt:Geben Sie alerts ein.
Inhaltstyp:Zulässige Werte für alerts sind uba, securityassessment, quarantine, remediation, policy, malware, malsite, compromisedcredential, ctep, dlp, watchlist.
Klicken Sie auf Weiter.
Prüfen Sie die Feedkonfiguration auf dem Bildschirm Finalize (Abschließen) und klicken Sie dann auf Submit (Senden).
Optional: Feedkonfiguration zum Erfassen von Netskope-Ereignislogs V2 hinzufügen
Rufen Sie die SIEM-Einstellungen>Feeds auf.
Klicken Sie auf Neuen Feed hinzufügen.
Klicken Sie auf der nächsten Seite auf Einen einzelnen Feed konfigurieren.
Geben Sie im Feld Feedname einen Namen für den Feed ein, z. B. Netskope Event Logs v2.
Wählen Sie Drittanbieter-API als Quelltyp aus.
Wählen Sie Netskope V2 als Logtyp aus.
Klicken Sie auf Weiter.
Geben Sie Werte für die folgenden Eingabeparameter an:
Authentifizierungs-HTTP-Header:Schlüsselpaar, das zuvor im <key>:<secret>-Format generiert wurde und zur Authentifizierung bei der Netskope API verwendet wird.
API-Hostname:Der FQDN (Fully Qualified Domain Name) Ihres Netskope REST API-Endpunkt, z. B. myinstance.goskope.com.
API-Endpunkt:Geben Sie events ein.
Inhaltstyp:Zulässige Werte für events sind application, audit, connection, incident, infrastructure, network, page.
[[["Leicht verständlich","easyToUnderstand","thumb-up"],["Mein Problem wurde gelöst","solvedMyProblem","thumb-up"],["Sonstiges","otherUp","thumb-up"]],[["Schwer verständlich","hardToUnderstand","thumb-down"],["Informationen oder Beispielcode falsch","incorrectInformationOrSampleCode","thumb-down"],["Benötigte Informationen/Beispiele nicht gefunden","missingTheInformationSamplesINeed","thumb-down"],["Problem mit der Übersetzung","translationIssue","thumb-down"],["Sonstiges","otherDown","thumb-down"]],["Zuletzt aktualisiert: 2025-09-02 (UTC)."],[[["\u003cp\u003eThis parser transforms Netskope alert logs from JSON format into Google Security Operations UDM, normalizing fields, parsing timestamps, and handling alerts, severities, network information, user data, and file data.\u003c/p\u003e\n"],["\u003cp\u003eTo utilize this feature, users must have a Google SecOps instance and privileged access to Netskope, along with enabling the Netskope REST API v2, generating an API token, and setting up a feed in Google SecOps.\u003c/p\u003e\n"],["\u003cp\u003eNetskope alert logs are ingested via a configured feed in Google SecOps, specifying the 'Netskope V2' log type, a generated API token, the API hostname, and specific content types such as 'uba', 'dlp', or 'watchlist'.\u003c/p\u003e\n"],["\u003cp\u003eNetskope Event logs can optionally be ingested using a similar process, specifying the 'Netskope V2' log type, a key/secret pair for authentication, the API hostname, and specific content types like 'application', 'audit', 'connection' or 'network'.\u003c/p\u003e\n"],["\u003cp\u003eThe parser maps various Netskope log fields, such as \u003ccode\u003e_id\u003c/code\u003e, \u003ccode\u003eapp\u003c/code\u003e, \u003ccode\u003edstip\u003c/code\u003e, and \u003ccode\u003euser\u003c/code\u003e, to corresponding UDM fields, like \u003ccode\u003emetadata.product_log_id\u003c/code\u003e, \u003ccode\u003etarget.application\u003c/code\u003e, \u003ccode\u003etarget.ip\u003c/code\u003e, and \u003ccode\u003eprincipal.user.email_addresses\u003c/code\u003e.\u003c/p\u003e\n"]]],[],null,["# Collect Netskope alert logs v2\n==============================\n\nSupported in: \nGoogle secops [SIEM](/chronicle/docs/secops/google-secops-siem-toc)\n| **Note:** This feature is covered by [Pre-GA Offerings Terms](https://chronicle.security/legal/service-terms/) of the Google Security Operations Service Specific Terms. Pre-GA features might have limited support, and changes to pre-GA features might not be compatible with other pre-GA versions. For more information, see the [Google SecOps Technical Support Service guidelines](https://chronicle.security/legal/technical-support-services-guidelines/) and the [Google SecOps Service Specific Terms](https://chronicle.security/legal/service-terms/).\n\nOverview\n--------\n\nThis parser extracts Netskope alert logs from JSON-formatted messages, transforming them into the Google Security Operations UDM. It normalizes fields, parses timestamps, handles alerts and severities, extracts network information (IPs, ports, protocols), enriches user and file data, and maps fields to the UDM structure. The parser also handles specific Netskope activities like logins and DLP events and adds custom labels for enhanced context.\n| **Note:** For more information, see [Netskope API Reference](https://docs.netskope.com/en/rest-api-v2-overview-312207/).\n\nBefore you begin\n----------------\n\nEnsure that you have the following prerequisites:\n\n- Google SecOps instance.\n- Privileged access to Netskope.\n\nEnable Netskope REST API Access\n-------------------------------\n\n1. Sign in to the Netskope tenant using your administrator credentials.\n2. Go to **Settings** \\\u003e **Tools** \\\u003e **REST API v2**.\n3. Enable **REST API Status**.\n4. Create a new token:\n\n 1. Click **New Token**.\n 2. Enter the token name (for example, **Google SecOps Token**).\n 3. Enter the token expiration time.\n 4. Click **Add Endpoint** to select the API endpoints to use with the token.\n 5. Specify the privileges for the endpoint:\n\n - Read privileges include **GET**.\n - Read+Write privileges include **GET** , **PUT** , **POST** , **PATCH** , and **DELETE**.\n\n | **Note:** Endpoint privileges vary. Some endpoints, such as alert and audit, only have the Read privilege. Other endpoints, such as the URL list/file endpoint has both Read+Write privileges.\n 6. Click **Save**.\n\n 7. A confirmation box opens showing whether the token creation was successful.\n\n 8. Click **Copy Token** and **save** it for later use in the API Authentication header.\n\n | **Note:** The only option to copy the token is immediately after you create it. The token is required in your API requests.\n\nSet up feeds\n------------\n\nTo configure a feed, follow these steps:\n\n1. Go to **SIEM Settings** \\\u003e **Feeds**.\n2. Click **Add New Feed**.\n3. On the next page, click **Configure a single feed**.\n4. In the **Feed name** field, enter a name for the feed; for example, **Netskope Alert Logs v2**.\n5. Select **Third party API** as the **Source type**.\n6. Select **Netskope V2** as the **Log type**.\n7. Click **Next**.\n8. Specify values for the following input parameters:\n - **Authentication HTTP Header:** token previously generated in a `Netskope-Api-Token:\u003cvalue\u003e` format (for example, **Netskope-Api-Token:AAAABBBBCCCC111122223333**).\n - **API Hostname:** The FQDN (fully qualified domain name) of your Netskope REST API endpoint (for example `myinstance.goskope.com`).\n - **API Endpoint:** Enter **alerts**.\n - **Content Type:** Allowed values for **alerts** are **uba** , **securityassessment** , **quarantine** , **remediation** , **policy** , **malware** , **malsite** , **compromisedcredential** , **ctep** , **dlp** , **watchlist**.\n9. Click **Next**.\n10. Review the feed configuration in the **Finalize** screen, and then click **Submit**.\n\nOptional: Add a feed configuration to ingest Netskope Event logs v2\n-------------------------------------------------------------------\n\n1. Go to **SIEM Settings** \\\u003e **Feeds**.\n2. Click **Add new feed**.\n3. On the next page, click **Configure a single feed**.\n4. In the **Feed name** field, enter a name for the feed (for example, **Netskope Event Logs v2**).\n5. Select **Third party API** as the **Source type**.\n6. Select **Netskope V2** as the **Log type**.\n7. Click **Next**.\n8. Specify values for the following input parameters:\n - **Authentication HTTP Header:** key pair generated previously in `\u003ckey\u003e:\u003csecret\u003e` format, used to authenticate against the Netskope API.\n - **API Hostname:** The FQDN (fully qualified domain name) of your Netskope REST API endpoint (for example `myinstance.goskope.com`).\n - **API Endpoint:** Enter **events**.\n - **Content Type:** Allowed values for **events** are **application** , **audit** , **connection** , **incident** , **infrastructure** , **network** , **page**.\n - **Asset namespace** : the [asset namespace](/chronicle/docs/investigation/asset-namespaces).\n - **Ingestion labels**: the label applied to the events from this feed.\n9. Click **Next**.\n10. Review the feed configuration in the **Finalize** screen, and then click **Submit**.\n\nUDM Mapping Table\n-----------------\n\n**Need more help?** [Get answers from Community members and Google SecOps professionals.](https://security.googlecloudcommunity.com/google-security-operations-2)"]]
