Netskope 알림 로그 v2 수집

다음에서 지원:

개요

이 파서는 JSON 형식의 메시지에서 Netskope 알림 로그를 추출하여 Google Security Operations UDM으로 변환합니다. 필드를 정규화하고, 타임스탬프를 파싱하고, 알림 및 심각도를 처리하고, 네트워크 정보 (IP, 포트, 프로토콜)를 추출하고, 사용자 및 파일 데이터를 보강하고, 필드를 UDM 구조에 매핑합니다. 또한 파서는 로그인 및 DLP 이벤트와 같은 특정 Netskope 활동을 처리하고 향상된 컨텍스트를 위해 맞춤 라벨을 추가합니다.

시작하기 전에

다음 기본 요건이 충족되었는지 확인합니다.

  • Google SecOps 인스턴스
  • Netskope에 대한 액세스 권한

Netskope REST API 액세스 사용 설정

  1. 관리자 사용자 인증 정보를 사용하여 Netskope 테넌트에 로그인합니다.
  2. 설정 > 도구 > REST API v2로 이동합니다.
  3. REST API 상태를 사용 설정합니다.

  4. 새 토큰을 만듭니다.

    1. 새 토큰을 클릭합니다.
    2. 토큰 이름을 입력합니다 (예: Google SecOps Token).
    3. 토큰 만료 시간을 입력합니다.
    4. 엔드포인트 추가를 클릭하여 토큰과 함께 사용할 API 엔드포인트를 선택합니다.

    5. 엔드포인트의 권한을 지정합니다.

      • 읽기 권한에는 GET이 포함됩니다.
      • 읽기+쓰기 권한에는 GET, PUT, POST, PATCH, DELETE가 포함됩니다.

    6. 저장을 클릭합니다.

    7. 토큰 생성 여부를 보여주는 확인 상자가 열립니다.

    8. 토큰 복사를 클릭하고 나중에 API 인증 헤더에서 사용할 수 있도록 저장합니다.

피드 설정

Google SecOps 플랫폼에서 피드를 설정하는 두 가지 진입점이 있습니다.

  • SIEM 설정 > 피드
  • 콘텐츠 허브 > 콘텐츠 팩

SIEM 설정 > 피드에서 피드 설정

피드를 구성하려면 다음 단계를 따르세요.

  1. SIEM 설정 > 피드로 이동합니다.
  2. 새 피드 추가를 클릭합니다.
  3. 다음 페이지에서 단일 피드 구성을 클릭합니다.
  4. 피드 이름 필드에 피드 이름을 입력합니다(예: Netskope Alert Logs v2).
  5. 소스 유형으로 서드 파티 API를 선택합니다.
  6. 로그 유형으로 Netskope V2를 선택합니다.
  7. 다음을 클릭합니다.
  8. 다음 입력 매개변수의 값을 지정합니다.
    • 인증 HTTP 헤더: 이전에 Netskope-Api-Token:<value> 형식으로 생성된 토큰 (예: Netskope-Api-Token:AAAABBBBCCCC111122223333)
    • API 호스트 이름: Netskope REST API 엔드포인트의 FQDN (정규화된 도메인 이름)(예: myinstance.goskope.com)입니다.
    • API 엔드포인트: alerts를 입력합니다.
    • 콘텐츠 유형: 알림의 허용되는 값은 uba, securityassessment, quarantine, remediation, policy, malware, malsite, compromisedcredential, ctep, dlp, watchlist입니다.
  9. 다음을 클릭합니다.
  10. 확정 화면에서 피드 구성을 검토한 다음 제출을 클릭합니다.

Content Hub에서 피드 설정하기

다음 필드의 값을 지정합니다.

  • 인증 HTTP 헤더: 이전에 Netskope-Api-Token:<value> 형식으로 생성된 토큰 (예: Netskope-Api-Token:AAAABBBBCCCC111122223333)
  • API 호스트 이름: Netskope REST API 엔드포인트의 FQDN (정규화된 도메인 이름)(예: myinstance.goskope.com)입니다.
  • API 엔드포인트: alerts를 입력합니다.
  • 콘텐츠 유형: 알림의 허용되는 값은 uba, securityassessment, quarantine, remediation, policy, malware, malsite, compromisedcredential, ctep, dlp, watchlist입니다.

고급 옵션

  • 피드 이름: 피드를 식별하는 미리 입력된 값입니다.
  • 소스 유형: Google SecOps에 로그를 수집하는 데 사용되는 방법입니다.
  • 애셋 네임스페이스: 피드와 연결된 네임스페이스입니다.
  • 수집 라벨: 이 피드의 모든 이벤트에 적용되는 라벨입니다.

선택사항: Netskope 이벤트 로그 v2를 처리하는 피드 구성 추가

  1. SIEM 설정 > 피드로 이동합니다.
  2. 새로 추가를 클릭합니다.
  3. 피드 이름 필드에 피드 이름을 입력합니다 (예: Netskope 이벤트 로그 v2).
  4. 소스 유형으로 서드 파티 API를 선택합니다.
  5. 로그 유형으로 Netskope V2를 선택합니다.
  6. 다음을 클릭합니다.
  7. 다음 입력 매개변수의 값을 지정합니다.
    • 인증 HTTP 헤더: 이전에 <key>:<secret> 형식으로 생성된 키 쌍으로, Netskope API에 대해 인증하는 데 사용됩니다.
    • API 호스트 이름: Netskope REST API 엔드포인트의 FQDN (정규화된 도메인 이름)(예: myinstance.goskope.com)입니다.
    • API 엔드포인트: events를 입력합니다.
    • 콘텐츠 유형: 이벤트의 허용되는 값은 애플리케이션, 감사, 연결, Incident, 인프라, 네트워크, 페이지입니다.
    • 애셋 네임스페이스: 애셋 네임스페이스입니다.
    • 수집 라벨: 이 피드의 이벤트에 적용되는 라벨입니다.
  8. 다음을 클릭합니다.
  9. 확정 화면에서 피드 구성을 검토한 다음 제출을 클릭합니다.

UDM 매핑 표

로그 필드 UDM 매핑 논리
_id metadata.product_log_id _id에서 직접 매핑됩니다.
access_method extensions.auth.auth_details access_method에서 직접 매핑됩니다.
action security_result.action 값이 'alert'이므로 QUARANTINE에 매핑됩니다. security_result.action_details에 'alert'로 매핑됩니다.
app target.application app에서 직접 매핑됩니다.
appcategory security_result.category_details appcategory에서 직접 매핑됩니다.
browser network.http.user_agent browser에서 직접 매핑됩니다.
browser_session_id network.session_id browser_session_id에서 직접 매핑됩니다.
browser_version network.http.parsed_user_agent.browser_version browser_version에서 직접 매핑됩니다.
ccl security_result.confidence_details ccl에서 직접 매핑됩니다.
device principal.resource.type, principal.resource.resource_subtype principal.resource.type이(가) 'DEVICE'(기기)로 설정됩니다. principal.resource.resource_subtype는 device에서 직접 매핑됩니다.
dst_country target.location.country_or_region dst_country에서 직접 매핑됩니다.
dst_latitude target.location.region_coordinates.latitude dst_latitude에서 직접 매핑됩니다.
dst_longitude target.location.region_coordinates.longitude dst_longitude에서 직접 매핑됩니다.
dst_region target.location.name dst_region에서 직접 매핑됩니다.
dstip target.ip, target.asset.ip dstip에서 직접 매핑됩니다.
metadata.event_type metadata.event_type 프라이머리 및 대상 IP 주소가 모두 있고 프로토콜이 HTTP가 아니므로 NETWORK_CONNECTION로 설정합니다.
metadata.product_event_type metadata.product_event_type type에서 직접 매핑됩니다.
metadata.product_name metadata.product_name 파서에 의해 'NETSKOPE_ALERT_V2'로 설정됩니다.
metadata.vendor_name metadata.vendor_name 파서에 의해 'NETSKOPE_ALERT_V2'로 설정됩니다.
object_type additional.fields 키가 'object_type'이고 값이 object_type의 콘텐츠인 키-값 쌍으로 additional.fields에 추가되었습니다.
organization_unit principal.administrative_domain organization_unit에서 직접 매핑됩니다.
os principal.platform 값이 정규식 '(?i)Windows.*'와 일치하므로 WINDOWS에 매핑되었습니다.
policy security_result.summary policy에서 직접 매핑됩니다.
site additional.fields 키가 'site'이고 값이 site의 콘텐츠인 키-값 쌍으로 additional.fields에 추가되었습니다.
src_country principal.location.country_or_region src_country에서 직접 매핑됩니다.
src_latitude principal.location.region_coordinates.latitude src_latitude에서 직접 매핑됩니다.
src_longitude principal.location.region_coordinates.longitude src_longitude에서 직접 매핑됩니다.
src_region principal.location.name src_region에서 직접 매핑됩니다.
srcip principal.ip, principal.asset.ip srcip에서 직접 매핑됩니다.
timestamp metadata.event_timestamp.seconds timestamp에서 직접 매핑됩니다.
type metadata.product_event_type type에서 직접 매핑됩니다.
ur_normalized principal.user.email_addresses ur_normalized에서 직접 매핑됩니다.
url target.url url에서 직접 매핑됩니다.
user principal.user.email_addresses user에서 직접 매핑됩니다.

변경사항

2024-09-25

  • 파서를 새로 만들었습니다.

도움이 더 필요하신가요? 커뮤니티 회원 및 Google SecOps 전문가의 답변을 받아 보세요.