Netskope

本指南介绍了如何将 Netskope 与 Google Security Operations (Google SecOps) 集成。

使用场景

将 Netskope 与 Google SecOps 集成有助于您解决以下应用场景：

  • 钓鱼式攻击网址调查和屏蔽：收到钓鱼式攻击网址提醒后，使用 Google SecOps 功能查询 Netskope 云安全平台，了解网址信誉和分类信息。如果网址被确认为恶意网址，Netskope 可以在您的组织网络中自动屏蔽该网址。

  • 恶意软件分析和遏制：使用 Google SecOps 功能将恶意软件样本提交到 Netskope 进行动态分析。根据分析结果，Netskope 可以执行政策来隔离受感染的设备，或阻止与恶意命令和控制服务器的进一步通信。

  • 被盗用的账号修复：使用 Google SecOps 功能识别可疑登录尝试或活动，并执行相应操作，例如重设密码、多重身份验证质询或账号中止。

  • 漏洞扫描和修补：使用 Google SecOps 功能接收有关在云应用中检测到的漏洞的提醒。

  • 突发事件响应自动化：使用 Google SecOps 功能收集有关突发事件的上下文信息，例如用户活动、网络流量和数据访问日志，并自动执行突发事件响应任务，例如隔离受影响的系统、阻止恶意流量以及通知相关利益相关方。

  • 威胁情报丰富：使用 Google SecOps 功能与 Netskope 威胁情报 Feed 集成，并使用其他上下文丰富安全提醒。

准备工作

在 Google SecOps 中配置 Netskope 集成之前，您必须从 Netskope 租户获取特定凭据。此集成支持两种身份验证方法，具体取决于您的操作使用的 API 版本。

如需详细了解如何在 Netskope 平台中找到这些设置，请参阅 Netskope 知识门户。

REST API V1（旧版）

对于使用 V1 API 的操作，此方法是必需的。如需使用此方法，您必须获取 API 令牌（也称为 API 密钥）。如需了解如何生成令牌，请参阅 Netskope REST API v1 概览。

REST API V2 (OAuth 2.0)

对于仅使用 V2 API 的操作（列出提醒、列出事件、将实体添加到网址列表和部署网址列表更改）以及选择了 Use V2 API 参数的操作，此方法是必需的。

如需使用 V2 API 进行身份验证，您必须从 Netskope 租户获取以下凭证（在设置 > 工具 > REST API v2 下配置，或通过设置 > 管理 > 管理员和角色 下的服务账号配置，适用于使用 RBAC v3 的租户）：

  • 客户端 ID：在您创建新的 OAuth 2.0 客户端或服务账号时生成。
  • 客户端密钥：与客户端 ID 一起生成。

如需了解如何设置 OAuth 2.0 客户端和分配角色，请参阅 Netskope REST API V2 概览和管理员 RBAC V3 文档。

必需的 REST API V2 端点和范围

在 Netskope 中配置 OAuth 2.0 客户端或 RBAC v3 服务账号角色时，请为您计划执行的操作授予所需的最低范围（权限）：

操作 必需的 REST API V2 端点 所需范围（权限）
Ping（使用 V2 API 时）
列出提醒		 /api/v2/events/data/alert Read
列出事件
  • /api/v2/events/data/page
  • /api/v2/events/data/application
  • /api/v2/events/data/audit
  • /api/v2/events/data/infrastructure

如果您未在此操作中指定 Type 参数，请向所有四个端点授予 Read 访问权限。

 Read
列出客户端（启用 Use V2 API 时） /api/v2/events/datasearch/clientstatus Read
列出隔离的文件（启用 Use V2 API 时） /api/v2/casbapi/incidents/quarantine Read
下载文件（启用 Use V2 API 时）
  • /api/v2/casbapi/incidents/quarantine
  • /api/v2/casbapi/apps/{app}/instances/{instance}/files/{file_id}/content
 Read
允许文件（启用 Use V2 API 时） /api/v2/casbapi/incidents/quarantine/{file_id}/restore Read+Write
屏蔽文件（当 Use V2 API 处于启用状态时） /api/v2/casbapi/incidents/quarantine/{file_id}/block Read+Write
将实体添加到网址列表
  • /api/v2/policy/urllist (Read)
  • /api/v2/policy/urllist/{id}/append (Read+Write)
  • /api/v2/policy/urllist/deploy（Read+Write，启用 Deploy URL List Changes 时为必填项）
 Read+Write
部署网址列表更改 /api/v2/policy/urllist/deploy Read+Write

网络设置

如需为集成配置投放网络设置，请参阅下表：

函数 默认端口 方向 协议
API 443 出站 HTTPS

将 Netskope 与 Google SecOps 集成

Netskope 集成需要以下参数：

参数 说明
Api Root

必填。

Netskope 实例的 API 根。
Api Key

可选。

从 Netskope 控制台获取的 API 令牌值，用于针对使用 V1 API 的操作进行身份验证。
Client ID

可选。

用于 V2 API (OAuth 2.0) 身份验证的客户端 ID。

对于使用 V2 API 的操作，此参数是必需的。
Client Secret

可选。

用于 V2 API (OAuth 2.0) 身份验证的客户端密钥。

对于使用 V2 API 的操作，此参数是必需的。
Verify SSL

可选。

如果选中，集成会在连接到 Netskope 服务器时验证 SSL 证书。

如需了解如何在 Google SecOps 中配置集成，请参阅配置集成。

如有需要，您可以在后续阶段进行更改。配置集成实例后，您可以在 playbook 中使用该实例。如需详细了解如何配置和支持多个实例，请参阅支持多个实例。

操作

如需详细了解操作，请参阅 在工作桌上响应待处理的操作和在案例中运行手动操作。

将实体添加到网址列表

使用将实体添加到网址列表操作，将新的网址、网域或 IP 地址附加到现有 Netskope 网址列表。

此操作在以下 Google SecOps 实体上运行：

  • Domain
  • IP Address

  • URL

    操作输入

Netskope 操作需要以下参数：

参数 说明
URL List Name

必填。

要更新的现有 Netskope 网址列表的名称（例如 Allowed URLs）。
Entries

可选。

要添加到列表中的网址、网域或 IP 地址的逗号分隔列表。

该操作还会自动处理附加到案例的 URL、Domain 和 IP Address 实体。
Deploy URL List Changes

可选。

如果选择此选项，该操作会触发租户中每个网址列表（而不仅仅是正在更新的列表）中所有待更改项的全局部署。

操作输出

Netskope 操作提供以下输出：

操作输出类型 可用性
案例墙附件 不可用
案例墙链接 不可用
案例墙表格 不可用
丰富化表 不可用
JSON 结果 可用
输出消息 可用
脚本结果 可用
JSON 结果

以下示例展示了使用 Netskope 操作时收到的 JSON 结果输出：

{
  "added_entities": [
    "https://aistudio.google.com/prompts",
    "https://docs.google.com/"
  ],
  "failed_entities": [
    "not_real_url",
    10500
  ],
  "url_list_name": "Allowed URL List",
  "modify_by": "SOAR_API2",
  "modify_time": "2026-02-26T15:28:07.000Z",
  "pending": 1
}
输出消息

Netskope 操作可能会返回以下输出消息：

输出消息 消息说明

Successfully added the following entities to the URL_LIST_NAME list in Netskope: ADDED_ENTITIES. Changes are pending deployment.

Action wasn't able to add the following entities to the URL_LIST_NAME list in Netskope: ENTITIES.

None of the provided entities were added to the URL List URL_LIST_NAME in Netskope.

 操作成功。
Error executing action. Reason: ERROR_REASON

操作失败。

请检查与服务器的连接、输入参数或凭证。
脚本结果

下表列出了使用 Netskope 操作时脚本结果输出的值：

脚本结果名称 值
is_success true 或 false

允许文件

使用允许文件操作可允许隔离的文件。

此操作会在所有 Google SecOps 实体上运行。

操作输入

Allow File 操作需要以下参数：

参数 说明
File ID 必需

要允许的文件的 ID。
Quarantine Profile ID 可选

与文件关联的隔离配置文件的 ID。
Use V2 API 可选

如果选中，该操作将使用 Netskope V2 API 端点，而不是 V1。

这需要有效的 V2 API 凭证。

此参数需要 OAuth 2.0 支持。确保在集成设置中配置了有效的 Client ID 和 Client Secret。

操作输出

Allow File（允许文件）操作会提供以下输出：

操作输出类型 可用性
案例墙附件 不可用
案例墙链接 不可用
案例墙表格 不可用
丰富化表 不可用
JSON 结果 不可用
脚本结果 可用
脚本结果

下表列出了使用允许文件操作时脚本结果输出的值：

脚本结果名称 值
is_success True 或 False

屏蔽文件

使用屏蔽文件操作可屏蔽隔离的文件。

此操作会在所有 Google SecOps 实体上运行。

操作输入

屏蔽文件操作需要以下参数：

参数 说明
File ID 必需

要在 Netskope 中屏蔽的文件的 ID。
Quarantine Profile ID 可选

与文件关联的隔离配置文件的 ID。
Use V2 API 可选

如果选中，该操作将使用 Netskope V2 API 端点，而不是 V1。

这需要有效的 V2 API 凭证。

此参数需要 OAuth 2.0 支持。确保在集成设置中配置了有效的 Client ID 和 Client Secret。

操作输出

屏蔽文件操作会提供以下输出：

操作输出类型 可用性
案例墙附件 不可用
案例墙链接 不可用
案例墙表格 不可用
丰富化表 不可用
JSON 结果 不可用
脚本结果 可用
脚本结果

下表列出了使用屏蔽文件操作时脚本结果输出的值：

脚本结果名称 值
is_success True 或 False

部署网址列表更改

使用部署网址列表更改操作将待处理配置推送到活跃政策引擎，确保对网址列表应用并强制执行所有暂存更新。

此操作不会在 Google SecOps 实体上运行。

操作输入

无。

操作输出

部署网址列表更改操作提供以下输出：

操作输出类型 可用性
案例墙附件 不可用
案例墙链接 不可用
案例墙表格 不可用
丰富化表 不可用
JSON 结果 不可用
输出消息 可用
脚本结果 可用
输出消息

Deploy URL List Changes 操作可能会返回以下输出消息：

输出消息 消息说明

Successfully deployed pending Netskope policy changes.

 操作成功。
Error executing action. Reason: ERROR_REASON

操作失败。

请检查与服务器的连接、输入参数或凭证。
脚本结果

下表列出了使用部署网址列表更改操作时脚本结果输出的值：

脚本结果名称 值
is_success true 或 false

下载文件

使用下载文件操作可下载隔离的文件。

此操作在 Google SecOps IP Address 实体上运行。

操作输入

下载文件操作需要以下参数：

参数 说明
File ID 必需

要从隔离区下载的文件的 ID。
Quarantine Profile ID 可选

与文件关联的隔离配置文件的 ID。
Use V2 API 可选

如果选中，该操作将使用 Netskope V2 API 端点，而不是 V1。

这需要有效的 V2 API 凭证。

启用此参数会引入以下要求和更改：

  • 身份验证：需要 OAuth 2.0 支持。确保在集成设置中配置了有效的 Client ID 和 Client Secret。
  • 存储逻辑：启用此参数会将来源从传统存储切换到新一代存储。

操作输出

下载文件操作提供以下输出：

操作输出类型 可用性
案例墙附件 不可用
案例墙链接 不可用
案例墙表格 不可用
丰富化表 不可用
JSON 结果 不可用
脚本结果 可用
脚本结果

下表列出了使用下载文件操作时脚本结果输出的值：

脚本结果名称 值
is_success True 或 False

列出提醒

使用列出提醒操作可列出提醒。

此操作会在所有 Google SecOps 实体上运行。

操作输入

列出提醒操作需要以下参数：

参数 说明
Query 可选

用于过滤提醒数据库中的云应用事件的查询。
Type 可选

要作为过滤条件的提醒类型。

可能的值如下：

  • Anomaly
  • Compromised Credential
  • Policy
  • Legal Hold
  • Malsite
  • Malware
  • DLP
  • Watchlist
  • Quarantine
  • Remediation
Time Period 可选

搜索提醒的时间段（以毫秒为单位，从当前时间向前推算）。

可能的值包括 3600、86400、604800 和 2592000。
Start Time 可选

开始时间，用于过滤时间戳晚于指定 Unix 纪元时间的提醒。

仅当您未设置 Time Period 参数时，才使用此参数。
End Time 可选

结束时间，用于过滤时间戳小于指定 Unix 纪元时间的提醒。

仅当您未设置 Time Period 参数时，才使用此参数。
Is Acknowledged 可选

如果选中，则集成会过滤已确认的提醒。

默认情况下不选择。
Limit 可选

要返回的结果数量。

默认值为 100。

操作输出

列出提醒操作会提供以下输出：

操作输出类型 可用性
案例墙附件 不可用
案例墙链接 不可用
案例墙表格 不可用
丰富化表 不可用
JSON 结果 可用
输出消息 可用
脚本结果 可用
JSON 结果

以下示例展示了使用列出提醒操作时收到的 JSON 结果输出：

[
    {
        "dstip": "192.0.2.1",
        "app": "Amazon Web Services",
        "profile_id": "ID",
        "device": "iPad",
        "shared_credential_user": "example@example.com",
        "app_session_id": 2961859388,
        "dst_location": "Ashburn",
        "dst_region": "Virginia",
        "policy": "Copy prohibited",
        "page_id": 380765822,
        "object_type": "File",
        "dst_latitude": 39.0481,
        "timestamp": 1548603047,
        "src_region": "California",
        "from_user": "user@example.com",
        "src_location": "San Luis Obispo",
        "traffic_type": "CloudApp",
        "appcategory": "IaaS/PaaS",
        "src_latitude": 35.2635,
        "count": 2,
        "type": "anomaly",
        "risk_level_id": 2,
        "activity": "Upload",
        "userip": "203.0.113.1",
        "src_longitude": -120.6509,
        "browser": "Safari",
        "alert_type": "anomaly",
        "event_type": "user_shared_credentials",
        "_insertion_epoch_timestamp": 1548601562,
        "site": "Amazon Web Services",
        "id": 3561,
        "category": "IaaS/PaaS",
        "orig_ty": "nspolicy",
        "dst_country": "US",
        "src_zipcode": "93401",
        "cci": 94,
        "ur_normalized": "user@example.com",
        "object": "quarterly_report.pdf",
        "organization_unit": "",
        "acked": "false",
        "dst_longitude": -77.4728,
        "alert": "yes",
        "user": "user@example.com",
        "userkey": "user@example.com",
        "srcip": "7198.51.100.1",
        "org": "example.com",
        "src_country": "US",
        "bin_timestamp": 1548633600,
        "dst_zipcode": "20149",
        "url": "http://aws.amazon.com/",
        "sv": "unknown",
        "ccl": "excellent",
        "alert_name": "user_shared_credentials",
        "risk_level": "high",
        "_mladc": ["ur"],
        "threshold_time": 86400,
        "_id": "cadee4a8488b3e139b084134",
        "os": "iOS 6"
    }
]
脚本结果

下表列出了使用列出提醒操作时脚本结果输出的值：

脚本结果名称 值
alerts ALERT_LIST

列出客户端

使用列出客户端操作列出客户端。

此操作会在所有 Google SecOps 实体上运行。

操作输入

列出客户端操作需要以下参数：

参数 说明
Query 可选

过滤从数据库中检索到的客户端。
Limit 可选

限制操作返回的客户数量。

默认值为 25。
Use V2 API 可选

如果选中，该操作将使用 Netskope V2 API 端点，而不是 V1。

这需要有效的 V2 API 凭证。

此参数需要 OAuth 2.0 支持。确保在集成设置中配置了有效的 Client ID 和 Client Secret。

操作输出

列出客户端操作提供以下输出：

操作输出类型 可用性
案例墙附件 不可用
案例墙链接 不可用
案例墙表格 不可用
丰富化表 不可用
JSON 结果 可用
脚本结果 可用
JSON 结果

以下示例展示了使用列出客户端操作时收到的 JSON 结果输出：

[
       {
         "client_install_time": 1532040251,
         "users":
        [
            {
                "heartbeat_status_since": 1532040385,
                "user_added_time": 1532040167,
                "last_event":
                {
                    "status": "Enabled",
                    "timestamp": 1548578307,
                    "event": "Tunnel Up",
                    "actor": "System"
                },
                "device_classification_status": "Not Configured",
                "username": "user@example.com",
                "user_source": "Manual",
                "userkey": "K00fuSXl8yMIqgdg",
                "_id": "ID",
                "heartbeat_status": "Active"
            }],
        "last_event":
        {
            "status": "Enabled",
            "timestamp": 1548578307,
            "event": "Tunnel Up",
            "actor": "System"
        },
        "host_info":
        {
            "device_model": "VMware Virtual Platform",
            "os": "Windows",
            "hostname": "HOSTNAME",
            "device_make": "VMware, Inc.",
            "os_version": "10.0"
        },
        "client_version": "1.1.1.1",
        "_id": "ID",
        "device_id": "DEVICE_ID"
    }
]
脚本结果

下表列出了使用列出客户端操作时脚本结果输出的值：

脚本结果名称 值
clients CLIENT_LIST

列出事件

使用列出事件操作列出事件。

此操作会在所有 Google SecOps 实体上运行。

操作输入

列出事件操作需要以下参数：

参数 说明
Query 可选

用于过滤事件数据库中的云应用事件的查询。
Type 可选

要作为过滤条件的提醒类型。

可能的值如下：

  • page
  • application
  • audit
  • infrastructure
Time Period 可选

搜索事件时，从当前时间向前追溯的时间段（以毫秒为单位）。

可能的值如下所示：3600、86400、604800 和 2592000。
Start Time 可选

开始时间，用于过滤时间戳晚于指定 Unix 纪元时间的事件。

仅当您未设置 Time Period 参数时，才使用此参数。
End Time 可选

用于过滤时间戳小于指定 Unix 纪元时间的事件的结束时间。

仅当您未设置 Time Period 参数时，才使用此参数。
Limit 可选

要返回的结果数量。

默认值为 100。

操作输出

列出事件操作提供以下输出：

操作输出类型 可用性
案例墙附件 不可用
案例墙链接 不可用
案例墙表格 不可用
丰富化表 不可用
JSON 结果 不可用
脚本结果 可用
JSON 结果

以下示例展示了使用列出事件操作时收到的 JSON 结果输出：


    {
        "dstip": "192.0.2.64",
        "browser_session_id": 1066949788113471080,
        "srcip": "198.51.100.36",
        "app_session_id": 4502249472406092569,
        "os_version": "WindowsServer2016",
        "dst_region": "Virginia",
        "numbytes": 37480,
        "req_cnt": 18,
        "server_bytes": 8994,
        "page_id": 0,
        "page_duration": 867,
        "page_endtime": 1548577530,
        "dst_latitude": 39.0481,
        "timestamp": 1548576663,
        "src_region": "Oregon",
        "src_location": "Boardman",
        "ur_normalized": "user@example.com",
        "appcategory": "",
        "src_latitude": 45.8491,
        "count": 1,
        "bypass_traffic": "no",
        "type": "page",
        "userip": "203.0.113.253",
        "src_longitude": -119.7143,
        "page": "WebBackground",
        "browser": "",
        "domain": "WebBackground",
        "dst_location": "Ashburn",
        "_insertion_epoch_timestamp": 1548577621,
        "site": "WebBackground",
        "access_method": "Client",
        "browser_version": "",
        "category": "",
        "client_bytes": 28486,
        "user_generated": "no",
        "hostname": "IP-C0A84AC",
        "dst_country": "US",
        "resp_cnt": 18,
        "src_zipcode": "97818",
        "traffic_type": "Web",
        "http_transaction_count": 18,
        "organization_unit": "example.com/Users",
        "page_starttime": 1548576663,
        "dst_longitude": -77.4728,
        "user": "user@example.com",
        "userkey": "user@example.com",
        "device": "WindowsDevice",
        "src_country": "US",
        "dst_zipcode": "20149",
        "url": "WebBackground",
        "sv": "",
        "ccl": "unknown",
        "useragent": "RestSharp/192.0.2.0",
        "_id": "ID",
        "os": "WindowsServer2016"
    }
]
脚本结果

下表列出了使用列出事件操作时脚本结果输出的值：

脚本结果名称 值
events EVENT_LIST

列出隔离的文件

使用列出隔离的文件操作可列出隔离的文件。

此操作会在所有 Google SecOps 实体上运行。

操作输入

列出隔离的文件操作需要以下参数：

参数 说明
Start Time 可选

开始时间，用于限制时间戳大于此参数值（采用 Unix 格式）的事件。
End Time 可选

结束时间，用于限制时间戳小于此参数值（采用 Unix 格式）的事件。
Use V2 API 可选

如果选中，该操作将使用 Netskope V2 API 端点，而不是 V1。

这需要有效的 V2 API 凭证。

此参数需要 OAuth 2.0 支持。确保在集成设置中配置了有效的 Client ID 和 Client Secret。

操作输出

列出隔离的文件操作提供以下输出：

操作输出类型 可用性
案例墙附件 不可用
案例墙链接 不可用
案例墙表格 不可用
丰富化表 不可用
JSON 结果 不可用
脚本结果 可用
脚本结果

下表列出了使用列出隔离的文件操作时脚本结果输出的值：

脚本结果名称 值
files FILE_LIST

Ping

使用 Ping 操作测试与 Netskope 的连接。

此操作会在所有 Google SecOps 实体上运行。

操作输入

无。

操作输出

Ping 操作提供以下输出：

操作输出类型 可用性
案例墙附件 不可用
案例墙链接 不可用
案例墙表格 不可用
丰富化表 不可用
JSON 结果 不可用
脚本结果 可用
脚本结果

下表列出了使用 Ping 操作时脚本结果输出的值：

脚本结果名称 值
is_success True 或 False

需要更多帮助？获得社区成员和 Google SecOps 专业人士的解答。