收集 Netskope Web 代理日志

此解析器可处理 CEF 和非 CEF 格式的 Netskope Web 代理日志。它会提取字段、执行数据转换（例如转换时间戳或合并字段）、将它们映射到 UDM，并添加 Netskope 特有的元数据。解析器使用条件逻辑来处理不同的日志格式和字段可用性，并使用相关的网络、安全和应用详细信息来丰富 UDM。

准备工作

• 确保您拥有 Google Security Operations 实例。
• 确保您拥有 Netskope 的特权访问权限。
• 确保您已配置日志传送器模块。
• 确保您拥有 Google SecOps 服务账号密钥（请与 Google SecOps 团队联系，以获取具有以下范围的服务账号：https://www.googleapis.com/auth/malachite-ingestion）。

获取 Google SecOps 客户 ID

1. 登录 Google SecOps 控制台。
2. 依次前往 SIEM 设置 > 个人资料。
3. 复制并保存组织详细信息部分中的客户 ID。

在 CE 中配置 Netskope 租户

1. 依次前往设置 > 常规。
2. 将 Log Shipper 开关切换为开启
3. 在设置中，前往 Netskope 租户。
4. 如果未配置任何租户，请点击添加租户。
5. 输入以下值：
   • 名称：为您的租户提供一个容易记住的名称。
   • 租户名称：输入 Netskope 租户的真实名称。
   • V2 API 令牌：输入您的 Netskope API 令牌。
   • 提醒过滤条件：添加您想要注入的网络代理提醒。
   • 初始范围：输入您要注入的历史数据量（以天为单位）。
   • 点击保存。

配置 Netskope CLS 插件

1. 依次前往设置 > 插件。
2. 搜索并选择 Netskope (CLS) 框，以打开插件创建页面。
3. 输入以下详细信息：
   • 配置名称：为此插件输入一个容易记住的名称。
   • 租户：从列表中选择您在上一步中创建的租户。
   • 点击下一步。
   • 根据需要更新活动类型列表。
   • 初始范围：输入您要注入的历史数据量（以小时为单位）。
   • 点击保存。

在 Netskope 中配置 Google SecOps 插件

1. 依次前往设置 > 插件。
2. 搜索并选择 Chronicle (CLS) 框，以打开插件创建页面。
3. 输入以下详细信息：
   • 配置名称：为此插件输入一个名称。
   • 映射：保留默认选择。
   • 将开关切换为开启状态 When enabled logs will be transformed using the selected mapping file。
   • 点击下一步。
   • 区域：选择 Google SecOps 的区域。
   • 自定义区域网址：可选设置，仅当在上一步中选择了自定义区域时才需要进行设置。
   • 服务账号密钥：输入 Google SecOps 提供的 JSON 密钥。
   • 客户 ID：输入 Google SecOps 租户的客户 ID。
   • 点击保存。

为 Google SecOps 配置日志传送器业务规则

1. 依次前往日志传送程序 > 业务规则。
2. 默认情况下，系统会有一条过滤所有提醒和事件的业务规则。
3. 如果您想过滤掉任何特定类型的提醒或事件，请点击创建新规则，然后添加规则名称和过滤条件，以配置新的业务规则。
4. 点击保存。

为 Google SecOps 配置 Log Shipper SIEM 映射

1. 依次前往日志传送器 > SIEM 映射
2. 点击添加 SIEM 映射。
3. 输入以下详细信息：
   • Source Configuration（来源配置）：选择 Netskope CLS 插件。
   • 目标配置：选择 Google SecOps 插件。
   • 业务规则：选择您之前创建的规则。
   • 点击保存。

验证在 Netskope 中拉取事件和提醒以及相应的工作流

1. 前往 Netskope Cloud Exchange 中的 Logging。
2. 搜索提取的日志。
3. 在 Logging 中，使用过滤条件 message contains ingested 搜索已提取的事件和提醒。
4. 系统将过滤提取的日志。

UDM 映射表

需要更多帮助？从社区成员和 Google SecOps 专业人士那里获得解答。