收集 Netskope 快訊記錄 v2

支援：

這個剖析器會從 JSON 格式的訊息中擷取 Netskope 警告記錄，並轉換為 Google Security Operations UDM。這項服務會正規化欄位、剖析時間戳記、處理快訊和嚴重程度、擷取網路資訊 (IP、連接埠、通訊協定)、擴充使用者和檔案資料，以及將欄位對應至 UDM 結構。剖析器也會處理特定的 Netskope 活動，例如登入和資料遺失防護事件，並新增自訂標籤，提供更豐富的背景資訊。

事前準備

請確認您已完成下列事前準備：

  • Google SecOps 執行個體。
  • 具備 Netskope 的特殊權限。

在 Netskope 中建立服務帳戶並產生 REST API 權杖

如要與 Google SecOps 整合，您必須在 Netskope 建立專屬服務帳戶，並產生 API 權杖。

  1. 使用管理員憑證登入 Netskope 租戶。
  2. 依序前往「設定」>「管理與角色」。
  3. 按一下「Administrators」分頁標籤，然後選取「Service Accounts」按鈕。
  4. 在「New Service Account」對話方塊中，輸入描述性的服務帳戶名稱 (例如「Google SecOps Ingestion」)。

  5. 在「角色」下方，選取有權存取所需 API 端點的適當角色 (例如具備快訊讀取權限的自訂角色)。

    • 角色權限和 API 端點透明度：
      • 選取角色 (或建立自訂角色) 時，Netskope 會提供相關 API 端點的資訊：
        • 建立自訂角色：定義自訂角色的權限時，系統會立即顯示與各權限類別相關聯的 API 端點資料。
        • 查看預先定義的角色：您可以查看預先定義的角色，並點選任一角色，查看其權限的詳細細目。包括相關聯的 API 端點和類別。

  6. 在「REST API 驗證方式」下方，選取「API 金鑰」。

  7. 勾選「Generate token now with expiry」(立即產生權杖並設定到期時間) 方塊，然後設定所選到期時間 (例如 365 天)。

  8. 按一下 [建立] 按鈕。

    警告：系統會顯示對話方塊，內含新的 REST API 權杖。您必須立即複製並妥善儲存這個權杖。系統日後不會再顯示這個權杖。

  9. 請妥善保管這個權杖，您需要在 Google SecOps 中設定動態饋給時使用。

設定動態饋給

如要設定動態饋給，請按照下列步驟操作：

  1. 依序前往「SIEM 設定」>「動態饋給」。
  2. 按一下「新增動態饋給」。
  3. 在下一個頁面中，按一下「設定單一動態饋給」。
  4. 在「動態饋給名稱」欄位中，輸入動態饋給的名稱，例如「Netskope Alert Logs v2」。
  5. 在「Source type」(來源類型) 中選取「Third party API」(第三方 API)。
  6. 選取「Netskope V2」做為「記錄類型」。
  7. 點選「下一步」。
  8. 指定下列輸入參數的值：
    • 驗證 HTTP 標頭：先前以 Netskope-Api-Token:<value> 格式產生的權杖 (例如 Netskope-Api-Token:AAAABBBBCCCC111122223333)。
    • API 主機名稱：Netskope REST API 端點的 FQDN (完整網域名稱)，例如 myinstance.goskope.com。
    • API 端點：輸入 alerts。
    • Content Type：alerts 允許的值為 uba、securityassessment、quarantine、remediation、policy、malware、malsite、compromisedcredential、ctep、dlp、watchlist。
  9. 點選「下一步」。
  10. 在「Finalize」畫面中檢查動態饋給設定，然後按一下「Submit」。

選用：新增動態饋給設定，擷取 Netskope 事件記錄 v2

  1. 依序前往「SIEM 設定」>「動態饋給」。
  2. 按一下「新增動態饋給」。
  3. 在下一頁，點按「設定單一動態饋給」。
  4. 在「Feed name」(動態饋給名稱) 欄位中，輸入動態饋給名稱 (例如 Netskope Event Logs v2)。
  5. 在「Source type」(來源類型) 中選取「Third party API」(第三方 API)。
  6. 選取「Netskope V2」做為「記錄類型」。
  7. 點選「下一步」。
  8. 指定下列輸入參數的值：
    • 驗證 HTTP 標頭：輸入 REST API 權杖，格式為 Netskope-Api-Token: <your-generated-token>，其中 <your-generated-token> 是您在上一個部分從 Netskope 平台複製的 API 權杖。這個標頭用於向 Netskope API 進行驗證。
    • API 主機名稱：Netskope REST API 端點的 FQDN (完整網域名稱)，例如 myinstance.goskope.com。
    • API 端點：輸入 events。
    • Content Type：事件允許的值為 application、audit、connection、incident、infrastructure、network、page。
    • Asset namespace：資產命名空間。
    • 擷取標籤：套用至這個動態饋給事件的標籤。
  9. 點選「下一步」。
  10. 在「完成」畫面中檢查動態消息設定，然後按一下「提交」。

UDM 對應表

記錄欄位 UDM 對應 邏輯
_id metadata.product_log_id 直接對應自 _id。
access_method extensions.auth.auth_details 直接從 access_method 對應。
action security_result.action 對應至 QUARANTINE，因為值為「alert」。也會對應至 security_result.action_details，做為「快訊」。
app target.application 直接從 app 對應。
appcategory security_result.category_details 直接從 appcategory 對應。
browser network.http.user_agent 直接對應自 browser。
browser_session_id network.session_id 直接對應自 browser_session_id。
browser_version network.http.parsed_user_agent.browser_version 直接從 browser_version 對應。
ccl security_result.confidence_details 直接從 ccl 對應。
device principal.resource.type、principal.resource.resource_subtype principal.resource.type 設為「DEVICE」。principal.resource.resource_subtype 直接對應自 device。
dst_country target.location.country_or_region 直接從 dst_country 對應。
dst_latitude target.location.region_coordinates.latitude 直接對應自 dst_latitude。
dst_longitude target.location.region_coordinates.longitude 直接從 dst_longitude 對應。
dst_region target.location.name 直接從 dst_region 對應。
dstip target.ip、target.asset.ip 直接從 dstip 對應。
metadata.event_type metadata.event_type 由於主體和目標 IP 位址皆存在，且通訊協定不是 HTTP，因此設為 NETWORK_CONNECTION。
metadata.product_event_type metadata.product_event_type 直接對應自 type。
metadata.product_name metadata.product_name 剖析器會將這個欄位設為「NETSKOPE_ALERT_V2」。
metadata.vendor_name metadata.vendor_name 剖析器會將這個欄位設為「NETSKOPE_ALERT_V2」。
object_type additional.fields 以鍵/值組合的形式新增至 additional.fields，其中鍵為「object_type」，值為 object_type 的內容。
organization_unit principal.administrative_domain 直接從 organization_unit 對應。
os principal.platform 值與規則運算式「(?i)Windows.*」相符，因此對應至 WINDOWS。
policy security_result.summary 直接從 policy 對應。
site additional.fields 以鍵/值組合的形式新增至 additional.fields，其中鍵為「site」，值為 site 的內容。
src_country principal.location.country_or_region 直接從 src_country 對應。
src_latitude principal.location.region_coordinates.latitude 直接對應自 src_latitude。
src_longitude principal.location.region_coordinates.longitude 直接從 src_longitude 對應。
src_region principal.location.name 直接對應自 src_region。
srcip principal.ip、principal.asset.ip 直接從 srcip 對應。
timestamp metadata.event_timestamp.seconds 直接從 timestamp 對應。
type metadata.product_event_type 直接從 type 對應。
ur_normalized principal.user.email_addresses 直接對應自 ur_normalized。
url target.url 直接對應自 url。
user principal.user.email_addresses 直接從 user 對應。

變更記錄

查看這個剖析器的變更記錄

還有其他問題嗎？向社群成員和 Google SecOps 專家尋求解答。