收集 Netskope 提醒日志 v2

概览

此解析器从 JSON 格式的消息中提取 Netskope 提醒日志，并将其转换为 Google Security Operations UDM。它会规范化字段、解析时间戳、处理提醒和严重程度、提取网络信息（IP、端口、协议）、丰富用户和文件数据，并将字段映射到 UDM 结构。解析器还会处理特定的 Netskope 活动（例如登录和 DLP 事件），并添加自定义标签以增强上下文。

准备工作

确保您满足以下前提条件：

• Google SecOps 实例。
• 对 Netskope 的特权访问权限。

启用 Netskope REST API 访问权限

1. 使用管理员凭据登录 Netskope 租户。
2. 依次前往设置 > 工具 > REST API v2。
3. 启用 REST API 状态。

4. 创建新令牌：

   1. 点击新建令牌。
   2. 输入令牌名称（例如 Google SecOps 令牌）。
   3. 输入令牌过期时间。
   4. 点击添加端点，选择要与令牌搭配使用的 API 端点。

   5. 指定端点的权限：

      • 读取权限包括 GET。
      • 读写权限包括 GET、PUT、POST、PATCH 和 DELETE。

   6. 点击保存。

   7. 系统会打开一个确认框，显示令牌是否已成功创建。

   8. 点击 Copy Token 并保存，以便稍后在 API 身份验证标头中使用。

设置 Feed

您可以通过两种不同的入口点在 Google SecOps 平台中设置 Feed：

• SIEM 设置 > Feed
• 内容中心 > 内容包

通过“SIEM 设置”>“Feed”设置 Feed

如需配置 Feed，请按以下步骤操作：

1. 依次前往 SIEM 设置 > Feed。
2. 点击添加新 Feed。
3. 在下一页上，点击配置单个 Feed。
4. 在 Feed name（Feed 名称）字段中，输入 Feed 的名称，例如 Netskope Alert Logs v2。
5. 选择第三方 API 作为来源类型。
6. 选择 Netskope V2 作为日志类型。
7. 点击下一步。
8. 为以下输入参数指定值：
   • 身份验证 HTTP 标头：之前以 Netskope-Api-Token:<value> 格式生成的令牌（例如 Netskope-Api-Token:AAAABBBBCCCC111122223333）。
   • API 主机名：Netskope REST API 端点的 FQDN（完全限定域名），例如 myinstance.goskope.com。
   • API 端点：输入 alerts。
   • 内容类型：提醒的允许值为 uba、securityassessment、quarantine、remediation、policy、malware、malsite、compromisedcredential、ctep、dlp、watchlist。
9. 点击下一步。
10. 在最终确定界面中检查 Feed 配置，然后点击提交。

设置来自内容中心的 Feed

为以下字段指定值：

• 身份验证 HTTP 标头：之前以 Netskope-Api-Token:<value> 格式生成的令牌（例如 Netskope-Api-Token:AAAABBBBCCCC111122223333）。
• API 主机名：Netskope REST API 端点的 FQDN（完全限定域名），例如 myinstance.goskope.com。
• API 端点：输入 alerts。
• 内容类型：提醒的允许值为 uba、securityassessment、quarantine、remediation、policy、malware、malsite、compromisedcredential、ctep、dlp、watchlist。

高级选项

• Feed 名称：用于标识 Feed 的预填充值。
• 来源类型：用于将日志收集到 Google SecOps 中的方法。
• 资源命名空间：与 Feed 关联的命名空间。
• 提取标签：应用于相应 Feed 中所有事件的标签。

可选：添加 Feed 配置以注入 Netskope 事件日志 v2

1. 依次前往 SIEM 设置 > Feed。
2. 点击新增。
3. 在 Feed 名称字段中，输入 Feed 的名称（例如 Netskope Event Logs v2）。
4. 选择第三方 API 作为来源类型。
5. 选择 Netskope V2 作为日志类型。
6. 点击下一步。
7. 为以下输入参数指定值：
   • 身份验证 HTTP 标头：之前以 <key>:<secret> 格式生成的密钥对，用于针对 Netskope API 进行身份验证。
   • API 主机名：Netskope REST API 端点的 FQDN（完全限定域名），例如 myinstance.goskope.com。
   • API 端点：输入 events。
   • 内容类型：事件的允许值包括应用、审核、连接、突发事件、基础设施、网络、网页。
   • 资源命名空间：资源命名空间。
   • 注入标签：应用于此 Feed 中事件的标签。
8. 点击下一步。
9. 在最终确定界面中检查 Feed 配置，然后点击提交。

UDM 映射表

需要更多帮助？从社区成员和 Google SecOps 专业人士那里获得解答。