收集 Netskope 提醒日志 v2

此解析器从 JSON 格式的消息中提取 Netskope 提醒日志，并将其转换为 Google Security Operations UDM。它会对字段进行标准化处理、解析时间戳、处理提醒和严重程度、提取网络信息（IP、端口、协议）、扩充用户和文件数据，并将字段映射到 UDM 结构。该解析器还会处理特定的 Netskope 活动（例如登录和 DLP 事件），并添加自定义标签以增强上下文。

准备工作

请确保满足以下前提条件：

• Google SecOps 实例。
• 对 Netskope 的特权访问权限。

在 Netskope 中创建服务账号并生成 REST API 令牌

如需与 Google SecOps 集成，您需要在 Netskope 中创建专用服务帐号并生成 API 令牌。

1. 使用管理员凭据登录 Netskope 租户。
2. 依次前往设置 > 管理和角色。
3. 点击管理员 标签页，然后选择服务账号 按钮。
4. 在“New Service Account”（新建服务账号）对话框中，输入描述性服务账号名称 （例如“Google SecOps Ingestion”）。

5. 在角色下，选择具有访问所需 API 端点权限的相应角色（例如，具有提醒读取权限的自定义角色）。

   • 角色权限和 API 端点透明度：
     • 选择角色（或创建自定义角色）时，Netskope 会提供有关关联 API 端点的透明度：
       • 创建自定义角色：在为自定义角色定义权限时，系统会立即显示与每个权限类别关联的 API 端点数据。
       • 检查预定义角色：您可以查看预定义角色，然后点击任意角色以查看其权限的详细细分。这包括关联的 API 端点和类别。

6. 在 REST API Authentication Methods（REST API 身份验证方法）下，选择 API Key（API 密钥）。

7. 选中 Generate token now with expiry （立即生成带有效期的令牌）对应的复选框，并设置所选的有效期（例如 365 天）。

8. 点击创建 按钮。

   警告 ：系统会显示一个对话框，其中显示新的 REST API 令牌。您必须 立即复制并安全地存储此令牌。系统不会再显示此令牌。

9. 请妥善保管此令牌；您需要在 Google SecOps 中配置 Feed 时使用此令牌。

设置 Feed

如需配置 Feed，请按以下步骤操作：

1. 依次前往 SIEM 设置 > Feed。
2. 点击 Add New Feed （添加新 Feed）。
3. 在下一页上，点击 Configure a single feed （配置单个 Feed）。
4. 在 Feed name （Feed 名称）字段中，输入 Feed 的名称；例如 Netskope Alert Logs v2 。
5. 选择 Third party API （第三方 API）作为来源类型 。
6. 选择 Netskope V2 作为日志类型 。
7. 点击下一步 。
8. 为以下输入参数指定值：
   • Authentication HTTP Header ：之前以 Netskope-Api-Token:<value> 格式生成的令牌（例如 Netskope-Api-Token:AAAABBBBCCCC111122223333 ）。
   • API Hostname ：Netskope REST API 端点的 FQDN（完全限定域名）（例如 myinstance.goskope.com）。
   • API Endpoint ：输入 alerts 。
   • Content Type ：alerts 允许的值包括 uba 、securityassessment 、quarantine 、remediation 、policy 、malware 、malsite 、compromisedcredential 、ctep 、dlp 、watchlist 。
9. 点击下一步 。
10. 在 Finalize （最终确定）界面中查看 Feed 配置，然后点击提交 。

可选：添加 Feed 配置以注入 Netskope 事件日志 v2

1. 依次前往 SIEM 设置 > Feed。
2. 点击 Add new feed （添加新 Feed）。
3. 在下一页上，点击 Configure a single feed （配置单个 Feed）。
4. 在 Feed name （Feed 名称）字段中，输入 Feed 的名称（例如 Netskope Event Logs v2 ）。
5. 选择 Third party API （第三方 API）作为来源类型 。
6. 选择 Netskope V2 作为日志类型 。
7. 点击下一步 。
8. 为以下输入参数指定值：
   • Authentication HTTP Header：输入格式为 Netskope-Api-Token: <your-generated-token> 的 REST API 令牌，其中 <your-generated-token> 是您在上一个 部分中从 Netskope 平台复制的 API 令牌。此标头用于针对 Netskope API 进行身份验证。
   • API Hostname ：Netskope REST API 端点的 FQDN（完全限定域名）（例如 myinstance.goskope.com）。
   • API Endpoint ：输入 events 。
   • Content Type ：events 允许的值包括 application 、audit 、connection 、incident 、infrastructure 、network 、page 。
   • Asset namespace：资产命名空间。
   • Ingestion labels：应用于此 Feed 中事件的标签。
9. 点击下一步 。
10. 在 Finalize （最终确定）界面中查看 Feed 配置，然后点击提交 。

UDM 映射表

更新日志

查看此解析器的更新日志

需要更多帮助？获得社区成员和 Google SecOps 专业人士的解答。