Netskope

本指南說明如何將 Netskope 與 Google Security Operations (Google SecOps) 整合。

用途

將 Netskope 與 Google SecOps 整合，可協助您解決下列用途：

  • 網路釣魚網址調查和封鎖：收到網路釣魚網址警示後，使用 Google SecOps 功能查詢 Netskope 雲端安全平台，取得網址信譽和分類資訊。如果確認網址為惡意，Netskope 可以在貴組織的網路上自動封鎖該網址。

  • 惡意軟體分析和圍堵：使用 Google SecOps 功能，將惡意軟體樣本提交至 Netskope 進行動態分析。根據分析結果，Netskope 可強制執行政策，隔離受感染的裝置，或封鎖與惡意指令和控制伺服器的進一步通訊。

  • 修復遭盜用的帳戶：使用 Google SecOps 功能找出可疑的登入嘗試或活動，並強制執行重設密碼、多重驗證問題或帳戶停權等動作。

  • 安全漏洞掃描和修補：使用 Google SecOps 功能，接收雲端應用程式偵測到的安全漏洞警示。

  • 事件應變自動化：使用 Google SecOps 功能收集事件的背景資訊，例如使用者活動、網路流量和資料存取記錄，並自動執行事件應變工作，例如隔離受影響的系統、封鎖惡意流量，以及通知相關利害關係人。

  • 威脅情報擴充：使用 Google SecOps 功能與 Netskope 威脅情報動態饋給整合，並為安全性警示增添背景資訊。

事前準備

在 Google SecOps 設定 Netskope 整合功能前，您必須先從 Netskope 租戶取得特定憑證。這項整合支援兩種驗證方式，具體取決於動作使用的 API 版本。

如需在 Netskope 平台中找出這些設定的詳細指南，請參閱 Netskope 知識入口網站。

REST API V1 (舊版)

使用 V1 API 的動作必須採用這個方法。如要使用這個方法，您必須取得 API 權杖 (也稱為 API 金鑰)。如要瞭解如何產生權杖，請參閱 Netskope 的 REST API v1 總覽。

REST API V2 (OAuth 2.0)

如果動作僅使用 V2 API (List Alerts、List Events、Add Entities To URL List 和 Deploy URL List Changes)，以及選取 Use V2 API 參數的動作，則必須使用這個方法。

如要使用 V2 API 進行驗證，您必須從 Netskope 租戶取得下列憑證 (在「Settings」>「Tools」>「REST API v2」底下設定，或透過「Settings」>「Administration」>「Administrators & Roles」底下的服務帳戶設定，適用於使用 RBAC v3 的租戶)：

  • 用戶端 ID：建立新的 OAuth 2.0 用戶端或服務帳戶時產生。
  • 用戶端密鑰：與用戶端 ID 一併產生。

如需設定 OAuth 2.0 用戶端和指派角色的操作說明，請參閱 Netskope 的「REST API V2 Overview」和「Administrators RBAC V3」說明文件。

必要的 REST API V2 端點和範圍

在 Netskope 設定 OAuth 2.0 用戶端或 RBAC v3 服務帳戶角色時，請根據要執行的動作，授予最低必要範圍 (權限)：

動作 必要的 REST API V2 端點 必要範圍 (權限)
Ping (使用 V2 API 時)
List Alerts		 /api/v2/events/data/alert Read
列出事件
  • /api/v2/events/data/page
  • /api/v2/events/data/application
  • /api/v2/events/data/audit
  • /api/v2/events/data/infrastructure

如果未在這個動作中指定 Type 參數，請授予 Read 存取這四個端點的權限。

 Read
List Clients (啟用 Use V2 API 時) /api/v2/events/datasearch/clientstatus Read
列出隔離檔案 (啟用 Use V2 API 時) /api/v2/casbapi/incidents/quarantine Read
下載檔案 (啟用 Use V2 API 時)
  • /api/v2/casbapi/incidents/quarantine
  • /api/v2/casbapi/apps/{app}/instances/{instance}/files/{file_id}/content
 Read
允許檔案 (啟用 Use V2 API 時) /api/v2/casbapi/incidents/quarantine/{file_id}/restore Read+Write
封鎖檔案 (啟用 Use V2 API 時) /api/v2/casbapi/incidents/quarantine/{file_id}/block Read+Write
將實體新增至網址清單
  • /api/v2/policy/urllist (Read)
  • /api/v2/policy/urllist/{id}/append (Read+Write)
  • /api/v2/policy/urllist/deploy (Read+Write，啟用 Deploy URL List Changes 時為必填)
 Read+Write
部署網址清單變更 /api/v2/policy/urllist/deploy Read+Write

網路設定

如要設定整合的聯播網設定，請參閱下表：

函式 預設通訊埠 方向 通訊協定
API 443 傳出 HTTPS

將 Netskope 與 Google SecOps 整合

Netskope 整合需要下列參數：

參數 說明
Api Root

這是必填欄位。

Netskope 執行個體的 API 根目錄。
Api Key

選填。

從 Netskope 控制台取得的 API 權杖值，用於驗證使用 V1 API 的動作。
Client ID

選填。

用於 V2 API (OAuth 2.0) 驗證的用戶端 ID。

使用 V2 API 的動作必須提供這個參數。
Client Secret

選填。

用於 V2 API (OAuth 2.0) 驗證的用戶端密鑰。

使用 V2 API 的動作必須提供這個參數。
Verify SSL

選填。

如果選取，整合功能會在連線至 Netskope 伺服器時驗證 SSL 憑證。

如要瞭解如何在 Google SecOps 中設定整合功能，請參閱「設定整合功能」。

如有需要，您可以在後續階段進行變更。設定整合執行個體後，即可在應對手冊中使用。如要進一步瞭解如何設定及支援多個執行個體，請參閱「支援多個執行個體」。

動作

如要進一步瞭解動作，請參閱「 在工作區回應待處理動作」和「在案件中執行手動動作」。

將實體新增至網址清單

使用「Add Entities To URL List」動作，將新的網址、網域或 IP 位址附加至現有的 Netskope 網址清單。

這項動作會在下列 Google SecOps 實體上執行：

  • Domain
  • IP Address

  • URL

    動作輸入內容

Netskope 動作需要下列參數：

參數 說明
URL List Name

這是必填欄位。

要更新的現有 Netskope 網址清單名稱 (例如 Allowed URLs)。
Entries

選填。

以逗號分隔的網址、網域或 IP 位址清單，用於新增至清單。

這項動作也會自動處理附加至案件的 URL、Domain 和 IP Address 實體。
Deploy URL List Changes

選填。

如果選取，這項動作會觸發全域部署，套用租戶中所有網址清單 (不只是更新的清單) 的所有待處理變更。

動作輸出內容

Netskope 動作會提供下列輸出內容：

動作輸出類型 可用性
案件總覽附件 無法使用
案件總覽連結 無法使用
案件總覽表格 無法使用
補充資訊表格 無法使用
JSON 結果 可用
輸出訊息 可用
指令碼執行結果 可用
JSON 結果

以下範例顯示使用 Netskope 動作時，收到的 JSON 結果輸出內容：

{
  "added_entities": [
    "https://aistudio.google.com/prompts",
    "https://docs.google.com/"
  ],
  "failed_entities": [
    "not_real_url",
    10500
  ],
  "url_list_name": "Allowed URL List",
  "modify_by": "SOAR_API2",
  "modify_time": "2026-02-26T15:28:07.000Z",
  "pending": 1
}
輸出訊息

Netskope 動作可能會傳回下列輸出訊息：

輸出訊息 訊息說明

Successfully added the following entities to the URL_LIST_NAME list in Netskope: ADDED_ENTITIES. Changes are pending deployment.

Action wasn't able to add the following entities to the URL_LIST_NAME list in Netskope: ENTITIES.

None of the provided entities were added to the URL List URL_LIST_NAME in Netskope.

 動作成功。
Error executing action. Reason: ERROR_REASON

動作失敗。

請檢查伺服器連線、輸入參數或憑證。
指令碼執行結果

下表列出使用 Netskope 動作時，指令碼結果輸出的值：

指令碼結果名稱 值
is_success true或false

允許檔案

使用「允許檔案」動作，允許隔離的檔案。

這項動作會對所有 Google SecOps 實體執行。

動作輸入內容

允許檔案動作需要下列參數：

參數 說明
File ID 必要

要允許的檔案 ID。
Quarantine Profile ID 選用

與檔案相關聯的隔離設定檔 ID。
Use V2 API 選用

如果選取，動作會使用 Netskope V2 API 端點，而非 V1。

這項操作需要有效的 V2 API 憑證。

這項參數需要 OAuth 2.0 支援。請確認整合設定中已設定有效的 Client ID 和 Client Secret。

動作輸出內容

「允許檔案」動作會提供下列輸出內容：

動作輸出類型 可用性
案件總覽附件 無法使用
案件總覽連結 無法使用
案件總覽表格 無法使用
補充資訊表格 無法使用
JSON 結果 無法使用
指令碼執行結果 可用
指令碼執行結果

下表列出使用「允許檔案」動作時，指令碼結果輸出的值：

指令碼結果名稱 值
is_success True或False

封鎖檔案

使用「封鎖檔案」動作，封鎖隔離的檔案。

這項動作會對所有 Google SecOps 實體執行。

動作輸入內容

「Block File」動作需要下列參數：

參數 說明
File ID 必要

要在 Netskope 中封鎖的檔案 ID。
Quarantine Profile ID 選用

與檔案相關聯的隔離設定檔 ID。
Use V2 API 選用

如果選取，動作會使用 Netskope V2 API 端點，而非 V1。

這項操作需要有效的 V2 API 憑證。

這項參數需要 OAuth 2.0 支援。請確認整合設定中已設定有效的 Client ID 和 Client Secret。

動作輸出內容

「封鎖檔案」動作會提供下列輸出內容：

動作輸出類型 可用性
案件總覽附件 無法使用
案件總覽連結 無法使用
案件總覽表格 無法使用
補充資訊表格 無法使用
JSON 結果 無法使用
指令碼執行結果 可用
指令碼執行結果

下表列出使用「Block File」動作時，指令碼結果輸出的值：

指令碼結果名稱 值
is_success True或False

部署網址清單變更

使用「Deploy URL List Changes」動作，將待處理的設定推送至有效的政策引擎，確保網址清單套用並強制執行所有暫存更新。

這項動作不會在 Google SecOps 實體上執行。

動作輸入內容

無

動作輸出內容

「Deploy URL List Changes」(部署網址清單變更) 動作會提供下列輸出內容：

動作輸出類型 可用性
案件總覽附件 無法使用
案件總覽連結 無法使用
案件總覽表格 無法使用
補充資訊表格 無法使用
JSON 結果 無法使用
輸出訊息 可用
指令碼執行結果 可用
輸出訊息

「Deploy URL List Changes」動作可能會傳回下列輸出訊息：

輸出訊息 訊息說明

Successfully deployed pending Netskope policy changes.

 動作成功。
Error executing action. Reason: ERROR_REASON

動作失敗。

請檢查伺服器連線、輸入參數或憑證。
指令碼執行結果

下表列出使用「Deploy URL List Changes」動作時，指令碼結果輸出的值：

指令碼結果名稱 值
is_success true或false

下載檔案

使用「下載檔案」動作，即可下載隔離的檔案。

這項動作會在 Google SecOps IP Address 實體上執行。

動作輸入內容

「下載檔案」動作需要下列參數：

參數 說明
File ID 必要

要從隔離區下載的檔案 ID。
Quarantine Profile ID 選用

與檔案相關聯的隔離設定檔 ID。
Use V2 API 選用

如果選取，動作會使用 Netskope V2 API 端點，而非 V1。

這項操作需要有效的 V2 API 憑證。

啟用這項參數後，會產生下列規定和異動：

  • 驗證：必須支援 OAuth 2.0。請確認整合設定中已設定有效的 Client ID 和 Client Secret。
  • 儲存空間邏輯：啟用這項參數後，來源會從傳統儲存空間切換為新一代儲存空間。

動作輸出內容

「Download File」(下載檔案) 動作會提供下列輸出內容：

動作輸出類型 可用性
案件總覽附件 無法使用
案件總覽連結 無法使用
案件總覽表格 無法使用
補充資訊表格 無法使用
JSON 結果 無法使用
指令碼執行結果 可用
指令碼執行結果

下表列出使用「Download File」動作時，指令碼結果輸出的值：

指令碼結果名稱 值
is_success True或False

列出警告

使用「List Alerts」動作列出快訊。

這項動作會對所有 Google SecOps 實體執行。

動作輸入內容

「List Alerts」動作需要下列參數：

參數 說明
Query 選用

用於篩選快訊資料庫中雲端應用程式事件的查詢。
Type 選用

要篩選的快訊類型。

可能的值如下：

  • Anomaly
  • Compromised Credential
  • Policy
  • Legal Hold
  • Malsite
  • Malware
  • DLP
  • Watchlist
  • Quarantine
  • Remediation
Time Period 選用

搜尋快訊的時間範圍 (以毫秒為單位，從現在往前推算)。

可能的值為 3600、86400、604800 和 2592000。
Start Time 選用

開始時間，用於篩選時間戳記大於指定 Unix 紀元時間的快訊。

只有在未設定 Time Period 參數時，才應使用這個參數。
End Time 選用

結束時間，用於篩選時間戳記早於指定 Unix 紀元時間的快訊。

只有在未設定 Time Period 參數時，才應使用這個參數。
Is Acknowledged 選用

如果選取這個選項，整合功能會篩選已確認的警告。

預設為未選取。
Limit 選用

要傳回的結果數量。

預設值為 100。

動作輸出內容

「List Alerts」動作會提供下列輸出內容：

動作輸出類型 可用性
案件總覽附件 無法使用
案件總覽連結 無法使用
案件總覽表格 無法使用
補充資訊表格 無法使用
JSON 結果 可用
輸出訊息 可用
指令碼執行結果 可用
JSON 結果

以下範例顯示使用「List Alerts」動作時，收到的 JSON 結果輸出內容：

[
    {
        "dstip": "192.0.2.1",
        "app": "Amazon Web Services",
        "profile_id": "ID",
        "device": "iPad",
        "shared_credential_user": "example@example.com",
        "app_session_id": 2961859388,
        "dst_location": "Ashburn",
        "dst_region": "Virginia",
        "policy": "Copy prohibited",
        "page_id": 380765822,
        "object_type": "File",
        "dst_latitude": 39.0481,
        "timestamp": 1548603047,
        "src_region": "California",
        "from_user": "user@example.com",
        "src_location": "San Luis Obispo",
        "traffic_type": "CloudApp",
        "appcategory": "IaaS/PaaS",
        "src_latitude": 35.2635,
        "count": 2,
        "type": "anomaly",
        "risk_level_id": 2,
        "activity": "Upload",
        "userip": "203.0.113.1",
        "src_longitude": -120.6509,
        "browser": "Safari",
        "alert_type": "anomaly",
        "event_type": "user_shared_credentials",
        "_insertion_epoch_timestamp": 1548601562,
        "site": "Amazon Web Services",
        "id": 3561,
        "category": "IaaS/PaaS",
        "orig_ty": "nspolicy",
        "dst_country": "US",
        "src_zipcode": "93401",
        "cci": 94,
        "ur_normalized": "user@example.com",
        "object": "quarterly_report.pdf",
        "organization_unit": "",
        "acked": "false",
        "dst_longitude": -77.4728,
        "alert": "yes",
        "user": "user@example.com",
        "userkey": "user@example.com",
        "srcip": "7198.51.100.1",
        "org": "example.com",
        "src_country": "US",
        "bin_timestamp": 1548633600,
        "dst_zipcode": "20149",
        "url": "http://aws.amazon.com/",
        "sv": "unknown",
        "ccl": "excellent",
        "alert_name": "user_shared_credentials",
        "risk_level": "high",
        "_mladc": ["ur"],
        "threshold_time": 86400,
        "_id": "cadee4a8488b3e139b084134",
        "os": "iOS 6"
    }
]
指令碼執行結果

下表列出使用「List Alerts」動作時，指令碼結果輸出的值：

指令碼結果名稱 值
alerts ALERT_LIST

列出用戶端

使用「List Clients」動作列出用戶端。

這項動作會對所有 Google SecOps 實體執行。

動作輸入內容

「List Clients」動作需要下列參數：

參數 說明
Query 選用

篩選從資料庫擷取的用戶端。
Limit 選用

限制動作傳回的用戶端數量。

預設值為 25。
Use V2 API 選用

如果選取，動作會使用 Netskope V2 API 端點，而非 V1。

這項操作需要有效的 V2 API 憑證。

這項參數需要 OAuth 2.0 支援。請確認整合設定中已設定有效的 Client ID 和 Client Secret。

動作輸出內容

「List Clients」動作會提供下列輸出內容：

動作輸出類型 可用性
案件總覽附件 無法使用
案件總覽連結 無法使用
案件總覽表格 無法使用
補充資訊表格 無法使用
JSON 結果 可用
指令碼執行結果 可用
JSON 結果

以下範例顯示使用「List Clients」動作時，收到的 JSON 結果輸出內容：

[
       {
         "client_install_time": 1532040251,
         "users":
        [
            {
                "heartbeat_status_since": 1532040385,
                "user_added_time": 1532040167,
                "last_event":
                {
                    "status": "Enabled",
                    "timestamp": 1548578307,
                    "event": "Tunnel Up",
                    "actor": "System"
                },
                "device_classification_status": "Not Configured",
                "username": "user@example.com",
                "user_source": "Manual",
                "userkey": "K00fuSXl8yMIqgdg",
                "_id": "ID",
                "heartbeat_status": "Active"
            }],
        "last_event":
        {
            "status": "Enabled",
            "timestamp": 1548578307,
            "event": "Tunnel Up",
            "actor": "System"
        },
        "host_info":
        {
            "device_model": "VMware Virtual Platform",
            "os": "Windows",
            "hostname": "HOSTNAME",
            "device_make": "VMware, Inc.",
            "os_version": "10.0"
        },
        "client_version": "1.1.1.1",
        "_id": "ID",
        "device_id": "DEVICE_ID"
    }
]
指令碼執行結果

下表列出使用「List Clients」動作時，指令碼結果輸出的值：

指令碼結果名稱 值
clients CLIENT_LIST

列出事件

使用「List Events」動作列出事件。

這項動作會對所有 Google SecOps 實體執行。

動作輸入內容

List Events 動作需要下列參數：

參數 說明
Query 選用

用於篩選事件資料庫中雲端應用程式事件的查詢。
Type 選用

要篩選的快訊類型。

可能的值如下：

  • page
  • application
  • audit
  • infrastructure
Time Period 選用

搜尋事件的時間範圍 (以毫秒為單位，從現在往前推算)。

可能的值如下：3600、86400、604800 和 2592000。
Start Time 選用

開始時間，用於篩選時間戳記大於指定 Unix 紀元時間的事件。

只有在未設定 Time Period 參數時，才應使用這個參數。
End Time 選用

結束時間，用於篩選時間戳記小於指定 Unix 紀元時間的事件。

只有在未設定 Time Period 參數時，才應使用這個參數。
Limit 選用

要傳回的結果數量。

預設值為 100。

動作輸出內容

「List Events」動作會提供下列輸出內容：

動作輸出類型 可用性
案件總覽附件 無法使用
案件總覽連結 無法使用
案件總覽表格 無法使用
補充資訊表格 無法使用
JSON 結果 無法使用
指令碼執行結果 可用
JSON 結果

以下範例顯示使用「List Events」動作時，收到的 JSON 結果輸出內容：


    {
        "dstip": "192.0.2.64",
        "browser_session_id": 1066949788113471080,
        "srcip": "198.51.100.36",
        "app_session_id": 4502249472406092569,
        "os_version": "WindowsServer2016",
        "dst_region": "Virginia",
        "numbytes": 37480,
        "req_cnt": 18,
        "server_bytes": 8994,
        "page_id": 0,
        "page_duration": 867,
        "page_endtime": 1548577530,
        "dst_latitude": 39.0481,
        "timestamp": 1548576663,
        "src_region": "Oregon",
        "src_location": "Boardman",
        "ur_normalized": "user@example.com",
        "appcategory": "",
        "src_latitude": 45.8491,
        "count": 1,
        "bypass_traffic": "no",
        "type": "page",
        "userip": "203.0.113.253",
        "src_longitude": -119.7143,
        "page": "WebBackground",
        "browser": "",
        "domain": "WebBackground",
        "dst_location": "Ashburn",
        "_insertion_epoch_timestamp": 1548577621,
        "site": "WebBackground",
        "access_method": "Client",
        "browser_version": "",
        "category": "",
        "client_bytes": 28486,
        "user_generated": "no",
        "hostname": "IP-C0A84AC",
        "dst_country": "US",
        "resp_cnt": 18,
        "src_zipcode": "97818",
        "traffic_type": "Web",
        "http_transaction_count": 18,
        "organization_unit": "example.com/Users",
        "page_starttime": 1548576663,
        "dst_longitude": -77.4728,
        "user": "user@example.com",
        "userkey": "user@example.com",
        "device": "WindowsDevice",
        "src_country": "US",
        "dst_zipcode": "20149",
        "url": "WebBackground",
        "sv": "",
        "ccl": "unknown",
        "useragent": "RestSharp/192.0.2.0",
        "_id": "ID",
        "os": "WindowsServer2016"
    }
]
指令碼執行結果

下表列出使用「List Events」動作時，指令碼結果輸出的值：

指令碼結果名稱 值
events EVENT_LIST

列出隔離檔案

使用「List Quarantined Files」動作，列出隔離的檔案。

這項動作會對所有 Google SecOps 實體執行。

動作輸入內容

「List Quarantined Files」動作需要下列參數：

參數 說明
Start Time 選用

開始時間，用於限制時間戳記大於這個參數值的事件 (採用 Unix 格式)。
End Time 選用

結束時間，用於限制時間戳記小於這個參數值的事件 (採用 Unix 格式)。
Use V2 API 選用

如果選取，動作會使用 Netskope V2 API 端點，而非 V1。

這項操作需要有效的 V2 API 憑證。

這項參數需要 OAuth 2.0 支援。請確認整合設定中已設定有效的 Client ID 和 Client Secret。

動作輸出內容

「List Quarantined Files」動作會提供下列輸出內容：

動作輸出類型 可用性
案件總覽附件 無法使用
案件總覽連結 無法使用
案件總覽表格 無法使用
補充資訊表格 無法使用
JSON 結果 無法使用
指令碼執行結果 可用
指令碼執行結果

下表列出使用「List Quarantined Files」動作時，指令碼結果輸出的值：

指令碼結果名稱 值
files FILE_LIST

乒乓

使用「Ping」動作測試與 Netskope 的連線能力。

這項動作會對所有 Google SecOps 實體執行。

動作輸入內容

無

動作輸出內容

Ping 動作會提供下列輸出內容：

動作輸出類型 可用性
案件總覽附件 無法使用
案件總覽連結 無法使用
案件總覽表格 無法使用
補充資訊表格 無法使用
JSON 結果 無法使用
指令碼執行結果 可用
指令碼執行結果

下表列出使用 Ping 動作時，指令碼結果輸出的值：

指令碼結果名稱 值
is_success True或False

還有其他問題嗎？向社群成員和 Google SecOps 專業人員尋求解答。