Netskope 알림 로그 v2 수집

다음에서 지원:

개요

이 파서는 JSON 형식의 메시지에서 Netskope 알림 로그를 추출하여 Google Security Operations UDM으로 변환합니다. 필드를 정규화하고, 타임스탬프를 파싱하고, 알림 및 심각도를 처리하고, 네트워크 정보 (IP, 포트, 프로토콜)를 추출하고, 사용자 및 파일 데이터를 보강하고, 필드를 UDM 구조에 매핑합니다. 또한 파서는 로그인 및 DLP 이벤트와 같은 특정 Netskope 활동을 처리하고 향상된 컨텍스트를 위해 맞춤 라벨을 추가합니다.

시작하기 전에

  • Google SecOps 인스턴스가 있는지 확인합니다.
  • Netskope에 대한 권한이 있는지 확인합니다.

Netskope REST API 액세스 사용 설정

  1. 관리자 사용자 인증 정보를 사용하여 Netskope 테넌트에 로그인합니다.
  2. 설정 > 도구 > REST API v2로 이동합니다.
  3. REST API 상태를 사용 설정합니다.

  4. 새 토큰을 만듭니다.

    1. 새 토큰을 클릭합니다.
    2. 토큰 이름을 입력합니다 (예: Google SecOps Token).
    3. 토큰 만료 시간을 입력합니다.
    4. 엔드포인트 추가를 클릭하여 토큰과 함께 사용할 API 엔드포인트를 선택합니다.

    5. 엔드포인트의 권한을 지정합니다.

      • 읽기 권한에는 GET이 포함됩니다.
      • 읽기+쓰기 권한에는 GET, PUT, POST, PATCH, DELETE가 포함됩니다.

    6. 저장을 클릭합니다.

    7. 토큰 생성 여부를 보여주는 확인 상자가 열립니다.

    8. 토큰 복사를 클릭하고 나중에 API 인증 헤더에서 사용할 수 있도록 저장합니다.

Netskope Alert 로그 v2를 수집하도록 Google SecOps에서 피드 구성

  1. 새로 추가를 클릭합니다.
  2. 피드 이름 필드에 피드 이름을 입력합니다 (예: Netskope Alert Logs v2).
  3. 소스 유형으로 서드 파티 API를 선택합니다.
  4. 로그 유형으로 Netskope V2를 선택합니다.
  5. 다음을 클릭합니다.
  6. 다음 입력 매개변수의 값을 지정합니다.
    • 인증 HTTP 헤더: 이전에 Netskope-Api-Token:<value> 형식으로 생성된 토큰 (예: Netskope-Api-Token:AAAABBBBCCCC111122223333)
    • API 호스트 이름: Netskope REST API 엔드포인트의 FQDN (정규화된 도메인 이름)(예: myinstance.goskope.com)입니다.
    • API 엔드포인트: alerts를 입력합니다.
    • 콘텐츠 유형: 알림의 허용되는 값은 uba, securityassessment, quarantine, remediation, policy, malware, malsite, compromisedcredential, ctep, dlp, watchlist입니다.
    • 애셋 네임스페이스: 애셋 네임스페이스입니다.
    • 수집 라벨: 이 피드의 이벤트에 적용된 라벨입니다.
  7. 다음을 클릭합니다.
  8. 확정 화면에서 피드 구성을 검토한 다음 제출을 클릭합니다.

선택사항: Netskope 이벤트 로그 v2를 처리하는 피드 구성 추가

  1. SIEM 설정 > 피드로 이동합니다.
  2. 새로 추가를 클릭합니다.
  3. 피드 이름 필드에 피드 이름을 입력합니다 (예: Netskope 이벤트 로그 v2).
  4. 소스 유형으로 서드 파티 API를 선택합니다.
  5. 로그 유형으로 Netskope V2를 선택합니다.
  6. 다음을 클릭합니다.
  7. 다음 입력 매개변수의 값을 지정합니다.
    • 인증 HTTP 헤더: 이전에 <key>:<secret> 형식으로 생성된 키 쌍으로, Netskope API에 대해 인증하는 데 사용됩니다.
    • API 호스트 이름: Netskope REST API 엔드포인트의 FQDN (정규화된 도메인 이름)(예: myinstance.goskope.com)입니다.
    • API 엔드포인트: events를 입력합니다.
    • 콘텐츠 유형: 이벤트의 허용되는 값은 애플리케이션, 감사, 연결, Incident, 인프라, 네트워크, 페이지입니다.
    • 애셋 네임스페이스: 애셋 네임스페이스입니다.
    • 수집 라벨: 이 피드의 이벤트에 적용된 라벨입니다.
  8. 다음을 클릭합니다.
  9. 확정 화면에서 피드 구성을 검토한 다음 제출을 클릭합니다.

UDM 매핑 표

로그 필드 UDM 매핑 논리
_id metadata.product_log_id _id에서 직접 매핑됩니다.
access_method extensions.auth.auth_details access_method에서 직접 매핑됩니다.
action security_result.action 값이 'alert'이므로 QUARANTINE에 매핑됩니다. security_result.action_details에 'alert'로 매핑됩니다.
app target.application app에서 직접 매핑됩니다.
appcategory security_result.category_details appcategory에서 직접 매핑됩니다.
browser network.http.user_agent browser에서 직접 매핑됩니다.
browser_session_id network.session_id browser_session_id에서 직접 매핑됩니다.
browser_version network.http.parsed_user_agent.browser_version browser_version에서 직접 매핑됩니다.
ccl security_result.confidence_details ccl에서 직접 매핑됩니다.
device principal.resource.type, principal.resource.resource_subtype principal.resource.type이(가) 'DEVICE'(기기)로 설정됩니다. principal.resource.resource_subtype는 device에서 직접 매핑됩니다.
dst_country target.location.country_or_region dst_country에서 직접 매핑됩니다.
dst_latitude target.location.region_coordinates.latitude dst_latitude에서 직접 매핑됩니다.
dst_longitude target.location.region_coordinates.longitude dst_longitude에서 직접 매핑됩니다.
dst_region target.location.name dst_region에서 직접 매핑됩니다.
dstip target.ip, target.asset.ip dstip에서 직접 매핑됩니다.
metadata.event_type metadata.event_type 프라이머리 및 대상 IP 주소가 모두 있고 프로토콜이 HTTP가 아니므로 NETWORK_CONNECTION로 설정합니다.
metadata.product_event_type metadata.product_event_type type에서 직접 매핑됩니다.
metadata.product_name metadata.product_name 파서에 의해 'NETSKOPE_ALERT_V2'로 설정됩니다.
metadata.vendor_name metadata.vendor_name 파서에 의해 'NETSKOPE_ALERT_V2'로 설정됩니다.
object_type additional.fields 키가 'object_type'이고 값이 object_type의 콘텐츠인 키-값 쌍으로 additional.fields에 추가되었습니다.
organization_unit principal.administrative_domain organization_unit에서 직접 매핑됩니다.
os principal.platform 값이 정규식 '(?i)Windows.*'와 일치하므로 WINDOWS에 매핑되었습니다.
policy security_result.summary policy에서 직접 매핑됩니다.
site additional.fields 키가 'site'이고 값이 site의 콘텐츠인 키-값 쌍으로 additional.fields에 추가되었습니다.
src_country principal.location.country_or_region src_country에서 직접 매핑됩니다.
src_latitude principal.location.region_coordinates.latitude src_latitude에서 직접 매핑됩니다.
src_longitude principal.location.region_coordinates.longitude src_longitude에서 직접 매핑됩니다.
src_region principal.location.name src_region에서 직접 매핑됩니다.
srcip principal.ip, principal.asset.ip srcip에서 직접 매핑됩니다.
timestamp metadata.event_timestamp.seconds timestamp에서 직접 매핑됩니다.
type metadata.product_event_type type에서 직접 매핑됩니다.
ur_normalized principal.user.email_addresses ur_normalized에서 직접 매핑됩니다.
url target.url url에서 직접 매핑됩니다.
user principal.user.email_addresses user에서 직접 매핑됩니다.

변경사항

2024-09-25

  • 파서를 새로 만들었습니다.