Netskope-Clientprotokolle erfassen

Unterstützt in:

In diesem Dokument wird beschrieben, wie Sie Netskope-Client-Logs mit Google Cloud Storage V2 in Google Security Operations aufnehmen. Netskope Client ist ein SASE/SSE-Endpunkt-Agent, der Telemetriedaten zu Gerätestatus, Routingentscheidungen, Tunnelstatus und clientseitigen Sicherheitsereignissen generiert.

Hinweis

Folgende Voraussetzungen müssen erfüllt sein:

  • Eine Google SecOps-Instanz
  • Ein GCP-Projekt mit aktivierter Cloud Storage API
  • Berechtigungen zum Erstellen und Verwalten von GCS-Buckets und IAM-Richtlinien
  • Privilegierter Zugriff auf die Netskope-Mandanten-Admin-Konsole

Google Cloud Storage-Bucket erstellen

  1. Gehen Sie zur Google Cloud Console.
  2. Wählen Sie Ihr Projekt aus oder erstellen Sie ein neues.
  3. Rufen Sie im Navigationsmenü Cloud Storage > Buckets auf.
  4. Klicken Sie auf Bucket erstellen.

  5. Geben Sie die folgenden Konfigurationsdetails an:

    Einstellung Wert
    Bucket benennen Geben Sie einen global eindeutigen Namen ein (z. B. netskope-client-logs).
    Standorttyp Wählen Sie die Option, die am besten zu Ihren Anforderungen passt (Region, Dual-Region, Multi-Region).
    Standort Wählen Sie den Standort aus (z. B. us-central1).
    Speicherklasse Standard (empfohlen für Logs, auf die häufig zugegriffen wird)
    Zugriffssteuerung Einheitlich (empfohlen)
    Schutztools Optional: Objektversionsverwaltung oder Aufbewahrungsrichtlinie aktivieren

  6. Klicken Sie auf Erstellen.

Netskope-Client-Logs nach Google Cloud Storage exportieren

Netskope unterstützt den Export von Logdaten in Cloud Storage über die Funktion „Cloud Log Shipping“ (CLS) in der Netskope-Verwaltungskonsole.

  1. Melden Sie sich in der Netskope-Mandanten-Admin-Konsole an.
  2. Rufen Sie die Konfiguration für Cloud Log Shipping auf. Je nach Netskope-Version finden Sie diese Option in der Admin-Konsole unter Einstellungen > Tools > Cloud Log Shipping oder sie wird über die Netskope Cloud Exchange-Plattform konfiguriert.
  3. Klicken Sie auf Neue Konfiguration für den Cloud-Protokollversand oder bearbeiten Sie eine vorhandene Konfiguration.
  4. Wählen Sie Google Cloud Storage als Ziel aus.
  5. Geben Sie die folgenden Konfigurationsdetails an:
    • Bucket-Name: Geben Sie den Bucket-Namen ein (z. B. netskope-client-logs).
    • Pfadpräfix: Geben Sie ein Ordnerpräfix ein (z. B. netskope-client/).
    • Anmeldedaten für das Dienstkonto: Laden Sie den JSON-Schlüssel des GCP-Dienstkontos mit Schreibzugriff auf den Bucket hoch oder fügen Sie ihn ein.
  6. Wählen Sie die zu exportierenden Protokolltypen aus:
    • Clientereignisse (Steering, Tunnel, Status)
  7. Legen Sie das Exportintervall und das Format fest (JSON wird für die Chronicle-Aufnahme empfohlen).
  8. Klicken Sie auf Speichern.

  9. Prüfen Sie, ob Logdateien im GCS-Bucket unter dem angegebenen Präfix angezeigt werden.

    • Achten Sie darauf, dass das für den Export verwendete GCP-Dienstkonto die Rolle Storage-Objekt-Ersteller für den Ziel-Bucket hat.
    • Protokolldateien werden im JSON-Format geschrieben. Jede Datei enthält einen oder mehrere Ereignisdatensätze.

Google SecOps-Dienstkonto abrufen

  1. Melden Sie sich in der Google SecOps-Konsole an.
  2. Rufen Sie die Einstellungen > Datenverwaltung > Feeds auf. Wenn Sie eine reine SIEM-Plattform verwenden, rufen Sie die Einstellungen > Feeds auf.
  3. Klicken Sie auf Neuen Feed hinzufügen.
  4. Klicken Sie auf Einzelnen Feed konfigurieren.
  5. Wählen Sie Google Cloud Storage V2 als Quelltyp aus.
  6. Wählen Sie Netskope Client als Protokolltyp aus.

  7. Klicken Sie auf Dienstkonto abrufen. Eine eindeutige E-Mail-Adresse für das Dienstkonto wird angezeigt, z. B.:

    chronicle-12345678@chronicle-gcp-prod.iam.gserviceaccount.com

  8. Kopieren Sie diese E-Mail-Adresse. Sie verwenden es in der nächsten Aufgabe.

    • Jede Google SecOps-Instanz hat ein eindeutiges Dienstkonto. Verwenden Sie keine Dienstkonten aus anderen Dokumentationen oder Beispielen.

Dem Google SecOps-Dienstkonto IAM-Berechtigungen gewähren

  1. Rufen Sie Cloud Storage > Buckets auf.
  2. Klicken Sie auf den Namen Ihres Buckets.
  3. Wechseln Sie zum Tab Berechtigungen.
  4. Klicken Sie auf Zugriff erlauben.
  5. Geben Sie die folgenden Konfigurationsdetails an:
    • Hauptkonten hinzufügen: Fügen Sie die E‑Mail-Adresse des Google SecOps-Dienstkontos ein.
    • Rollen zuweisen: Wählen Sie Storage Object Viewer aus.

  6. Klicken Sie auf Speichern.

    • Wenn Sie die Löschoption (übertragene Dateien löschen) verwenden möchten, weisen Sie die Rolle Storage-Objekt-Administrator anstelle von „Storage-Objekt-Betrachter“ zu.

Feed in Google SecOps konfigurieren, um Netskope-Client-Logs aufzunehmen

  1. Rufen Sie die Einstellungen > Datenverwaltung > Feeds auf. Wenn Sie eine reine SIEM-Plattform verwenden, rufen Sie die Einstellungen > Feeds auf.
  2. Klicken Sie auf Neuen Feed hinzufügen.
  3. Klicken Sie auf Einzelnen Feed konfigurieren.
  4. Geben Sie im Feld Feedname einen Namen für den Feed ein, z. B. Netskope Client logs.
  5. Wählen Sie Google Cloud Storage V2 als Quelltyp aus.
  6. Wählen Sie Netskope Client als Protokolltyp aus.
  7. Klicken Sie auf Weiter.

  8. Geben Sie Werte für die folgenden Eingabeparameter an:

    Feld Wert
    Storage-Bucket-URI gs://netskope-client-logs/netskope-client/
    Option zum Löschen der Quelle Wählen Sie die gewünschte Löschoption aus.
    Maximales Dateialter (Tage) Der Standardwert ist 180 Tage.
    Asset-Namespace Der Asset-Namespace
    Labels für Datenaufnahme Das Label, das auf die Ereignisse aus diesem Feed angewendet werden soll
    • Ersetzen Sie netskope-client-logs durch den tatsächlichen Namen Ihres GCS-Buckets.
    • Fügen Sie am Ende des URI immer den abschließenden Schrägstrich (/) ein.

  9. Klicken Sie auf Weiter.

  10. Prüfen Sie die neue Feedkonfiguration auf dem Bildschirm Abschließen und klicken Sie dann auf Senden.

Referenz zur UDM-Feldzuordnung

Logfeld UDM-Zuordnung Logik
timestamp metadata.event_timestamp Zeitstempel des Ereignisses
metadata.event_type Ereignistyp (z.B. USER_LOGIN, NETWORK_CONNECTION)
clientBytes network.sent_bytes Anzahl der vom Client gesendeten Bytes
serverBytes network.received_bytes Anzahl der vom Server empfangenen Byte
clientPackets network.sent_packets Anzahl der vom Client gesendeten Pakete
sessionDuration network.session_duration.seconds Dauer der Netzwerksitzung in Sekunden
networkSessionId network.session_id Eindeutige Kennung für die Netzwerksitzung
Proto network.application_protocol In der Netzwerkverbindung verwendetes Anwendungsprotokoll
os principal.platform Plattform des Hauptgeräts
osVersion principal.platform_version Version der Plattform
requestClientApplication principal.application Anwendung, die dem Hauptkonto zugeordnet ist
suser principal.user.userid Nutzer-ID des Hauptkontos
sourceServiceName, shost principal.hostname Hostname des Hauptkontos
shost principal.asset.hostname Hostname des Assets des Hauptkontos
sourceServiceName principal.ip IP-Adresse des Hauptkontos
spt principal.port Vom Hauptkonto verwendete Portnummer
Aktion security_result.action Vom Sicherheitssystem ergriffene Maßnahme
ccl security_result.confidence_details Konfidenzniveau oder Details des Sicherheitsergebnisses
cci, policy, proto, requestMethod, trafficType, tunnelId, tunnelType, tunnelUpTime, start, end security_result.detection_fields Zusätzliche Erkennungsfelder aus dem Sicherheitsergebnis
dst target.ip IP-Adresse des Ziels
dpt target.port Portnummer des Ziels
metadata.product_name Produktname des Sicherheitsanbieters
metadata.vendor_name Name des Anbieters/Unternehmens

Änderungsprotokoll

Änderungsprotokoll für diesen Parser ansehen

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten