Netskope zu MCP: Alerts, Events, Benutzerrisiko und Private Access in jedem KI-Agent

💡 Keine Installation? Nutze cloud.anythingmcp.com direkt. Einloggen, Connectors → Netskope klicken, Zugangsdaten einfügen, MCP-API-Key erzeugen, fertig. Kein Docker, kein git clone, kein lokaler Server.

Netskope

Netskope Security Service Edge, nur lesend: Alerts und Events durchsuchen (Anwendung, Web, Netzwerk, Incident, Endpoint-DLP), das Audit-Log der Administratoren, Risikowerte von Benutzern, Abfragen des Cloud Confidence Index, URL-Listen, Publisher und Apps von Private Access sowie per SCIM bereitgestellte Benutzer und Gruppen.

Einrichtung

Die Einrichtung dauert etwa 5 Minuten. Du brauchst einen Netskope-Tenant und ein Token für REST API v2 mit Read-Berechtigung auf den Endpunkten, die die KI nutzen soll.

1. Öffne im Netskope-Tenant Settings > Tools > REST API v2 und erstelle ein neues Token, oder nutze ein Dienstkonto unter Settings > Administration > Administrators & Roles.
2. Füge jeden Endpunkt, den die KI nutzen soll, mit Read-Berechtigung hinzu: /api/v2/events/datasearch/alert und die anderen /api/v2/events/datasearch/...-Typen, /api/v2/events/data/audit, /api/v2/ubadatasvc/user/uci, /api/v2/services/cci/app, /api/v2/policy/urllist, /api/v2/infrastructure/publishers, /api/v2/steering/apps/private, /api/v2/scim/Users und /api/v2/scim/Groups. Ein Endpunkt, den du weglässt, bleibt für die KI gesperrt.
3. Setz ein Ablaufdatum und kopiere das Token in NETSKOPE_API_TOKEN. Es reist im Header Netskope-Api-Token.
4. Setz NETSKOPE_TENANT auf den Hostnamen deines Tenants, wie er in der Adresszeile des Browsers steht, z. B. example.goskope.com (EU-Tenants z. B. example.eu.goskope.com), ohne https:// und ohne Pfad.
5. Nutzt der Tenant eine IP-Allowlist (Settings > Administration > IP Allowlist), trag dort die ausgehende Adresse deines AnythingMCP-Servers ein.
6. Installiere den Connector und rufe netskope_search_alerts auf, um das Token zu prüfen.

Nur lesend: Jedes Tool liest nur. netskope_get_user_risk_score wird als POST gesendet, liest aber nur den Risikowert. Der Connector ändert keine Policies, URL-Listen, Publisher, Apps oder Benutzer.

Was er liest: Alerts (DLP, Malware, Policy, Anomalie, kompromittierte Zugangsdaten, UBA und mehr); Events jeweils eines Typs: application (Aktivität in Cloud-Apps), page (Webseitenaufrufe), network (Firewall- und Private-Access-Verkehr), incident, clientstatus (Status des Netskope-Clients auf Geräten) und epdlp (Endpoint-DLP); das Audit-Log der Administratoren (wer welche Einstellung oder Policy geändert hat, Anmeldungen an der Konsole); den User Confidence Index eines Benutzers (UCI, ein Risikowert aus der Verhaltensanalyse von 0 bis 1000) und seine Änderungen; den Cloud Confidence Index einer Cloud-App über ihren exakten Namen, etwa Dropbox oder Slack (Wert, Cloud Confidence Level, Kategorie, Tags, sanktioniert oder entdeckt); die URL-Listen der Policies; die Publisher von Private Access mit ihrem Status und den privaten Apps, die sie bedienen; und die per SCIM bereitgestellten Benutzer und Gruppen.

Alerts und Events durchsuchen: Die KI setzt einen Zeitraum (starttime und endtime in Unix-Sekunden) und eine query in der Netskope-Abfragesprache, etwa alert_type eq 'DLP' oder severity eq 'high', und fragt nur die fields ab, die sie braucht. Für Zählungen nutzt sie fields=count_total:count(_id) mit groupbys (z. B. alert_name oder user) und sortiert nach count_total desc. Große Tenants halten Millionen von Events, deshalb hat jede Event-Suche einen Zeitraum. Die UCI-Zeit (from_time) steht in Millisekunden.

Limits: Datasearch-Listen blättern mit limit und offset, SCIM-Listen mit startIndex (ab 1) und count. Netskope begrenzt jeden Endpunkt auf wenige Aufrufe pro Sekunde und antwortet darüber mit 429 und Retry-After.

Häufige Fehler: 401 oder 403 bedeutet ein falsches oder abgelaufenes Token oder einen Endpunkt, der dem Token nicht mit Read-Berechtigung hinzugefügt wurde; 403 kann auch von der IP-Allowlist des Tenants kommen. Ein fehlgeschlagener Datasearch-Aufruf, z. B. wegen eines unbekannten Felds in query, meldet status.execution FAILED mit einer Nachricht, und der Connector macht daraus einen Fehler. 404 bei jedem Aufruf heißt meist, dass NETSKOPE_TENANT falsch ist.

Voraussetzungen: NETSKOPE_TENANT, NETSKOPE_API_TOKEN

Connector lokal installieren

curl -fsSL https://raw.githubusercontent.com/HelpCode-ai/anythingmcp/main/docker-compose.quickstart.yml -o docker-compose.yml
printf 'JWT_SECRET=%s\nENCRYPTION_KEY=%s\n' "$(openssl rand -hex 32)" "$(openssl rand -hex 32)" > .env
docker compose up -d

Öffne http://localhost:3000/connectors/store, wähle Netskope und trage die unter Voraussetzungen aufgelisteten Variablen ein.

Verfügbare Tools

Beispiel-Prompts

• „Zeig mir die DLP-Alerts mit hoher Schwere aus den letzten 24 Stunden, gruppiert nach Benutzer.“
• „Welche Benutzer haben diese Woche die meisten Alerts ausgelöst, und welche Alert-Namen kommen am häufigsten vor?“
• „Wie hoch ist der User Confidence Index von [email protected], und wie hat er sich in den letzten 30 Tagen verändert?“
• „Schlag den Cloud Confidence Index von Dropbox nach und sag mir, ob die App sanktioniert ist.“
• „Sind alle unsere Private-Access-Publisher verbunden, und welche privaten Apps bedient jeder davon?“

Nächste Schritte

• Mit Claude verbinden
• Mit ChatGPT verbinden