收集 Netskope 網頁 Proxy 記錄

這個剖析器會處理 CEF 和非 CEF 格式的 Netskope 網路 Proxy 記錄。這項擴充功能會擷取欄位、執行資料轉換 (例如轉換時間戳記或合併欄位)、將欄位對應至 UDM，並新增 Netskope 專屬的中繼資料。剖析器會使用條件式邏輯處理不同的記錄格式和欄位可用性，並透過相關網路、安全性及應用程式詳細資料擴充 UDM。

事前準備

• 確認您有 Google Security Operations 執行個體。
• 確認您擁有 Netskope 的特殊權限。
• 確認您已設定 Log Shipper 模組。
• 確認您擁有 Google SecOps 服務帳戶金鑰 (請與 Google SecOps 團隊聯絡，取得具有下列範圍的服務帳戶：https://www.googleapis.com/auth/malachite-ingestion)。

取得 Google SecOps 客戶 ID

1. 登入 Google SecOps 控制台。
2. 依序前往「SIEM 設定」>「設定檔」。
3. 複製並儲存「機構詳細資料」專區中的客戶 ID。

在 CE 中設定 Netskope 租戶

1. 依序前往「設定」>「一般」。
2. 將「記錄檔寄送者」切換為「開啟」
3. 在「設定」中，前往「Netskope Tenants」。
4. 如果未設定任何租戶，請按一下「新增租戶」。
5. 輸入下列值：
   • 名稱：為租戶提供容易記住的名稱。
   • 租戶名稱：輸入 Netskope 租戶的實際名稱。
   • V2 API 權杖：輸入 Netskope API 權杖。
   • 快訊篩選器：新增您要擷取的網路 Proxy 快訊。
   • 初始範圍：輸入要擷取的歷來資料量 (以天為單位)。
   • 按一下 [儲存]。

設定 Netskope CLS 外掛程式

1. 依序前往「設定」>「外掛程式」。
2. 搜尋並選取「Netskope (CLS)」方塊，開啟外掛程式建立頁面。
3. 輸入下列詳細資料：
   • 設定名稱：輸入這個外掛程式的名稱，方便您記憶。
   • 租戶：從清單中選取您在上一步建立的租戶。
   • 點選「下一步」。
   • 視需要更新「事件類型」清單。
   • 初始範圍：輸入要擷取的歷來資料量 (以小時為單位)。
   • 按一下 [儲存]。

在 Netskope 中設定 Google SecOps 外掛程式

1. 依序前往「設定」>「外掛程式」。
2. 搜尋並選取「Chronicle (CLS)」方塊，開啟外掛程式建立頁面。
3. 輸入下列詳細資料：
   • 設定名稱：輸入這個外掛程式的名稱。
   • 對應：保留預設選取項目。
   • 將「開啟」切換為 When enabled logs will be transformed using the selected mapping file。
   • 點選「下一步」。
   • 區域：選取 Google SecOps 的區域。
   • 自訂區域網址：選用設定，只有在上一步選取「自訂區域」時才需要。
   • 服務帳戶金鑰：輸入 Google SecOps 提供的 JSON 金鑰。
   • 客戶 ID：輸入 Google SecOps 租戶的客戶 ID。
   • 按一下 [儲存]。

為 Google SecOps 設定記錄檔運送工具業務規則

1. 依序前往「Log Shipper」>「Business Rules」。
2. 根據預設，系統會使用業務規則篩選所有快訊和事件。
3. 如要篩除任何特定類型的快訊或事件，請按一下「建立新規則」，然後新增規則名稱和篩選條件，設定新的業務規則。
4. 按一下 [儲存]。

為 Google SecOps 設定 Log Shipper SIEM 對應

1. 依序前往「記錄檔傳送器」>「SIEM 對應」
2. 按一下「新增 SIEM 對應」。
3. 輸入下列詳細資料：
   • 來源設定：選取 Netskope CLS 外掛程式。
   • 目的地設定：選取 Google SecOps 外掛程式。
   • 業務規則：選取您先前建立的規則。
   • 按一下 [儲存]。

驗證在 Netskope 中提取事件和快訊，以及相關工作流程

1. 前往 Netskope Cloud Exchange 的「Logging」。
2. 搜尋提取的記錄。
3. 在「記錄」中，使用「訊息包含已擷取內容」篩選器，搜尋擷取的事件和快訊。
4. 系統會篩選擷取的記錄。

UDM 對應表

還有其他問題嗎？向社群成員和 Google SecOps 專業人員尋求答案。