Netskope Web プロキシのログを収集する

このパーサーは、CEF 形式と CEF 以外の形式の両方の Netskope ウェブ プロキシログを処理します。フィールドを抽出し、データ変換（タイムスタンプの変換やフィールドの統合など）を行い、UDM にマッピングして、Netskope 固有のメタデータを追加します。パーサーは、条件付きロジックを使用してさまざまなログ形式とフィールドの可用性を処理し、関連するネットワーク、セキュリティ、アプリケーションの詳細を UDM に追加します。

始める前に

• Google Security Operations インスタンスがあることを確認します。
• Netskope に対する特権アクセス権があることを確認します。
• Log Shipper モジュールが構成されていることを確認します。
• Google SecOps サービス アカウント キーがあることを確認します（Google SecOps チームに連絡して、次のスコープを持つサービス アカウントを取得します: https://www.googleapis.com/auth/malachite-ingestion）。

Google SecOps のお客様 ID を取得する

1. Google SecOps コンソールにログインします。
2. [SIEM 設定] > [プロファイル] に移動します。
3. [組織の詳細] セクションから [お客様 ID] をコピーして保存します。

CE で Netskope テナントを構成する

1. [設定] > [全般] に移動します。
2. [Log Shipper] スイッチを [ON] に切り替えます。
3. [設定] で、[Netskope テナント] に移動します。
4. テナントが構成されていない場合は、[テナントを追加] をクリックします。
5. 次の値を入力します。
   • 名前: テナントのわかりやすい名前を指定します。
   • テナント名: Netskope テナントの正式名を入力します。
   • V2 API トークン: Netskope API トークンを入力します。
   • アラート フィルタ: 取り込むウェブ プロキシ アラートを追加します。
   • 初期範囲: 取り込む過去のデータ量を入力します（日数単位）。
   • [保存] をクリックします。

Netskope CLS プラグインを構成する

1. [設定] > [プラグイン] に移動します。
2. [Netskope (CLS)] ボックスを検索して選択し、プラグイン作成ページを開きます。
3. 次の詳細情報を入力します。
   • Configuration Name: このプラグインの覚えやすい名前を入力します。
   • テナント: リストから、前の手順で作成したテナントを選択します。
   • [次へ] をクリックします。
   • 必要に応じて [イベントタイプ] リストを更新します。
   • 初期範囲: 取り込む過去のデータ量を時間単位で入力します。
   • [保存] をクリックします。

Netskope で Google SecOps プラグインを構成する

1. [設定] > [プラグイン] に移動します。
2. [Chronicle（CLS）] ボックスを検索して選択し、プラグイン作成ページを開きます。
3. 次の詳細情報を入力します。
   • Configuration Name: このプラグインの名前を入力します。
   • マッピング: デフォルトの選択のままにします。
   • 「When enabled logs will be transformed using the selected mapping file」をオンに切り替えます。
   • [次へ] をクリックします。
   • リージョン: Google SecOps のリージョンを選択します。
   • カスタム リージョン URL: 省略可能な設定。前の手順で [カスタム リージョン] を選択した場合にのみ必要です。
   • サービス アカウント キー: Google SecOps から提供された JSON キーを入力します。
   • お客様 ID: Google SecOps テナントのお客様 ID を入力します。
   • [保存] をクリックします。

Google SecOps 用に Log Shipper ビジネスルールを構成する

1. [Log Shipper] > [Business Rules] に移動します。
2. デフォルトでは、すべてのアラートとイベントをフィルタするビジネスルールがあります。
3. 特定のアラートやイベントをフィルタで除外する場合は、[新しいルールを作成] をクリックし、ルール名とフィルタを追加して新しいビジネスルールを構成します。
4. [保存] をクリックします。

Google SecOps 用に Log Shipper SIEM マッピングを構成する

1. [ログ シッパー] > [SIEM マッピング] に移動します。
2. [SIEM マッピングを追加] をクリックします。
3. 次の詳細情報を入力します。
   • Source Configuration: Netskope CLS プラグインを選択します。
   • 宛先構成: Google SecOps プラグインを選択します。
   • ビジネスルール: 先ほど作成したルールを選択します。
   • [保存] をクリックします。

Netskope でのイベントとアラートの取得とワークフローを検証する

1. Netskope Cloud Exchange の [Logging] に移動します。
2. プルしたログを検索します。
3. Logging で、フィルタ message contains ingested を使用して、取り込まれたイベントとアラートを検索します。
4. 取り込まれたログがフィルタされます。

UDM マッピング テーブル

さらにサポートが必要な場合 コミュニティ メンバーや Google SecOps のプロフェッショナルから回答を得ることができます。