Netskope'u CID222 HTTP denetim uç noktasına bağlayın; ağ geçidinin göndermesi ve uygulaması gereken istek ve yanıt biçimleriyle birlikte.

Netskope bir dış denetim hizmetini ICAP hat protokolüyle değil düz HTTPS üzerinden çağırır; bu yüzden tümleşme bir hizmet girdisi değil bir webhook'tur: tek URL, tek kimlik bilgisi ve hangi trafiğin gönderileceğine karar veren bir politika kuralı. Bu sayfa tam istek ve yanıt biçimlerini taşır; çünkü bir ağ geçidi yapılandırmasının sessizce yanlış yapabileceği kısım bunlardır.

Neye ihtiyacım var?

Lisans: Herhangi biri
Rol: admin_user

Ön koşullar

Bulut veri sızıntısı önleme modülüne sahip bir Netskope NewEdge ya da Next Gen Secure Web Gateway kiracısı.
Netskope bulutunun cihaza ulaşmasını sağlayacak bir yol: sertifikalı genel bir ad, bir Netskope özel bağlayıcısı ya da bir tünel.
Cihazda düzenlenmiş bir ağ geçidi API anahtarı — genel kenardan gelen anahtarsız bir çağrı reddedilir.
Cihaz genelindeki denetim politikasını kaydetmek superadmin hesabını gerektirir.

Warning

Netskope'un kendi belgelerinden ve CID222 denetim sözleşmesinden yazılmıştır. Canlı bir Netskope kiracısına karşı doğrulanmamıştır. Aşağıdaki istek ve yanıt biçimleri doğrulanmıştır — ağ geçidinin kendi istek ve yanıt tanımlarından okunmuştur.

Sözleşme

Netskope, denetlenen mesaj başına bir istek olarak POST /inspect/v1/<hostname> adresine gönderir; buradaki son yol parçası, yakalanan isteğin hedef ana bilgisayar adıdır:

{
  "direction": "request",
  "payload": "…the decrypted HTTP body…",
  "payloadEncoding": "text",
  "contentType": "application/json",
  "requestPath": "/backend-api/conversation",
  "sourceIp": "10.0.5.42",
  "authenticatedUser": "jdoe@example.corp",
  "correlationId": "…",
  "metadata": { "ns_event_id": "…" }
}

Yalnızca direction ve payload zorunludur. Gövde ikili olduğunda — bir görsel ya da bir dosya yüklemesi — payloadEncoding değerini base64 yapın; UTF-8 bir gövde için bunu atlayın ya da text yapın. metadata serbest biçimlidir; CID222, bir kararın ağ geçidinin kendi kaydıyla ilişkilendirilebilmesi için içindeki external_trace_id değerini olduğu gibi korur.

Yanıt tek bir nesnedir:

{
  "verdict": "REDACT",
  "redactedPayload": "…the body to forward instead…",
  "redactedPayloadEncoding": "text",
  "reasons": ["PII: national_id"],
  "latencyMs": 142,
  "detectionCount": 1,
  "correlationId": "…"
}

Netskope üç kararı da uygulamak zorundadır: özgün gövdeyi değiştirmeden iletmek, özgününün yerine redactedPayload içeriğini iletmek ya da isteği reddedip kendi engelleme sayfasını sunmak. Bir maskeleme kararında özgün gövdeyi ileten bir ağ geçidi, trafiği denetlemiş ve yine de sızdırmış olur.

Danger

Cihazın genel kenarından gelen ve ağ geçidi API anahtarı taşımayan bir denetim uç noktası çağrısı reddedilir. Bu tümleşme için bir anahtar düzenleyin ve taşıyıcı jeton olarak ayarlayın; ağ konumuna güvenmeyin.

Kiracıyı yapılandırın

CID222'yi dış denetim hizmeti olarak ekleyin

Kiracının web veri sızıntısı önleme ayarlarında; JSON gövdesiyle, taşıyıcı jeton olarak ağ geçidi API anahtarıyla ve ağınıza uygun bağlanma ile okuma zaman aşımlarıyla https://<appliance-fqdn>/inspect/v1/{hostname} adresine gönderen bir hizmet ekleyin.

Yer tutucu, çalışma zamanında Netskope tarafından yakalanan isteğin hedef ana bilgisayar adıyla değiştirilir.

Üretken yapay zeka kategorisine bağlayın

Netskope'un merkezî olarak bakımını yaptığı üretken yapay zeka kategorisiyle eşleşen ve eylemi o hizmet üzerinden dış denetim olan bir gerçek zamanlı koruma kuralı ekleyin.

Kategori merkezî olarak sürdürülür ve çok sayıda ürünü kapsar; bu yüzden bir ana bilgisayar adı listesi tutmak yerine kategorinin tamamına bağlanabilirsiniz. Yüklenen dosya baytlarını taşıyan ana bilgisayarları içerdiğini doğrulayın.

Arıza duruşunu uzlaştırın

Kiracının arıza eylemini, cihazda Tespit ve Filtreleme → Tarayıcı Denetimi ekranındaki Fail closed (BLOCK) on timeout ayarıyla eşleşecek biçimde ayarlayın.

Bir karar zamanında gelmediğinde iki uç artık aynı biçimde davranır.

Note

Allowed ICAP peer IPs / CIDRs bu yola kapı tutmaz — yalnızca 1344 portundaki ICAP dinleyicisi için geçerlidir. Buradaki kabul, ağ geçidi API anahtarı ve isteğe bağlı olarak bir istemci sertifikasıdır.

Doğrulama

Trafiğini kiracının ilettiği bir iş istasyonundan bir test tanımlayıcısı içeren bir istem gönderin. Model onu maskelenmiş alır ya da Netskope'un engelleme sayfası görünür.
Tespit ve Filtreleme → Tüm Tespitler ekranını seçin ve tarayıcı trafiğine göre süzün. Deneme, Netskope'un ilettiği kullanıcıyı taşıyarak MESSAGE_MASKED ya da MESSAGE_BLOCKED olarak görünür.
Tarayıcı Denetimi ekranında kiracı, bağlı kaynaklar tablosunda görünür.

Başarısız olursa

Cihaz bir yetkilendirme hatasıyla yanıt veriyor → istek bir ağ geçidi API anahtarı taşımıyordur ya da politikada bir istemci konu adı yapılandırılmıştır ve hiçbiri iletilmiyordur.
Cihaz bir doğrulama hatasıyla yanıt veriyor → gövdede direction ya da payload eksiktir ya da ikili içerik payloadEncoding değeri base64 yapılmadan gönderilmiştir.
İstemler olay günlüğünde maskeli görünüyor ama modele olduğu gibi ulaşıyor → kiracı, maskeleme kararında redactedPayload içeriğini iletmiyordur.
Yüklemeler denetlenmiyor → kategori, dosya baytlarını taşıyan ana bilgisayarı kapsamıyordur.

Sonraki adımlar

ICAP ve üçüncü taraf ağ geçitleri — ortak sözleşme ve atıf zinciri.
Yakalama topolojileri — bu dağıtımın neyi göremediği.

Netskope NewEdge