Netskope ウェブプロキシ ログを収集する

以下でサポートされています。

このドキュメントでは、Cloud Storage V2 を使用して Netskope ウェブプロキシ ログを Google Security Operations に取り込む方法について説明します。

Netskope は、ウェブ トラフィックをリアルタイムで検査、制御するクラウドネイティブのセキュアなウェブ ゲートウェイを提供します。ウェブ トランザクション（WebTx）ログには、Netskope プロキシによって処理されたすべての HTTP および HTTPS セッションの詳細な記録がキャプチャされます。これには、ユーザー ID、アプリケーション、URL カテゴリ、脅威と DLP の判定、ネットワーク メタデータが含まれます。

始める前に

次の前提条件を満たしていることを確認してください。

  • Google SecOps インスタンス
  • Cloud Storage API が有効になっている Google Cloud プロジェクト
  • Cloud Storage バケットを作成、管理する権限
  • Cloud Storage バケットの Identity and Access Management（IAM）ポリシーを管理する権限
  • 管理者認証情報を使用した Netskope テナントへの特権アクセス

オプション 1: Netskope ログの Cloud Storage へのストリーミング

このオプションは、テナントで Netskope Log Streaming サブスクリプションが有効になっている場合に使用します。Netskope Log Streaming は、WebTx ログファイルを圧縮された .gzip ファイルとして、240 秒の固定間隔で Cloud Storage バケットに直接 push します。

Cloud Storage バケットを作成する

  1. Google Cloud コンソールに移動します。
  2. プロジェクトを選択するか、新しいプロジェクトを作成します。
  3. ナビゲーション メニューで、[Cloud Storage] > [バケット] に移動します。
  4. [バケットを作成] をクリックします。

  5. 次の構成情報を提供してください。

    設定 値
    バケットに名前を付ける グローバルに一意の名前（netskope-webtx-logs など）を入力します。
    ロケーション タイプ ニーズに応じて選択します（リージョン、デュアルリージョン、マルチリージョン）。
    ロケーション 組織に最も近いロケーション（us-central1 など）を選択します。
    ストレージ クラス Standard（頻繁にアクセスされるログに推奨）
    アクセス制御 均一（推奨）
    保護ツール 省略可: オブジェクトのバージョニングまたは保持ポリシーを有効にする

  6. [作成] をクリックします。

Google Cloud サービス アカウントを作成する

Netskope Log Streaming には、Cloud Storage バケットへの書き込み権限を持つ Google Cloud サービス アカウントが必要です。このサービス アカウントの JSON キーファイルは、ログファイルを push するときに Netskope が認証に使用します。

  1. Google Cloud コンソールで、[IAM と管理] > [サービス アカウント] に移動します。
  2. [サービス アカウントを作成] をクリックします。
  3. 次の構成情報を指定します。
    • サービス アカウント名: 「netskope-log-streaming」と入力します。
    • サービス アカウントの説明: 「Service account for Netskope Log Streaming to push WebTx logs to GCS」と入力します。
  4. [作成して続行] をクリックします。
  5. [このサービス アカウントにプロジェクトへのアクセスを許可する] セクションで、次の操作を行います。
    1. [ロールを選択] をクリックします。
    2. [Storage オブジェクト作成者] を検索して選択します。
  6. [続行] をクリックします。
  7. [完了] をクリックします。

JSON キーを生成する

  1. Google Cloud コンソールで、[IAM と管理] > [サービス アカウント] に移動し、サービス アカウント netskope-log-streaming をクリックします。
  2. [キー] タブを選択します。
  3. [鍵を追加] > [新しい鍵を作成] の順にクリックします。
  4. キーのタイプとして [JSON] を選択します。
  5. [作成] をクリックします。

  6. JSON 鍵ファイルが自動的にダウンロードされます。このファイルを安全に保存します。このファイルの内容全体を、次のセクションで Netskope に貼り付けます。

Cloud Storage バケットに対する書き込み権限を付与する

  1. Google Cloud コンソールで、[Cloud Storage] > [バケット] に移動します。
  2. バケット名（netskope-webtx-logs など）をクリックします。
  3. [権限] タブに移動します。
  4. [アクセス権を付与] をクリックします。
  5. 次の構成情報を指定します。
    • プリンシパルを追加: サービス アカウントのメールアドレス（例: netskope-log-streaming@YOUR_PROJECT_ID.iam.gserviceaccount.com）を入力します。
    • ロールを割り当てる: [Storage オブジェクト作成者] を選択します。

  6. [保存] をクリックします。

ログストリームを作成する

  1. 管理者認証情報を使用して Netskope テナントにログインします。
  2. [Settings] > [Tools] > [Log Streaming] に移動します。
  3. [ストリームを作成] をクリックします。
  4. [名前] フィールドに、ストリームの人が読める名前を入力します。例: Google SecOps WebTx GCS
  5. 宛先の種類として [GCP Cloud Storage] を選択します。

  6. 次の構成情報を提供してください。

    • バケット: Cloud Storage バケットの名前を入力します（例: netskope-webtx-logs）。

      • パス（省略可）: ログが保存されるバケット内のフォルダパスを入力します（例: `netskope/webtx/{%Y}`）。

    • 秘密鍵: 前のセクションで生成した JSON キーファイルの内容全体を、{ で始まり } で終わる単一の JSON オブジェクトとして貼り付けます。これには、type、project_id、private_key_id、private_key、client_email、client_id フィールドが含まれます。

  7. [配信オプション] を確認します。push の頻度は 240 秒です。

  8. [保存]（または [作成]）をクリックして、ストリームを有効にします。Netskope は、netskope-test-file.txt という名前のテスト オブジェクトをバケットに書き込むことで、認証情報を検証します。

Cloud Storage から Netskope WebTx ログを取り込むように Google SecOps でフィードを構成する

Google SecOps フィードを作成して IAM 権限を付与する手順は次のとおりです。

Google SecOps サービス アカウントを取得する

Google SecOps は、一意のサービス アカウントを使用して Cloud Storage バケットからデータを読み取ります。このサービス アカウントにバケットへのアクセス権を付与する必要があります。

  1. [設定] > [データ管理] > [フィード] に移動します。SIEM のみのプラットフォームを使用している場合は、[設定] > [フィード] に移動します。
  2. [Add New Feed] をクリックします。
  3. [単一フィードを設定] をクリックします。
  4. [フィード名] フィールドに、フィードの名前を入力します（例: Netskope WebTx Logs）。
  5. [Source type] として [Google Cloud Storage V2] を選択します。
  6. [ログタイプ] として [Netskope Web Proxy] を選択します。
  7. [サービス アカウントを取得する] をクリックします。

  8. 一意のサービス アカウントのメールアドレスが表示されます。例:

    chronicle-12345678@chronicle-gcp-prod.iam.gserviceaccount.com

  9. このメールアドレスをコピーして、次のステップで使用します。

  10. [次へ] をクリックします。

  11. 次の入力パラメータの値を指定します。

    • ストレージ バケットの URL: 接頭辞パスを含む Cloud Storage バケット URI を入力します。

      gs://netskope-webtx-logs/netskope/webtx/
      • 次のように置き換えます。
        • netskope-webtx-logs: Cloud Storage バケット名。
        • netskope/webtx/: Netskope Log Streaming で構成されたパス プレフィックス（ルートの場合は空のままにします）。

    • Source deletion option: 必要に応じて削除オプションを選択します。

      • ファイルを削除しない: ソースからファイルを削除しません（テストにおすすめ）。
      • 転送されたファイルと空のディレクトリを削除する: 取得が正常に完了した後、ソースからファイルと空のディレクトリを削除します。

    • ファイルの最長存続期間: 過去数日間に変更されたファイルを含めます（デフォルトは 180 日）。

    • Asset namespace: アセットの名前空間。

    • Ingestion labels: このフィードのイベントに適用されるラベル。

  12. [次へ] をクリックします。

  13. [Finalize] 画面で新しいフィードの設定を確認し、[送信] をクリックします。

Google SecOps サービス アカウントに IAM 権限を付与する

Google SecOps サービス アカウントには、Cloud Storage バケットに対する 2 つのロールが必要です。ログ オブジェクトを読み取るためのストレージ オブジェクト閲覧者ロールと、バケット メタデータを読み取るためのバケットレベルのロールです。

  1. [Cloud Storage] > [バケット] に移動します。
  2. バケット名（netskope-webtx-logs など）をクリックします。
  3. [権限] タブに移動します。
  4. [アクセス権を付与] をクリックします。
  5. 次の構成情報を指定します。
    • プリンシパルを追加: Google SecOps サービス アカウントのメールアドレス（例: chronicle-12345678@chronicle-gcp-prod.iam.gserviceaccount.com）を貼り付けます。
    • ロールを割り当てる: 次の両方を選択します。
      • Storage オブジェクト閲覧者: ログ オブジェクトを読み取ります。
      • Storage レガシー バケット読み取り: バケット メタデータを読み取ります。削除オプションとして [転送されたファイルと空のディレクトリを削除する] を選択した場合は、代わりに [ストレージ レガシー バケット書き込み] を選択します。これにより、削除権限も付与されます。
  6. [保存] をクリックします。

オプション 2: Netskope Cloud Exchange Log Shipper を使用して Cloud Storage に送信する

このオプションは、Netskope Cloud Exchange プラットフォームがデプロイされ、Log Shipper モジュールが構成されている場合に使用します。Log Shipper は、Netskope テナントから WebTx ログを pull し、圧縮された .gzip ファイルとして Cloud Storage バケットに push します。Google SecOps は、Cloud Storage V2 フィードを介してこのファイルを読み取ります。

始める前に（Cloud Exchange）

このオプションには、次の追加の前提条件があります。

Cloud Storage 宛先プラグインを構成する

  1. Cloud Exchange で、[Settings] > [Plugin Store] に移動します。
  2. Google Cloud SCC（Google GCS）プラグインを検索して選択します。
  3. [Configure New Plugin] をクリックします（または、新しいプラグイン構成を追加します）。
  4. 次の構成情報を指定します。
    • 構成名: わかりやすい名前を入力します（例: GCS WebTx Destination）。
    • マッピング: マッピング ファイルを選択します。元の .gzip ファイルとして push される WebTx ログには、マッピング変換は適用されません。
    • バケット: Cloud Storage バケットの名前を入力します（例: netskope-webtx-logs）。
    • パス（省略可）: フォルダパスを入力します（例: netskope/webtx/）。
    • Key File: private_key 値だけでなく、サービス アカウントの JSON 鍵ファイルの完全な内容を貼り付けます。
  5. [保存] をクリックします。
  6. 新しいプラグイン構成が [Log Shipper] > [Plugins] ページに表示されます。

ビジネスルールを構成する（省略可）

デフォルトでは、すべてのビジネスルールですべてのアラートとイベントがフィルタされます。WebTx ログをフィルタする場合は、新しいビジネスルールを作成します。

  1. Log Shipper で、[Business Rules] に移動します。
  2. [Create New Rule] をクリックします。
  3. ルール名を入力します（例: WebTx Only）。
  4. WebTx データのみが含まれるようにフィルタを設定します。
  5. [保存] をクリックします。

ログ配信を構成する

  1. [Log Shipper] で、[Log Delivery] に移動します。
  2. [Add Log Delivery Configuration] をクリックします。
  3. 次の構成情報を指定します。
    • ソース構成: Netskope CLS ソース プラグイン（WebTxCLS や Netskope CLS など）を選択します。
    • 宛先の構成: 構成した Cloud Storage 宛先プラグイン（GCS WebTx Destination など）を選択します。
    • ビジネスルール: ビジネスルール（All、WebTx Only など）を選択します。

  4. [保存] をクリックします。

  5. 追加の過去のデータを取得するには、[ログ配信] アクションから [過去のデータを取得] アイコンをクリックします。

  6. [Historical From] と [To] で期間を選択し、[Pull] をクリックします。

Cloud Storage から Netskope WebTx ログを取り込むように Google SecOps でフィードを構成する

Netskope ログ ストリーミング オプションと同じ手順で、Google SecOps フィードを作成し、IAM 権限を付与します。

  1. Google SecOps サービス アカウントを取得する - ソースタイプとして Google Cloud Storage V2、ログタイプとして Netskope ウェブプロキシを使用してフィードを作成します。
  2. Google SecOps サービス アカウントに IAM 権限を付与する - Cloud Storage バケットに対するストレージ オブジェクト閲覧者ロールとストレージ レガシー バケット読み取りロール（削除オプションを使用する場合はストレージ レガシー バケット書き込みを使用）を Google SecOps サービス アカウントに付与します。

ログ配信を確認する

WebTx ログが Cloud Storage バケットに配信されていることを確認するには:

  1. Cloud Exchange で、[Log Shipper] > [Log Delivery] に移動します。
  2. [Total Logs/WebTx Sent to External Receiver] 列と [Total WebTx Sent to Storage Bucket] 列をチェックして、データが宛先に push されていることを確認します。
  3. GCS バケットで、.gzip ファイルが Log Shipper によって書き込まれていることを確認します。

Log Shipper のグローバル設定を構成する（省略可）

Log Shipper のグローバル設定を変更できるのは管理者のみです。[Settings] > [Log Shipper] に移動します。[General] と [Mappings] の 2 つのタブがあります。

[全般] タブで、ログ配信の再試行戦略を構成できます。

  • デフォルト（3 回再試行）: ログの配信に失敗した場合、ログシッパーはログを宛先にプッシュする試行を 3 回開始します。3 回の再試行がすべて失敗すると、対応するバッチのログは破棄されます。

  • 成功するまで再試行: ログの配信が成功するまで、再試行を無制限に行います。

アラート、イベント、WebTx で UTF-8 エンコードを有効にして、UTF-8 でエンコードされたデータをシームレスに処理することもできます。デフォルトでは、この機能は無効になっています。

UDM マッピング テーブル

ログフィールド UDM マッピング ロジック
applicationType security_result.detection_fields[].key: "applicationType", security_result.detection_fields[].value: applicationType 対応する CEF フィールドから直接マッピングされます。
appcategory security_result.category_details[]: appcategory 対応する CEF フィールドから直接マッピングされます。
browser security_result.detection_fields[].key: "browser", security_result.detection_fields[].value: browser 対応する CEF フィールドから直接マッピングされます。
c-ip principal.asset.ip[]: c-ip, principal.ip[]: c-ip 対応する JSON フィールドから直接マッピングされます。
cci security_result.detection_fields[].key: "cci", security_result.detection_fields[].value: cci 対応する CEF フィールドから直接マッピングされます。
ccl security_result.confidence: 派生値、security_result.confidence_details: ccl security_result.confidence は ccl の値に基づいて導出されます。「excellent」または「high」は HIGH_CONFIDENCE に、「medium」は MEDIUM_CONFIDENCE に、「low」や「poor」は LOW_CONFIDENCE に、「unknown」や「not_defined」は UNKNOWN_CONFIDENCE にマッピングされます。security_result.confidence_details は ccl から直接マッピングされます。
clientBytes network.sent_bytes: clientBytes 対応する CEF フィールドから直接マッピングされます。
cs-access-method additional.fields[].key: "accessMethod", additional.fields[].value.string_value: cs-access-method 対応する JSON フィールドから直接マッピングされます。
cs-app additional.fields[].key: "x-cs-app", additional.fields[].value.string_value: cs-app, principal.application: cs-app 対応する JSON フィールドから直接マッピングされます。
cs-app-activity additional.fields[].key: "x-cs-app-activity", additional.fields[].value.string_value: cs-app-activity 対応する JSON フィールドから直接マッピングされます。
cs-app-category additional.fields[].key: "x-cs-app-category", additional.fields[].value.string_value: cs-app-category 対応する JSON フィールドから直接マッピングされます。
cs-app-cci additional.fields[].key: "x-cs-app-cci", additional.fields[].value.string_value: cs-app-cci 対応する JSON フィールドから直接マッピングされます。
cs-app-ccl additional.fields[].key: "x-cs-app-ccl", additional.fields[].value.string_value: cs-app-ccl 対応する JSON フィールドから直接マッピングされます。
cs-app-from-user additional.fields[].key: "x-cs-app-from-user", additional.fields[].value.string_value: cs-app-from-user, principal.user.email_addresses[]: cs-app-from-user 対応する JSON フィールドから直接マッピングされます。
cs-app-instance-id additional.fields[].key: "x-cs-app-instance-id", additional.fields[].value.string_value: cs-app-instance-id 対応する JSON フィールドから直接マッピングされます。
cs-app-object-name additional.fields[].key: "x-cs-app-object-name", additional.fields[].value.string_value: cs-app-object-name 対応する JSON フィールドから直接マッピングされます。
cs-app-object-type additional.fields[].key: "x-cs-app-object-type", additional.fields[].value.string_value: cs-app-object-type 対応する JSON フィールドから直接マッピングされます。
cs-app-suite additional.fields[].key: "x-cs-app-suite", additional.fields[].value.string_value: cs-app-suite 対応する JSON フィールドから直接マッピングされます。
cs-app-tags additional.fields[].key: "x-cs-app-tags", additional.fields[].value.string_value: cs-app-tags 対応する JSON フィールドから直接マッピングされます。
cs-bytes network.sent_bytes: cs-bytes 対応する JSON フィールドから直接マッピングされます。
cs-content-type additional.fields[].key: "sc-content-type", additional.fields[].value.string_value: cs-content-type 対応する JSON フィールドから直接マッピングされます。
cs-dns target.asset.hostname[]: cs-dns, target.hostname: cs-dns 対応する JSON フィールドから直接マッピングされます。
cs-host target.asset.hostname[]: cs-host、target.hostname: cs-host 対応する JSON フィールドから直接マッピングされます。
cs-method network.http.method: cs-method 対応する JSON フィールドから直接マッピングされます。
cs-referer network.http.referral_url: cs-referer 対応する JSON フィールドから直接マッピングされます。
cs-uri additional.fields[].key: "cs-uri", additional.fields[].value.string_value: cs-uri 対応する JSON フィールドから直接マッピングされます。
cs-uri-path additional.fields[].key: "x-cs-uri-path", additional.fields[].value.string_value: cs-uri-path 対応する JSON フィールドから直接マッピングされます。
cs-uri-port additional.fields[].key: "cs-uri-port", additional.fields[].value.string_value: cs-uri-port 対応する JSON フィールドから直接マッピングされます。
cs-uri-scheme network.application_protocol: cs-uri-scheme 大文字に変換した後、対応する JSON フィールドから直接マッピングされます。
cs-user-agent network.http.parsed_user_agent: 解析されたユーザー エージェント、network.http.user_agent: cs-user-agent network.http.parsed_user_agent は、「parseduseragent」フィルタを使用して cs-user-agent フィールドをパースすることで得られます。
cs-username principal.user.userid: cs-username 対応する JSON フィールドから直接マッピングされます。
日付 metadata.event_timestamp.seconds: 日付と時刻のフィールドからのエポック秒、metadata.event_timestamp.nanos: 0 日付と時刻が結合され、エポック秒とナノ秒に変換されます。ナノ秒は 0 に設定されます。
device intermediary.hostname: device 対応する CEF フィールドから直接マッピングされます。
dst target.ip[]: dst 対応する CEF フィールドから直接マッピングされます。
dst_country target.location.country_or_region: dst_country 対応する grok フィールドから直接マッピングされます。
dst_ip target.asset.ip[]: dst_ip、target.ip[]: dst_ip 対応する grok フィールドから直接マッピングされます。
dst_location target.location.city: dst_location 対応する grok フィールドから直接マッピングされます。
dst_region target.location.state: dst_region 対応する grok フィールドから直接マッピングされます。
dst_zip マッピングされていません このフィールドは UDM にマッピングされません。
duser target.user.email_addresses[]: duser、target.user.user_display_name: duser 対応する CEF フィールドから直接マッピングされます。
dvchost about.hostname: dvchost、target.asset.hostname[]: dvchost、target.hostname: dvchost 対応する CEF フィールドから直接マッピングされます。
event_timestamp metadata.event_timestamp.seconds: event_timestamp 対応する grok フィールドから直接マッピングされます。
hostname target.asset.hostname[]: hostname、target.hostname: hostname 対応する CEF フィールドから直接マッピングされます。
インシデント ID security_result.detection_fields[].key: "IncidentID", security_result.detection_fields[].value: IncidentID 対応する CEF フィールドから直接マッピングされます。
intermediary intermediary: intermediary 対応する CEF フィールドから直接マッピングされます。
md5 target.file.md5: md5 対応する CEF フィールドから直接マッピングされます。
メッセージ さまざまな UDM フィールド メッセージ フィールドは、「CEF」が含まれているかどうかに基づいて解析されます。一致する場合は、CEF ログとして扱われます。それ以外の場合は、スペース区切りの文字列または JSON として解析されます。
mwDetectionEngine additional.fields[].key: "mwDetectionEngine", additional.fields[].value.string_value: mwDetectionEngine 対応する CEF フィールドから直接マッピングされます。
mwType metadata.description: mwType 対応する CEF フィールドから直接マッピングされます。
os principal.platform: 派生値 プラットフォームは os フィールドから派生します。「Windows」は WINDOWS に、「MAC」は MAC に、「LINUX」は LINUX にマッピングされます。
ページ network.http.referral_url: page 対応する CEF フィールドから直接マッピングされます。
リファラー network.http.referral_url: referer 対応する CEF フィールドから直接マッピングされます。
requestClientApplication network.http.parsed_user_agent: 解析されたユーザー エージェント、network.http.user_agent: requestClientApplication network.http.parsed_user_agent は、「parseduseragent」フィルタを使用して requestClientApplication フィールドをパースすることで得られます。
request_method network.http.method: request_method 対応する grok フィールドから直接マッピングされます。
rs-status additional.fields[].key: "rs-status", additional.fields[].value.string_value: rs-status, network.http.response_code: rs-status 対応する JSON フィールドから直接マッピングされます。
s-ip target.asset.ip[]: s-ip, target.ip[]: s-ip 対応する JSON フィールドから直接マッピングされます。
sc-bytes network.received_bytes: sc-bytes 対応する JSON フィールドから直接マッピングされます。
sc-content-type additional.fields[].key: "sc-content-type", additional.fields[].value.string_value: sc-content-type 対応する JSON フィールドから直接マッピングされます。
sc-status network.http.response_code: sc-status 対応する JSON フィールドから直接マッピングされます。
serverBytes network.received_bytes: serverBytes 対応する CEF フィールドから直接マッピングされます。
sha256 target.file.sha256: sha256 対応する CEF フィールドから直接マッピングされます。
src principal.ip[]: src 対応する CEF フィールドから直接マッピングされます。
src_country principal.location.country_or_region: src_country 対応する grok フィールドから直接マッピングされます。
src_ip principal.asset.ip[]: src_ip、principal.ip[]: src_ip 対応する grok フィールドから直接マッピングされます。
src_location principal.location.city: src_location 対応する grok フィールドから直接マッピングされます。
src_region principal.location.state: src_region 対応する grok フィールドから直接マッピングされます。
src_latitude マッピングされていません このフィールドは UDM にマッピングされません。
src_longitude マッピングされていません このフィールドは UDM にマッピングされません。
src_zip マッピングされていません このフィールドは UDM にマッピングされません。
suser principal.user.user_display_name: suser 対応する CEF フィールドから直接マッピングされます。
target_host target.asset.hostname[]: target_host, target.hostname: target_host 対応する grok フィールドから直接マッピングされます。
時間 metadata.event_timestamp.seconds: 日付と時刻のフィールドからのエポック秒、metadata.event_timestamp.nanos: 0 日付と時刻が結合され、エポック秒とナノ秒に変換されます。ナノ秒は 0 に設定されます。
timestamp metadata.event_timestamp.seconds: timestamp 対応する CEF フィールドから直接マッピングされます。
ts metadata.event_timestamp.seconds: ts からのエポック秒、metadata.event_timestamp.nanos: 0 タイムスタンプはエポック秒とナノ秒に変換されます。ナノ秒は 0 に設定されます。
URL target.url: url 対応する CEF フィールドから直接マッピングされます。
user_agent network.http.parsed_user_agent: 解析されたユーザー エージェント、network.http.user_agent: user_agent network.http.parsed_user_agent は、「parseduseragent」フィルタを使用して user_agent フィールドをパースすることで得られます。
user_key principal.user.email_addresses[]: user_key 対応する grok フィールドから直接マッピングされます。
version マッピングされていません このフィールドは UDM にマッピングされません。
x-c-browser additional.fields[].key: "x-c-browser", additional.fields[].value.string_value: x-c-browser 対応する JSON フィールドから直接マッピングされます。
x-c-browser-version additional.fields[].key: "x-c-browser-version", additional.fields[].value.string_value: x-c-browser-version 対応する JSON フィールドから直接マッピングされます。
x-c-country principal.location.country_or_region: x-c-country 対応する JSON フィールドから直接マッピングされます。
x-c-device additional.fields[].key: "x-c-device", additional.fields[].value.string_value: x-c-device 対応する JSON フィールドから直接マッピングされます。
x-c-latitude principal.location.region_coordinates.latitude: x-c-latitude 対応する JSON フィールドから直接マッピングされます。
x-c-local-time security_result.detection_fields[].key: "x-c-local-time", security_result.detection_fields[].value: x-c-local-time 対応する JSON フィールドから直接マッピングされます。
x-c-location principal.location.name: x-c-location 対応する JSON フィールドから直接マッピングされます。
x-c-longitude principal.location.region_coordinates.longitude: x-c-longitude 対応する JSON フィールドから直接マッピングされます。
x-c-os principal.platform: 派生値 プラットフォームは x-c-os フィールドから派生します。「Windows」は WINDOWS に、「MAC」は MAC に、「LINUX」は LINUX にマッピングされます。
x-c-region principal.location.state: x-c-region 対応する JSON フィールドから直接マッピングされます。
x-c-zipcode additional.fields[].key: "x-c-zipcode", additional.fields[].value.string_value: x-c-zipcode 対応する JSON フィールドから直接マッピングされます。
x-category additional.fields[].key: "x-category", additional.fields[].value.string_value: x-category 対応する JSON フィールドから直接マッピングされます。
x-category-id additional.fields[].key: "x-category-id", additional.fields[].value.string_value: x-category-id 対応する JSON フィールドから直接マッピングされます。
x-cs-access-method additional.fields[].key: "accessMethod", additional.fields[].value.string_value: x-cs-access-method 対応する JSON フィールドから直接マッピングされます。
x-cs-app principal.application: x-cs-app、additional.fields[].key: "x-cs-app"、additional.fields[].value.string_value: x-cs-app 対応する JSON フィールドから直接マッピングされます。
x-cs-app-activity additional.fields[].key: "x-cs-app-activity", additional.fields[].value.string_value: x-cs-app-activity 対応する JSON フィールドから直接マッピングされます。
x-cs-app-category additional.fields[].key: "x-cs-app-category", additional.fields[].value.string_value: x-cs-app-category 対応する JSON フィールドから直接マッピングされます。
x-cs-app-cci additional.fields[].key: "x-cs-app-cci", additional.fields[].value.string_value: x-cs-app-cci 対応する JSON フィールドから直接マッピングされます。
x-cs-app-from-user additional.fields[].key: "x-cs-app-from-user", additional.fields[].value.string_value: x-cs-app-from-user 対応する JSON フィールドから直接マッピングされます。
x-cs-app-object-id additional.fields[].key: "x-cs-app-object-id", additional.fields[].value.string_value: x-cs-app-object-id 対応する JSON フィールドから直接マッピングされます。
x-cs-app-object-name additional.fields[].key: "x-cs-app-object-name", additional.fields[].value.string_value: x-cs-app-object-name 対応する JSON フィールドから直接マッピングされます。
x-cs-app-object-type additional.fields[].key: "x-cs-app-object-type", additional.fields[].value.string_value: x-cs-app-object-type 対応する JSON フィールドから直接マッピングされます。
x-cs-app-suite additional.fields[].key: "x-cs-app-suite", additional.fields[].value.string_value: x-cs-app-suite 対応する JSON フィールドから直接マッピングされます。
x-cs-app-tags additional.fields[].key: "x-cs-app-tags", additional.fields[].value.string_value: x-cs-app-tags 対応する JSON フィールドから直接マッピングされます。
x-cs-app-to-user additional.fields[].key: "x-cs-app-to-user", additional.fields[].value.string_value: x-cs-app-to-user 対応する JSON フィールドから直接マッピングされます。
x-cs-dst-ip security_result.detection_fields[].key: "x-cs-dst-ip", security_result.detection_fields[].value: x-cs-dst-ip, target.asset.ip[]: x-cs-dst-ip, target.ip[]: x-cs-dst-ip 対応する JSON フィールドから直接マッピングされます。
x-cs-dst-port security_result.detection_fields[].key: "x-cs-dst-port", security_result.detection_fields[].value: x-cs-dst-port, target.port: x-cs-dst-port 対応する JSON フィールドから直接マッピングされます。
x-cs-http-version security_result.detection_fields[].key: "x-cs-http-version", security_result.detection_fields[].value: x-cs-http-version 対応する JSON フィールドから直接マッピングされます。
x-cs-page-id additional.fields[].key: "x-cs-page-id", additional.fields[].value.string_value: x-cs-page-id 対応する JSON フィールドから直接マッピングされます。
x-cs-session-id network.session_id: x-cs-session-id 対応する JSON フィールドから直接マッピングされます。
x-cs-site additional.fields[].key: "x-cs-site", additional.fields[].value.string_value: x-cs-site 対応する JSON フィールドから直接マッピングされます。
x-cs-sni network.tls.client.server_name: x-cs-sni 対応する JSON フィールドから直接マッピングされます。
x-cs-src-ip principal.asset.ip[]: x-cs-src-ip, principal.ip[]: x-cs-src-ip, security_result.detection_fields[].key: "x-cs-src-ip", security_result.detection_fields[].value: x-cs-src-ip 対応する JSON フィールドから直接マッピングされます。
x-cs-src-ip-egress principal.asset.ip[]: x-cs-src-ip-egress, principal.ip[]: x-cs-src-ip-egress, security_result.detection_fields[].key: "x-cs-src-ip-egress", security_result.detection_fields[].value: x-cs-src-ip-egress 対応する JSON フィールドから直接マッピングされます。
x-cs-src-port principal.port: x-cs-src-port, security_result.detection_fields[].key: "x-cs-src-port", security_result.detection_fields[].value: x-cs-src-port 対応する JSON フィールドから直接マッピングされます。
x-cs-ssl-cipher network.tls.cipher: x-cs-ssl-cipher 対応する JSON フィールドから直接マッピングされます。
x-cs-ssl-fronting-error security_result.detection_fields[].key: "x-cs-ssl-fronting-error", security_result.detection_fields[].value: x-cs-ssl-fronting-error 対応する JSON フィールドから直接マッピングされます。
x-cs-ssl-handshake-error security_result.detection_fields[].key: "x-cs-ssl-handshake-error", security_result.detection_fields[].value: x-cs-ssl-handshake-error 対応する JSON フィールドから直接マッピングされます。
x-cs-ssl-ja3 network.tls.client.ja3: x-cs-ssl-ja3 対応する JSON フィールドから直接マッピングされます。
x-cs-ssl-version network.tls.version: x-cs-ssl-version 対応する JSON フィールドから直接マッピングされます。
x-cs-timestamp metadata.event_timestamp.seconds: x-cs-timestamp 対応する JSON フィールドから直接マッピングされます。
x-cs-traffic-type additional.fields[].key: "trafficType", additional.fields[].value.string_value: x-cs-traffic-type 対応する JSON フィールドから直接マッピングされます。
x-cs-tunnel-src-ip security_result.detection_fields[].key: "x-cs-tunnel-src-ip", security_result.detection_fields[].value: x-cs-tunnel-src-ip 対応する JSON フィールドから直接マッピングされます。
x-cs-uri-path additional.fields[].key: "x-cs-uri-path", additional.fields[].value.string_value: x-cs-uri-path 対応する JSON フィールドから直接マッピングされます。
x-cs-url target.url: x-cs-url 対応する JSON フィールドから直接マッピングされます。
x-cs-userip security_result.detection_fields[].key: "x-cs-userip", security_result.detection_fields[].value: x-cs-userip 対応する JSON フィールドから直接マッピングされます。
x-other-category security_result.category_details[]: x-other-category 対応する JSON フィールドから直接マッピングされます。
x-other-category-id security_result.detection_fields[].key: "x-other-category-id", security_result.detection_fields[].value: x-other-category-id 対応する JSON フィールドから直接マッピングされます。
x-policy-action security_result.action: 派生値、security_result.action_details: x-policy-action security_result.action は、x-policy-action を大文字に変換して導出されます。大文字の値が「ALLOW」または「BLOCK」の場合、そのまま使用されます。それ以外の場合、マッピングされません。security_result.action_details は x-policy-action から直接マッピングされます。
x-policy-dst-host security_result.detection_fields[].key: "x-policy-dst-host", security_result.detection_fields[].value: x-policy-dst-host 対応する JSON フィールドから直接マッピングされます。
x-policy-dst-host-source security_result.detection_fields[].key: "x-policy-dst-host-source", security_result.detection_fields[].value: x-policy-dst-host-source 対応する JSON フィールドから直接マッピングされます。
x-policy-dst-ip security_result.detection_fields[].key: "x-policy-dst-ip", security_result.detection_fields[].value: x-policy-dst-ip 対応する JSON フィールドから直接マッピングされます。
x-policy-name security_result.rule_name: x-policy-name 対応する JSON フィールドから直接マッピングされます。
x-policy-src-ip security_result.detection_fields[].key: "x-policy-src-ip", security_result.detection_fields[].value: x-policy-src-ip 対応する JSON フィールドから直接マッピングされます。
x-r-cert-enddate network.tls.server.certificate.not_after.seconds: x-r-cert-enddate からのエポック秒数 日付はエポック秒に変換されます。
x-r-cert-expired additional.fields[].key: "x-r-cert-expired", additional.fields[].value.string_value: x-r-cert-expired 対応する JSON フィールドから直接マッピングされます。
x-r-cert-incomplete-chain additional.fields[].key: "x-r-cert-incomplete-chain", additional.fields[].value.string_value: x-r-cert-incomplete-chain 対応する JSON フィールドから直接マッピングされます。
x-r-cert-issuer-cn network.tls.server.certificate.issuer: x-r-cert-issuer-cn 対応する JSON フィールドから直接マッピングされます。
x-r-cert-mismatch additional.fields[].key: "x-r-cert-mismatch", additional.fields[].value.string_value: x-r-cert-mismatch 対応する JSON フィールドから直接マッピングされます。
x-r-cert-revoked additional.fields[].key: "x-r-cert-revoked", additional.fields[].value.string_value: x-r-cert-revoked 対応する JSON フィールドから直接マッピングされます。
x-r-cert-self-signed additional.fields[].key: "x-r-cert-self-signed", additional.fields[].value.string_value: x-r-cert-self-signed 対応する JSON フィールドから直接マッピングされます。
x-r-cert-startdate network.tls.server.certificate.not_before.seconds: x-r-cert-startdate からのエポック秒数 日付はエポック秒に変換されます。
x-r-cert-subject-cn network.tls.server.certificate.subject: x-r-cert-subject-cn 対応する JSON フィールドから直接マッピングされます。
x-r-cert-untrusted-root additional.fields[].key: "x-r-cert-untrusted-root", additional.fields[].value.string_value: x-r-cert-untrusted-root 対応する JSON フィールドから直接マッピングされます。
x-r-cert-valid additional.fields[].key: "x-r-cert-valid", additional.fields[].value.string_value: x-r-cert-valid 対応する JSON フィールドから直接マッピングされます。
x-request-id additional.fields[].key: "requestId", additional.fields[].value.string_value: x-request-id 対応する JSON フィールドから直接マッピングされます。
x-rs-file-category additional.fields[].key: "x-rs-file-category", additional.fields[].value.string_value: x-rs-file-category 対応する JSON フィールドから直接マッピングされます。
x-rs-file-type additional.fields[].key: "x-rs-file-type", additional.fields[].value.string_value: x-rs-file-type 対応する JSON フィールドから直接マッピングされます。
x-s-country target.location.country_or_region: x-s-country 対応する JSON フィールドから直接マッピングされます。
x-s-dp-name additional.fields[].key: "x-s-dp-name", additional.fields[].value.string_value: x-s-dp-name 対応する JSON フィールドから直接マッピングされます。
x-s-latitude target.location.region_coordinates.latitude: x-s-latitude 対応する JSON フィールドから直接マッピングされます。
x-s-location target.location.name: x-s-location 対応する JSON フィールドから直接マッピングされます。
x-s-longitude target.location.region_coordinates.longitude: x-s-longitude 対応する JSON フィールドから直接マッピングされます。
x-s-region target.location.state: x-s-region 対応する JSON フィールドから直接マッピングされます。
x-s-zipcode additional.fields[].key: "x-s-zipcode", additional.fields[].value.string_value: x-s-zipcode 対応する JSON フィールドから直接マッピングされます。
x-sr-ssl-cipher security_result.detection_fields[].key: "x-sr-ssl-cipher", security_result.detection_fields[].value: x-sr-ssl-cipher 対応する JSON フィールドから直接マッピングされます。
x-sr-ssl-client-certificate-error security_result.detection_fields[].key: "x-sr-ssl-client-certificate-error", security_result.detection_fields[].value: x-sr-ssl-client-certificate-error 対応する JSON フィールドから直接マッピングされます。
x-sr-ssl-engine-action security_result.detection_fields[].key: "x-sr-ssl-engine-action", security_result.detection_fields[].value: x-sr-ssl-engine-action 対応する JSON フィールドから直接マッピングされます。
x-sr-ssl-engine-action-reason security_result.detection_fields[].key: "x-sr-ssl-engine-action-reason", security_result.detection_fields[].value: x-sr-ssl-engine-action-reason 対応する JSON フィールドから直接マッピングされます。
x-sr-ssl-handshake-error security_result.detection_fields[].key: "x-sr-ssl-handshake-error", security_result.detection_fields[].value: x-sr-ssl-handshake-error 対応する JSON フィールドから直接マッピングされます。
x-sr-ssl-ja3s network.tls.server.ja3s: x-sr-ssl-ja3s 対応する JSON フィールドから直接マッピングされます。
x-sr-ssl-malformed-ssl security_result.detection_fields[].key: "x-sr-ssl-malformed-ssl", security_result.detection_fields[].value: x-sr-ssl-malformed-ssl 対応する JSON フィールドから直接マッピングされます。
x-sr-ssl-version security_result.detection_fields[].key: "x-sr-ssl-version", security_result.detection_fields[].value: x-sr-ssl-version 対応する JSON フィールドから直接マッピングされます。
x-s-custom-signing-ca-error security_result.detection_fields[].key: "x-s-custom-signing-ca-error", security_result.detection_fields[].value: x-s-custom-signing-ca-error 対応する JSON フィールドから直接マッピングされます。
x-ssl-bypass security_result.detection_fields[].key: "SSL BYPASS", security_result.detection_fields[].value: x-ssl-bypass または x-ssl-bypass-reason x-ssl-bypass が「Yes」で、x-ssl-bypass-reason が存在する場合、x-ssl-bypass-reason の値が使用されます。それ以外の場合は、x-ssl-bypass の値が使用されます。
x-ssl-policy-action security_result.detection_fields[].key: "x-ssl-policy-action", security_result.detection_fields[].value: x-ssl-policy-action 対応する JSON フィールドから直接マッピングされます。
x-ssl-policy-categories security_result.category_details[]: x-ssl-policy-categories 対応する JSON フィールドから直接マッピングされます。
x-ssl-policy-dst-host security_result.detection_fields[].key: "x-ssl-policy-dst-host", security_result.detection_fields[].value: x-ssl-policy-dst-host 対応する JSON フィールドから直接マッピングされます。
x-ssl-policy-dst-host-source security_result.detection_fields[].key: "x-ssl-policy-dst-host-source", security_result.detection_fields[].value: x-ssl-policy-dst-host-source 対応する JSON フィールドから直接マッピングされます。
x-ssl-policy-dst-ip security_result.detection_fields[].key: "x-ssl-policy-dst-ip", security_result.detection_fields[].value: x-ssl-policy-dst-ip 対応する JSON フィールドから直接マッピングされます。
x-ssl-policy-name security_result.rule_name: x-ssl-policy-name 対応する JSON フィールドから直接マッピングされます。
x-ssl-policy-src-ip security_result.detection_fields[].key: "x-ssl-policy-src-ip", security_result.detection_fields[].value: x-ssl-policy-src-ip 対応する JSON フィールドから直接マッピングされます。
x-sr-dst-ip security_result.detection_fields[].key: "x-sr-dst-ip", security_result.detection_fields[].value: x-sr-dst-ip 対応する JSON フィールドから直接マッピングされます。
x-sr-dst-port security_result.detection_fields[].key: "x-sr-dst-port", security_result.detection_fields[].value: x-sr-dst-port 対応する JSON フィールドから直接マッピングされます。
x-type additional.fields[].key: "xType", additional.fields[].value.string_value: x-type 対応する JSON フィールドから直接マッピングされます。
x-transaction-id additional.fields[].key: "transactionId", additional.fields[].value.string_value: x-transaction-id 対応する JSON フィールドから直接マッピングされます。
metadata.vendor_name 「Netskope」に設定します。
metadata.product_name まだ存在しない場合は「Netskope Webproxy」に設定します。
metadata.log_type 「NETSKOPE_WEBPROXY」に設定します。

変更ログ

このパーサーの変更ログを表示する

さらにサポートが必要な場合 コミュニティ メンバーや Google SecOps のプロフェッショナルから回答を得ることができます。