Netskope

In diesem Leitfaden wird beschrieben, wie Sie Netskope in Google Security Operations (Google SecOps) einbinden.

Anwendungsfälle

Die Einbindung von Netskope in Google SecOps kann Ihnen bei den folgenden Anwendungsfällen helfen:

  • Phishing-URLs untersuchen und blockieren: Wenn Sie eine Benachrichtigung zu einer Phishing-URL erhalten, können Sie die Google SecOps-Funktionen verwenden, um die Netskope-Cloud-Sicherheitsplattform nach Informationen zur URL-Reputation und -Kategorisierung abzufragen. Wenn die URL als bösartig bestätigt wird, kann Netskope die URL automatisch im gesamten Netzwerk Ihrer Organisation blockieren.

  • Malware-Analyse und -Eindämmung: Verwenden Sie die Google SecOps-Funktionen, um ein Malware-Beispiel zur dynamischen Analyse an Netskope zu senden. Anhand der Analyseergebnisse kann Netskope dann Richtlinien durchsetzen, um infizierte Geräte unter Quarantäne zu stellen oder die weitere Kommunikation mit schädlichen Command-and-Control-Servern zu blockieren.

  • Behebung von gehackten Konten: Verwenden Sie die Google SecOps-Funktionen, um verdächtige Anmeldeversuche oder Aktivitäten zu identifizieren und Maßnahmen wie das Zurücksetzen von Passwörtern, die Aufforderung zur Multi-Faktor-Authentifizierung oder die Kontosperrung zu ergreifen.

  • Scannen auf Sicherheitslücken und Patchen: Mit den Google SecOps-Funktionen können Sie Benachrichtigungen zu Sicherheitslücken erhalten, die in Cloud-Anwendungen erkannt wurden.

  • Automatisierung der Incident Response: Verwenden Sie die Google SecOps-Funktionen, um Kontextinformationen zum Vorfall zu erfassen, z. B. Nutzeraktivitäten, Netzwerkverkehr und Datenzugriffsprotokolle, und automatisieren Sie Aufgaben zur Incident Response, z. B. das Isolieren betroffener Systeme, das Blockieren von schädlichem Traffic und das Benachrichtigen relevanter Stakeholder.

  • Anreicherung von Threat Intelligence: Verwenden Sie die Google SecOps-Funktionen, um Netskope-Threat-Intelligence-Feeds einzubinden und Sicherheitswarnungen mit zusätzlichem Kontext anzureichern.

Hinweis

Bevor Sie die Netskope-Integration in Google SecOps konfigurieren, müssen Sie bestimmte Anmeldedaten von Ihrem Netskope-Mandanten abrufen. Diese Integration unterstützt zwei Authentifizierungsmethoden, je nachdem, welche API-Version Ihre Aktionen verwenden.

Eine ausführliche Anleitung zum Suchen dieser Einstellungen auf der Netskope-Plattform finden Sie im Netskope Knowledge Portal.

REST API V1 (alt)

Diese Methode ist für Aktionen erforderlich, die die V1 API verwenden. Wenn Sie diese Methode verwenden möchten, müssen Sie ein API-Token (auch als API-Schlüssel bezeichnet) anfordern. Eine Anleitung zum Generieren eines Tokens finden Sie in der Netskope-Übersicht über die REST API v1.

REST API V2 (OAuth 2.0)

Diese Methode ist für Aktionen erforderlich, die ausschließlich die V2 API verwenden (List Alerts, List Events, Add Entities To URL List und Deploy URL List Changes) sowie für Aktionen, bei denen der Parameter Use V2 API ausgewählt ist.

Wenn Sie sich mit der V2 API authentifizieren möchten, müssen Sie die folgenden Anmeldedaten von Ihrem Netskope-Mandanten abrufen (konfiguriert unter Einstellungen > Tools > REST API v2 oder über ein Dienstkonto unter Einstellungen > Verwaltung > Administratoren und Rollen für Mandanten, die RBAC v3 verwenden):

  • Client-ID: Wird generiert, wenn Sie einen neuen OAuth 2.0-Client oder ein neues Dienstkonto erstellen.
  • Clientschlüssel: Wird mit der Client-ID generiert.

Anleitungen zum Einrichten eines OAuth 2.0-Clients und zum Zuweisen von Rollen finden Sie in der Netskope-Dokumentation REST API V2 Overview und Administrators RBAC V3.

Erforderliche REST API V2-Endpunkte und -Bereiche

Wenn Sie Ihren OAuth 2.0-Client oder Ihre RBAC v3-Dienstkontorolle in Netskope konfigurieren, gewähren Sie die erforderlichen Mindestbereiche (Berechtigungen) für die Aktionen, die Sie ausführen möchten:

Aktion Erforderlicher REST API V2-Endpunkt Erforderlicher Bereich (Berechtigung)
Ping (bei Verwendung der V2 API)
Benachrichtigungen auflisten		 /api/v2/events/data/alert Read
Ereignisse auflisten
  • /api/v2/events/data/page
  • /api/v2/events/data/application
  • /api/v2/events/data/audit
  • /api/v2/events/data/infrastructure

Wenn Sie den Parameter Type in dieser Aktion nicht angeben, gewähren Sie Read Zugriff auf alle vier Endpunkte.

 Read
Clients auflisten (wenn Use V2 API aktiviert ist) /api/v2/events/datasearch/clientstatus Read
List Quarantined Files (wenn Use V2 API aktiviert ist) /api/v2/casbapi/incidents/quarantine Read
Datei herunterladen (wenn Use V2 API aktiviert ist)
  • /api/v2/casbapi/incidents/quarantine
  • /api/v2/casbapi/apps/{app}/instances/{instance}/files/{file_id}/content
 Read
Datei zulassen (wenn Use V2 API aktiviert ist) /api/v2/casbapi/incidents/quarantine/{file_id}/restore Read+Write
Datei blockieren (wenn Use V2 API aktiviert ist) /api/v2/casbapi/incidents/quarantine/{file_id}/block Read+Write
Entitäten zur URL-Liste hinzufügen
  • /api/v2/policy/urllist (Read)
  • /api/v2/policy/urllist/{id}/append (Read+Write)
  • /api/v2/policy/urllist/deploy (Read+Write, erforderlich, wenn Deploy URL List Changes aktiviert ist)
 Read+Write
Änderungen an der URL-Liste bereitstellen /api/v2/policy/urllist/deploy Read+Write

Netzwerkeinstellungen

Informationen zum Konfigurieren der Netzwerkeinstellungen für die Integration finden Sie in der folgenden Tabelle:

Funktion Standardport Richtung Protokoll
API 443 Ausgehend HTTPS

Netskope in Google SecOps einbinden

Für die Netskope-Integration sind die folgenden Parameter erforderlich:

Parameter Beschreibung
Api Root

Pflichtangabe.

Der API-Stamm der Netskope-Instanz.
Api Key

Optional.

Der API-Tokenwert, der von der Netskope-Konsole abgerufen wird und zur Authentifizierung bei Aktionen mit der V1 API verwendet wird.
Client ID

Optional.

Die Client-ID, die für die V2 API-Authentifizierung (OAuth 2.0) verwendet wird.

Dieser Parameter ist für Aktionen mit der V2 API erforderlich.
Client Secret

Optional.

Der Clientschlüssel, der für die V2 API-Authentifizierung (OAuth 2.0) verwendet wird.

Dieser Parameter ist für Aktionen mit der V2 API erforderlich.
Verify SSL

Optional.

Wenn diese Option ausgewählt ist, wird das SSL-Zertifikat bei der Verbindung mit dem Netskope-Server validiert.

Eine Anleitung zum Konfigurieren einer Integration in Google SecOps finden Sie unter Integrationen konfigurieren.

Sie können später bei Bedarf Änderungen vornehmen. Nachdem Sie eine Integrationsinstanz konfiguriert haben, können Sie sie in Playbooks verwenden. Weitere Informationen zum Konfigurieren und Unterstützen mehrerer Instanzen finden Sie unter Mehrere Instanzen unterstützen.

Aktionen

Weitere Informationen zu Aktionen finden Sie unter Auf ausstehende Aktionen im Workdesk reagieren und Manuelle Aktion in einem Fall ausführen.

Entitäten zur URL-Liste hinzufügen

Verwenden Sie die Aktion Entitäten zur URL-Liste hinzufügen, um einer vorhandenen Netskope-URL-Liste neue URLs, Domains oder IP-Adressen hinzuzufügen.

Diese Aktion wird für die folgenden Google SecOps-Entitäten ausgeführt:

  • Domain
  • IP Address

  • URL

    Aktionseingaben

Für die Aktion Netskope sind die folgenden Parameter erforderlich:

Parameter Beschreibung
URL List Name

Pflichtangabe.

Der Name der vorhandenen Netskope-URL-Liste, die aktualisiert werden soll (z. B. Allowed URLs).
Entries

Optional.

Eine durch Kommas getrennte Liste von URLs, Domains oder IP-Adressen, die der Liste hinzugefügt werden sollen.

Die Aktion verarbeitet auch automatisch die Entitäten URL, Domain und IP Address, die dem Fall zugeordnet sind.
Deploy URL List Changes

Optional.

Wenn diese Option ausgewählt ist, löst die Aktion eine globale Bereitstellung aller ausstehenden Änderungen in allen URL-Listen im Mandanten aus (nicht nur in der Liste, die aktualisiert wird).

Aktionsausgaben

Die Aktion Netskope liefert die folgenden Ausgaben:

Aktionsausgabetyp Verfügbarkeit
Anhang im Fall-Repository Nicht verfügbar
Link zum Fall-Repository Nicht verfügbar
Tabelle mit Fall-Repository Nicht verfügbar
Anreicherungstabelle Nicht verfügbar
JSON-Ergebnis Verfügbar
Ausgabenachrichten Verfügbar
Scriptergebnis Verfügbar
JSON-Ergebnis

Das folgende Beispiel zeigt die JSON-Ergebnisausgabe, die bei Verwendung der Aktion Netskope empfangen wird:

{
  "added_entities": [
    "https://aistudio.google.com/prompts",
    "https://docs.google.com/"
  ],
  "failed_entities": [
    "not_real_url",
    10500
  ],
  "url_list_name": "Allowed URL List",
  "modify_by": "SOAR_API2",
  "modify_time": "2026-02-26T15:28:07.000Z",
  "pending": 1
}
Ausgabenachrichten

Die Aktion Netskope kann die folgenden Ausgabenachrichten zurückgeben:

Ausgabemeldung Beschreibung der Nachricht

Successfully added the following entities to the URL_LIST_NAME list in Netskope: ADDED_ENTITIES. Changes are pending deployment.

Action wasn't able to add the following entities to the URL_LIST_NAME list in Netskope: ENTITIES.

None of the provided entities were added to the URL List URL_LIST_NAME in Netskope.

 Die Aktion war erfolgreich.
Error executing action. Reason: ERROR_REASON

Die Aktion ist fehlgeschlagen.

Prüfen Sie die Verbindung zum Server, die Eingabeparameter oder die Anmeldedaten.
Scriptergebnis

In der folgenden Tabelle ist der Wert für die Ausgabe des Skriptergebnisses aufgeführt, wenn die Aktion Netskope verwendet wird:

Name des Skriptergebnisses Wert
is_success true oder false

Datei zulassen

Verwenden Sie die Aktion Datei zulassen, um eine Datei in Quarantäne zuzulassen.

Diese Aktion wird für alle Google SecOps-Entitäten ausgeführt.

Aktionseingaben

Für die Aktion Datei zulassen sind die folgenden Parameter erforderlich:

Parameter Beschreibung
File ID Erforderlich

Die ID der Datei, die zugelassen werden soll.
Quarantine Profile ID Optional

Die ID des Quarantäneprofils, das mit der Datei verknüpft ist.
Use V2 API Optional

Wenn diese Option ausgewählt ist, wird für die Aktion der Netskope V2 API-Endpunkt anstelle von V1 verwendet.

Dafür sind gültige V2 API-Anmeldedaten erforderlich.

Für diesen Parameter ist OAuth 2.0-Unterstützung erforderlich. Achten Sie darauf, dass in den Integrationseinstellungen ein gültiger Client ID und eine gültige Client Secret konfiguriert sind.

Aktionsausgaben

Die Aktion Datei zulassen liefert die folgenden Ausgaben:

Aktionsausgabetyp Verfügbarkeit
Anhang im Fall-Repository Nicht verfügbar
Link zum Fall-Repository Nicht verfügbar
Tabelle mit Fall-Repository Nicht verfügbar
Anreicherungstabelle Nicht verfügbar
JSON-Ergebnis Nicht verfügbar
Scriptergebnis Verfügbar
Scriptergebnis

In der folgenden Tabelle ist der Wert für die Ausgabe des Skriptergebnisses aufgeführt, wenn die Aktion Datei zulassen verwendet wird:

Name des Skriptergebnisses Wert
is_success True oder False

Datei blockieren

Verwenden Sie die Aktion Datei blockieren, um eine Datei in der Quarantäne zu blockieren.

Diese Aktion wird für alle Google SecOps-Entitäten ausgeführt.

Aktionseingaben

Für die Aktion Datei blockieren sind die folgenden Parameter erforderlich:

Parameter Beschreibung
File ID Erforderlich

Die ID der Datei, die in Netskope blockiert werden soll.
Quarantine Profile ID Optional

Die ID des Quarantäneprofils, das mit der Datei verknüpft ist.
Use V2 API Optional

Wenn diese Option ausgewählt ist, wird für die Aktion der Netskope V2 API-Endpunkt anstelle von V1 verwendet.

Dafür sind gültige V2 API-Anmeldedaten erforderlich.

Für diesen Parameter ist OAuth 2.0-Unterstützung erforderlich. Achten Sie darauf, dass in den Integrationseinstellungen ein gültiger Client ID und eine gültige Client Secret konfiguriert sind.

Aktionsausgaben

Die Aktion Datei blockieren liefert die folgenden Ausgaben:

Aktionsausgabetyp Verfügbarkeit
Anhang im Fall-Repository Nicht verfügbar
Link zum Fall-Repository Nicht verfügbar
Tabelle mit Fall-Repository Nicht verfügbar
Anreicherungstabelle Nicht verfügbar
JSON-Ergebnis Nicht verfügbar
Scriptergebnis Verfügbar
Scriptergebnis

In der folgenden Tabelle sind die Werte für die Ausgabe des Skriptergebnisses aufgeführt, wenn die Aktion Datei blockieren verwendet wird:

Name des Skriptergebnisses Wert
is_success True oder False

Änderungen an der URL-Liste bereitstellen

Verwenden Sie die Aktion URL-Listenänderungen bereitstellen, um ausstehende Konfigurationen an die aktive Policy Engine zu senden. So werden alle bereitgestellten Aktualisierungen für URL-Listen angewendet und erzwungen.

Diese Aktion wird nicht für Google SecOps-Entitäten ausgeführt.

Aktionseingaben

Keine.

Aktionsausgaben

Die Aktion Deploy URL List Changes (Änderungen an URL-Liste bereitstellen) liefert die folgenden Ausgaben:

Aktionsausgabetyp Verfügbarkeit
Anhang im Fall-Repository Nicht verfügbar
Link zum Fall-Repository Nicht verfügbar
Tabelle mit Fall-Repository Nicht verfügbar
Anreicherungstabelle Nicht verfügbar
JSON-Ergebnis Nicht verfügbar
Ausgabenachrichten Verfügbar
Scriptergebnis Verfügbar
Ausgabenachrichten

Die Aktion Deploy URL List Changes kann die folgenden Ausgabemeldungen zurückgeben:

Ausgabemeldung Beschreibung der Nachricht

Successfully deployed pending Netskope policy changes.

 Die Aktion war erfolgreich.
Error executing action. Reason: ERROR_REASON

Die Aktion ist fehlgeschlagen.

Prüfen Sie die Verbindung zum Server, die Eingabeparameter oder die Anmeldedaten.
Scriptergebnis

In der folgenden Tabelle ist der Wert für die Ausgabe des Skriptergebnisses aufgeführt, wenn die Aktion Änderungen an URL-Liste bereitstellen verwendet wird:

Name des Skriptergebnisses Wert
is_success true oder false

Datei herunterladen

Verwenden Sie die Aktion Datei herunterladen, um eine Datei in Quarantäne herunterzuladen.

Diese Aktion wird für die Google SecOps-Entität IP Address ausgeführt.

Aktionseingaben

Für die Aktion Datei herunterladen sind die folgenden Parameter erforderlich:

Parameter Beschreibung
File ID Erforderlich

Die ID der Datei, die aus der Quarantäne heruntergeladen werden soll.
Quarantine Profile ID Optional

Die ID des Quarantäneprofils, das mit der Datei verknüpft ist.
Use V2 API Optional

Wenn diese Option ausgewählt ist, wird für die Aktion der Netskope V2 API-Endpunkt anstelle von V1 verwendet.

Dafür sind gültige V2 API-Anmeldedaten erforderlich.

Wenn Sie diesen Parameter aktivieren, gelten die folgenden Anforderungen und Änderungen:

  • Authentifizierung: OAuth 2.0-Unterstützung erforderlich. Achten Sie darauf, dass in den Integrationseinstellungen ein gültiger Client ID und Client Secret konfiguriert sind.
  • Speicherlogik: Wenn Sie diesen Parameter aktivieren, wird die Quelle von Klassischer Speicher auf NextGen-Speicher umgestellt.

Aktionsausgaben

Die Aktion Datei herunterladen liefert die folgenden Ausgaben:

Aktionsausgabetyp Verfügbarkeit
Anhang im Fall-Repository Nicht verfügbar
Link zum Fall-Repository Nicht verfügbar
Tabelle mit Fall-Repository Nicht verfügbar
Anreicherungstabelle Nicht verfügbar
JSON-Ergebnis Nicht verfügbar
Scriptergebnis Verfügbar
Scriptergebnis

In der folgenden Tabelle sind die Werte für die Ausgabe des Skriptergebnisses aufgeführt, wenn die Aktion Datei herunterladen verwendet wird:

Name des Skriptergebnisses Wert
is_success True oder False

Benachrichtigungen auflisten

Verwenden Sie die Aktion Benachrichtigungen auflisten, um Benachrichtigungen aufzulisten.

Diese Aktion wird für alle Google SecOps-Entitäten ausgeführt.

Aktionseingaben

Für die Aktion Benachrichtigungen auflisten sind die folgenden Parameter erforderlich:

Parameter Beschreibung
Query Optional

Eine Abfrage zum Filtern der Cloud-Anwendungsereignisse in der Benachrichtigungsdatenbank.
Type Optional

Ein Meldungstyp, nach dem gefiltert werden soll.

Folgende Werte sind möglich:

  • Anomaly
  • Compromised Credential
  • Policy
  • Legal Hold
  • Malsite
  • Malware
  • DLP
  • Watchlist
  • Quarantine
  • Remediation
Time Period Optional

Der Zeitraum in Millisekunden vor dem aktuellen Zeitpunkt, in dem nach Benachrichtigungen gesucht werden soll.

Die möglichen Werte sind 3600, 86400, 604800 und 2592000.
Start Time Optional

Eine Startzeit, um Benachrichtigungen mit Zeitstempeln zu filtern, die größer als die angegebene Unix-Epochenzeit sind.

Verwenden Sie diesen Parameter nur, wenn Sie den Parameter Time Period nicht festgelegt haben.
End Time Optional

Eine Endzeit, um Benachrichtigungen mit Zeitstempeln zu filtern, die vor der angegebenen Unix-Epoche liegen.

Verwenden Sie diesen Parameter nur, wenn Sie den Parameter Time Period nicht festgelegt haben.
Is Acknowledged Optional

Wenn diese Option ausgewählt ist, filtert die Integration nach bestätigten Benachrichtigungen.

Standardmäßig nicht ausgewählt.
Limit Optional

Die Anzahl der zurückzugebenden Ergebnisse.

Der Standardwert ist 100.

Aktionsausgaben

Die Aktion Benachrichtigungen auflisten liefert die folgenden Ausgaben:

Aktionsausgabetyp Verfügbarkeit
Anhang im Fall-Repository Nicht verfügbar
Link zum Fall-Repository Nicht verfügbar
Tabelle mit Fall-Repository Nicht verfügbar
Anreicherungstabelle Nicht verfügbar
JSON-Ergebnis Verfügbar
Ausgabenachrichten Verfügbar
Scriptergebnis Verfügbar
JSON-Ergebnis

Das folgende Beispiel zeigt die JSON-Ergebnisausgabe, die bei Verwendung der Aktion Benachrichtigungen auflisten empfangen wird:

[
    {
        "dstip": "192.0.2.1",
        "app": "Amazon Web Services",
        "profile_id": "ID",
        "device": "iPad",
        "shared_credential_user": "example@example.com",
        "app_session_id": 2961859388,
        "dst_location": "Ashburn",
        "dst_region": "Virginia",
        "policy": "Copy prohibited",
        "page_id": 380765822,
        "object_type": "File",
        "dst_latitude": 39.0481,
        "timestamp": 1548603047,
        "src_region": "California",
        "from_user": "user@example.com",
        "src_location": "San Luis Obispo",
        "traffic_type": "CloudApp",
        "appcategory": "IaaS/PaaS",
        "src_latitude": 35.2635,
        "count": 2,
        "type": "anomaly",
        "risk_level_id": 2,
        "activity": "Upload",
        "userip": "203.0.113.1",
        "src_longitude": -120.6509,
        "browser": "Safari",
        "alert_type": "anomaly",
        "event_type": "user_shared_credentials",
        "_insertion_epoch_timestamp": 1548601562,
        "site": "Amazon Web Services",
        "id": 3561,
        "category": "IaaS/PaaS",
        "orig_ty": "nspolicy",
        "dst_country": "US",
        "src_zipcode": "93401",
        "cci": 94,
        "ur_normalized": "user@example.com",
        "object": "quarterly_report.pdf",
        "organization_unit": "",
        "acked": "false",
        "dst_longitude": -77.4728,
        "alert": "yes",
        "user": "user@example.com",
        "userkey": "user@example.com",
        "srcip": "7198.51.100.1",
        "org": "example.com",
        "src_country": "US",
        "bin_timestamp": 1548633600,
        "dst_zipcode": "20149",
        "url": "http://aws.amazon.com/",
        "sv": "unknown",
        "ccl": "excellent",
        "alert_name": "user_shared_credentials",
        "risk_level": "high",
        "_mladc": ["ur"],
        "threshold_time": 86400,
        "_id": "cadee4a8488b3e139b084134",
        "os": "iOS 6"
    }
]
Scriptergebnis

In der folgenden Tabelle sind die Werte für die Ausgabe des Skriptergebnisses aufgeführt, wenn die Aktion Benachrichtigungen auflisten verwendet wird:

Name des Skriptergebnisses Wert
alerts ALERT_LIST

Clients auflisten

Verwenden Sie die Aktion Clients auflisten, um Clients aufzulisten.

Diese Aktion wird für alle Google SecOps-Entitäten ausgeführt.

Aktionseingaben

Für die Aktion Clients auflisten sind die folgenden Parameter erforderlich:

Parameter Beschreibung
Query Optional

Filtert die aus der Datenbank abgerufenen Clients.
Limit Optional

Beschränkt die Anzahl der von der Aktion zurückgegebenen Clients.

Der Standardwert ist 25.
Use V2 API Optional

Wenn diese Option ausgewählt ist, wird für die Aktion der Netskope V2 API-Endpunkt anstelle von V1 verwendet.

Dafür sind gültige V2 API-Anmeldedaten erforderlich.

Für diesen Parameter ist OAuth 2.0-Unterstützung erforderlich. Achten Sie darauf, dass in den Integrationseinstellungen ein gültiger Client ID und eine gültige Client Secret konfiguriert sind.

Aktionsausgaben

Die Aktion Clients auflisten liefert die folgenden Ausgaben:

Aktionsausgabetyp Verfügbarkeit
Anhang im Fall-Repository Nicht verfügbar
Link zum Fall-Repository Nicht verfügbar
Tabelle mit Fall-Repository Nicht verfügbar
Anreicherungstabelle Nicht verfügbar
JSON-Ergebnis Verfügbar
Scriptergebnis Verfügbar
JSON-Ergebnis

Das folgende Beispiel zeigt die JSON-Ergebnisausgabe, die bei Verwendung der Aktion Clients auflisten empfangen wird:

[
       {
         "client_install_time": 1532040251,
         "users":
        [
            {
                "heartbeat_status_since": 1532040385,
                "user_added_time": 1532040167,
                "last_event":
                {
                    "status": "Enabled",
                    "timestamp": 1548578307,
                    "event": "Tunnel Up",
                    "actor": "System"
                },
                "device_classification_status": "Not Configured",
                "username": "user@example.com",
                "user_source": "Manual",
                "userkey": "K00fuSXl8yMIqgdg",
                "_id": "ID",
                "heartbeat_status": "Active"
            }],
        "last_event":
        {
            "status": "Enabled",
            "timestamp": 1548578307,
            "event": "Tunnel Up",
            "actor": "System"
        },
        "host_info":
        {
            "device_model": "VMware Virtual Platform",
            "os": "Windows",
            "hostname": "HOSTNAME",
            "device_make": "VMware, Inc.",
            "os_version": "10.0"
        },
        "client_version": "1.1.1.1",
        "_id": "ID",
        "device_id": "DEVICE_ID"
    }
]
Scriptergebnis

In der folgenden Tabelle sind die Werte für die Ausgabe des Skriptergebnisses aufgeführt, wenn die Aktion Clients auflisten verwendet wird:

Name des Skriptergebnisses Wert
clients CLIENT_LIST

Ereignisse auflisten

Verwenden Sie die Aktion Ereignisse auflisten, um Ereignisse aufzulisten.

Diese Aktion wird für alle Google SecOps-Entitäten ausgeführt.

Aktionseingaben

Für die Aktion Termine auflisten sind die folgenden Parameter erforderlich:

Parameter Beschreibung
Query Optional

Eine Abfrage zum Filtern der Cloud-Anwendungsereignisse in der Ereignisdatenbank.
Type Optional

Ein Meldungstyp, nach dem gefiltert werden soll.

Folgende Werte sind möglich:

  • page
  • application
  • audit
  • infrastructure
Time Period Optional

Der Zeitraum in Millisekunden vor dem aktuellen Zeitpunkt, in dem nach Ereignissen gesucht werden soll.

Die möglichen Werte sind: 3600, 86400, 604800 und 2592000.
Start Time Optional

Eine Startzeit, um Ereignisse mit Zeitstempeln zu filtern, die größer als die angegebene Unix-Epochenzeit sind.

Verwenden Sie diesen Parameter nur, wenn Sie den Parameter Time Period nicht festgelegt haben.
End Time Optional

Eine Endzeit, um Ereignisse mit Zeitstempeln zu filtern, die vor der angegebenen Unix-Epochenzeit liegen.

Verwenden Sie diesen Parameter nur, wenn Sie den Parameter Time Period nicht festgelegt haben.
Limit Optional

Die Anzahl der zurückzugebenden Ergebnisse.

Der Standardwert ist 100.

Aktionsausgaben

Die Aktion Ereignisse auflisten liefert die folgenden Ausgaben:

Aktionsausgabetyp Verfügbarkeit
Anhang im Fall-Repository Nicht verfügbar
Link zum Fall-Repository Nicht verfügbar
Tabelle mit Fall-Repository Nicht verfügbar
Anreicherungstabelle Nicht verfügbar
JSON-Ergebnis Nicht verfügbar
Scriptergebnis Verfügbar
JSON-Ergebnis

Das folgende Beispiel zeigt die JSON-Ergebnisausgabe, die bei Verwendung der Aktion Ereignisse auflisten zurückgegeben wird:


    {
        "dstip": "192.0.2.64",
        "browser_session_id": 1066949788113471080,
        "srcip": "198.51.100.36",
        "app_session_id": 4502249472406092569,
        "os_version": "WindowsServer2016",
        "dst_region": "Virginia",
        "numbytes": 37480,
        "req_cnt": 18,
        "server_bytes": 8994,
        "page_id": 0,
        "page_duration": 867,
        "page_endtime": 1548577530,
        "dst_latitude": 39.0481,
        "timestamp": 1548576663,
        "src_region": "Oregon",
        "src_location": "Boardman",
        "ur_normalized": "user@example.com",
        "appcategory": "",
        "src_latitude": 45.8491,
        "count": 1,
        "bypass_traffic": "no",
        "type": "page",
        "userip": "203.0.113.253",
        "src_longitude": -119.7143,
        "page": "WebBackground",
        "browser": "",
        "domain": "WebBackground",
        "dst_location": "Ashburn",
        "_insertion_epoch_timestamp": 1548577621,
        "site": "WebBackground",
        "access_method": "Client",
        "browser_version": "",
        "category": "",
        "client_bytes": 28486,
        "user_generated": "no",
        "hostname": "IP-C0A84AC",
        "dst_country": "US",
        "resp_cnt": 18,
        "src_zipcode": "97818",
        "traffic_type": "Web",
        "http_transaction_count": 18,
        "organization_unit": "example.com/Users",
        "page_starttime": 1548576663,
        "dst_longitude": -77.4728,
        "user": "user@example.com",
        "userkey": "user@example.com",
        "device": "WindowsDevice",
        "src_country": "US",
        "dst_zipcode": "20149",
        "url": "WebBackground",
        "sv": "",
        "ccl": "unknown",
        "useragent": "RestSharp/192.0.2.0",
        "_id": "ID",
        "os": "WindowsServer2016"
    }
]
Scriptergebnis

In der folgenden Tabelle ist der Wert für die Ausgabe des Skriptergebnisses aufgeführt, wenn die Aktion Ereignisse auflisten verwendet wird:

Name des Skriptergebnisses Wert
events EVENT_LIST

Dateien in Quarantäne auflisten

Verwenden Sie die Aktion Dateien in Quarantäne auflisten, um Dateien in Quarantäne aufzulisten.

Diese Aktion wird für alle Google SecOps-Entitäten ausgeführt.

Aktionseingaben

Für die Aktion Dateien in Quarantäne auflisten sind die folgenden Parameter erforderlich:

Parameter Beschreibung
Start Time Optional

Eine Startzeit, um Ereignisse mit Zeitstempeln einzuschränken, die größer als der Wert dieses Parameters im Unix-Format sind.
End Time Optional

Eine Endzeit, um Ereignisse mit Zeitstempeln einzuschränken, die kleiner als der Wert dieses Parameters im Unix-Format sind.
Use V2 API Optional

Wenn diese Option ausgewählt ist, wird für die Aktion der Netskope V2 API-Endpunkt anstelle von V1 verwendet.

Dafür sind gültige V2 API-Anmeldedaten erforderlich.

Für diesen Parameter ist OAuth 2.0-Unterstützung erforderlich. Achten Sie darauf, dass in den Integrationseinstellungen ein gültiger Client ID und eine gültige Client Secret konfiguriert sind.

Aktionsausgaben

Die Aktion Dateien in Quarantäne auflisten liefert die folgenden Ausgaben:

Aktionsausgabetyp Verfügbarkeit
Anhang im Fall-Repository Nicht verfügbar
Link zum Fall-Repository Nicht verfügbar
Tabelle mit Fall-Repository Nicht verfügbar
Anreicherungstabelle Nicht verfügbar
JSON-Ergebnis Nicht verfügbar
Scriptergebnis Verfügbar
Scriptergebnis

In der folgenden Tabelle ist der Wert für die Ausgabe des Skriptergebnisses aufgeführt, wenn die Aktion Dateien in Quarantäne auflisten verwendet wird:

Name des Skriptergebnisses Wert
files FILE_LIST

Ping

Verwenden Sie die Aktion Ping, um die Verbindung zu Netskope zu testen.

Diese Aktion wird für alle Google SecOps-Entitäten ausgeführt.

Aktionseingaben

Keine.

Aktionsausgaben

Die Aktion Ping liefert die folgenden Ausgaben:

Aktionsausgabetyp Verfügbarkeit
Anhang im Fall-Repository Nicht verfügbar
Link zum Fall-Repository Nicht verfügbar
Tabelle mit Fall-Repository Nicht verfügbar
Anreicherungstabelle Nicht verfügbar
JSON-Ergebnis Nicht verfügbar
Scriptergebnis Verfügbar
Scriptergebnis

In der folgenden Tabelle ist der Wert für die Ausgabe des Skriptergebnisses bei Verwendung der Aktion Ping aufgeführt:

Name des Skriptergebnisses Wert
is_success True oder False

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten