Coletar registros de alertas do Netskope v2

Visão geral

Esse analisador extrai registros de alertas do Netskope de mensagens formatadas em JSON, transformando-os no UDM do Google Security Operations. Ele normaliza campos, analisa timestamps, processa alertas e gravidades, extrai informações de rede (IPs, portas, protocolos), enriquece dados de usuários e arquivos e mapeia campos para a estrutura da UDM. O analisador também processa atividades específicas do Netskope, como logins e eventos de DLP, e adiciona rótulos personalizados para melhorar o contexto.

Antes de começar

Verifique se você atende aos seguintes pré-requisitos:

• Instância do Google SecOps.
• Acesso privilegiado ao Netskope.

Ativar o acesso à API REST do Netskope

1. Faça login no locatário do Netskope usando suas credenciais de administrador.
2. Acesse Configurações > Ferramentas > API REST v2.
3. Ative o Status da API REST.

4. Crie um novo token:

   1. Clique em Novo token.
   2. Insira o nome do token (por exemplo, Token do Google SecOps).
   3. Insira o tempo de expiração do token.
   4. Clique em Adicionar endpoint para selecionar os endpoints da API a serem usados com o token.

   5. Especifique os privilégios do endpoint:

      • Os privilégios de leitura incluem GET.
      • Os privilégios de leitura e gravação incluem GET, PUT, POST, PATCH e DELETE.

   6. Clique em Salvar.

   7. Uma caixa de confirmação vai aparecer mostrando se a criação do token foi concluída.

   8. Clique em Copiar token e salve para usar depois no cabeçalho de autenticação da API.

Configurar feeds

Há dois pontos de entrada diferentes para configurar feeds na plataforma do Google SecOps:

• Configurações do SIEM > Feeds
• Central de conteúdo > Pacotes de conteúdo

Configure feeds em "Configurações do SIEM" > "Feeds".

Para configurar um feed, siga estas etapas:

1. Acesse Configurações do SIEM > Feeds.
2. Clique em Adicionar novo feed.
3. Na próxima página, clique em Configurar um único feed.
4. No campo Nome do feed, insira um nome para o feed, por exemplo, Netskope Alert Logs v2.
5. Selecione API de terceiros como o Tipo de origem.
6. Selecione Netskope V2 como o Tipo de registro.
7. Clique em Próxima.
8. Especifique valores para os seguintes parâmetros de entrada:
   • Cabeçalho HTTP de autenticação:token gerado anteriormente em um formato Netskope-Api-Token:<value> (por exemplo, Netskope-Api-Token:AAAABBBBCCCC111122223333).
   • Nome do host da API:o FQDN (nome de domínio totalmente qualificado) do endpoint de API REST do Netskope (por exemplo, myinstance.goskope.com).
   • Endpoint da API:digite alerts.
   • Tipo de conteúdo:os valores permitidos para alertas são uba, securityassessment, quarantine, remediation, policy, malware, malsite, compromisedcredential, ctep, dlp, watchlist.
9. Clique em Próxima.
10. Revise a configuração do feed na tela Finalizar e clique em Enviar.

Configurar feeds na Central de conteúdo

Especifique valores para os seguintes campos:

• Cabeçalho HTTP de autenticação:token gerado anteriormente em um formato Netskope-Api-Token:<value> (por exemplo, Netskope-Api-Token:AAAABBBBCCCC111122223333).
• Nome do host da API:o FQDN (nome de domínio totalmente qualificado) do endpoint de API REST do Netskope (por exemplo, myinstance.goskope.com).
• Endpoint da API:digite alerts.
• Tipo de conteúdo:os valores permitidos para alertas são uba, securityassessment, quarantine, remediation, policy, malware, malsite, compromisedcredential, ctep, dlp, watchlist.

Opções avançadas

• Nome do feed:um valor pré-preenchido que identifica o feed.
• Tipo de origem:método usado para coletar registros no Google SecOps.
• Namespace do recurso:namespace associado ao feed.
• Rótulos de ingestão:rótulos aplicados a todos os eventos deste feed.

Opcional: adicione uma configuração de feed para ingerir registros de eventos do Netskope v2

1. Acesse Configurações do SIEM > Feeds.
2. Clique em Adicionar novo.
3. No campo Nome do feed, insira um nome para o feed (por exemplo, Netskope Event Logs v2).
4. Selecione API de terceiros como o Tipo de origem.
5. Selecione Netskope V2 como o Tipo de registro.
6. Clique em Próxima.
7. Especifique valores para os seguintes parâmetros de entrada:
   • Cabeçalho HTTP de autenticação:par de chaves gerado anteriormente no formato <key>:<secret>, usado para autenticação na API do Netskope.
   • Nome do host da API:o FQDN (nome de domínio totalmente qualificado) do endpoint de API REST do Netskope (por exemplo, myinstance.goskope.com).
   • Endpoint da API:digite events.
   • Tipo de conteúdo:os valores permitidos para events são application, audit, connection, incident, infrastructure, network, page.
   • Namespace do recurso: o namespace do recurso.
   • Rótulos de ingestão: o rótulo aplicado aos eventos deste feed.
8. Clique em Próxima.
9. Revise a configuração do feed na tela Finalizar e clique em Enviar.

Tabela de mapeamento do UDM

Precisa de mais ajuda? Receba respostas de membros da comunidade e profissionais do Google SecOps.