Netskope su MCP: alert, eventi, rischio utenti e Private Access in qualsiasi agente AI

💡 Niente installazione? Vai direttamente su cloud.anythingmcp.com. Accedi, clicca Connectors → Netskope, inserisci le credenziali, genera una MCP API key e hai finito. Niente Docker, niente git clone, niente server locale.

Netskope

Netskope Security Service Edge, in sola lettura: ricerca di alert ed eventi (applicazioni, web, rete, incidenti, DLP endpoint), audit log degli amministratori, punteggi di rischio degli utenti, consultazione del Cloud Confidence Index, liste di URL, publisher e app di Private Access, utenti e gruppi SCIM.

Setup

La configurazione richiede circa 5 minuti. Ti servono un tenant Netskope e un token REST API v2 con privilegio Read sugli endpoint che l'AI deve usare.

1. Nel tenant Netskope apri Settings > Tools > REST API v2 e crea un nuovo token, oppure usa un account di servizio in Settings > Administration > Administrators & Roles.
2. Aggiungi con privilegio Read ogni endpoint che l'AI deve usare: /api/v2/events/datasearch/alert e gli altri tipi /api/v2/events/datasearch/..., /api/v2/events/data/audit, /api/v2/ubadatasvc/user/uci, /api/v2/services/cci/app, /api/v2/policy/urllist, /api/v2/infrastructure/publishers, /api/v2/steering/apps/private, /api/v2/scim/Users e /api/v2/scim/Groups. Un endpoint che non aggiungi resta chiuso all'AI.
3. Imposta una scadenza e copia il token in NETSKOPE_API_TOKEN. Viaggia nell'header Netskope-Api-Token.
4. Imposta NETSKOPE_TENANT sul nome host del tuo tenant come appare nella barra degli indirizzi, ad esempio example.goskope.com (tenant UE ad esempio example.eu.goskope.com), senza https:// né percorso.
5. Se il tenant usa una IP allowlist (Settings > Administration > IP Allowlist), aggiungi l'indirizzo in uscita del tuo server AnythingMCP.
6. Installa il connettore ed esegui netskope_search_alerts per verificare il token.

Sola lettura: ogni tool si limita a leggere. netskope_get_user_risk_score viene inviato come POST, ma legge soltanto il punteggio. Il connettore non modifica policy, liste di URL, publisher, app o utenti.

Cosa legge: gli alert (DLP, malware, policy, anomalie, credenziali compromesse, UBA e altro); gli eventi di un tipo alla volta: application (attività nelle app cloud), page (visite web), network (traffico firewall e Private Access), incident, clientstatus (stato del client Netskope sui dispositivi) ed epdlp (DLP endpoint); l'audit log degli amministratori (chi ha cambiato quale impostazione o policy, accessi alla console); lo User Confidence Index di un utente (UCI, punteggio di rischio da analisi comportamentale da 0 a 1000) e le sue variazioni; il Cloud Confidence Index di un'app cloud dal suo nome esatto, come Dropbox o Slack (punteggio, Cloud Confidence Level, categoria, tag, se è autorizzata o solo rilevata); le liste di URL usate nelle policy; i publisher di Private Access con il loro stato e le app private che servono; e gli utenti e i gruppi forniti via SCIM.

Cercare alert ed eventi: l'AI imposta un intervallo di tempo (starttime e endtime in secondi Unix) e una query nel linguaggio di Netskope, come alert_type eq 'DLP' o severity eq 'high', e chiede solo i fields che le servono. Per i conteggi usa fields=count_total:count(_id) con groupbys (ad esempio alert_name o user) e ordina per count_total desc. I tenant grandi contengono milioni di eventi, quindi ogni ricerca di eventi ha un intervallo di tempo. Il tempo dell'UCI (from_time) è in millisecondi.

Limiti: le liste datasearch si sfogliano con limit e offset, quelle SCIM con startIndex (da 1) e count. Netskope limita ogni endpoint a poche chiamate al secondo e oltre risponde 429 con Retry-After.

Errori comuni: 401 o 403 indicano un token errato o scaduto, oppure un endpoint non aggiunto al token con privilegio Read; il 403 può arrivare anche dalla IP allowlist del tenant. Una chiamata datasearch che fallisce, ad esempio per un campo sconosciuto in query, riporta status.execution FAILED con un messaggio, e il connettore lo trasforma in un errore. Un 404 su ogni chiamata di solito indica un NETSKOPE_TENANT errato.

Prerequisiti: NETSKOPE_TENANT, NETSKOPE_API_TOKEN

Installazione locale del connettore

curl -fsSL https://raw.githubusercontent.com/HelpCode-ai/anythingmcp/main/docker-compose.quickstart.yml -o docker-compose.yml
printf 'JWT_SECRET=%s\nENCRYPTION_KEY=%s\n' "$(openssl rand -hex 32)" "$(openssl rand -hex 32)" > .env
docker compose up -d

Apri http://localhost:3000/connectors/store, scegli Netskope e inserisci le variabili elencate nei Prerequisiti.

Tool disponibili

Esempi di prompt

• "Mostrami gli alert DLP di gravità alta delle ultime 24 ore, raggruppati per utente."
• "Quali utenti hanno generato più alert questa settimana, e quali nomi di alert ricorrono più spesso?"
• "Qual è lo User Confidence Index di [email protected], e come è cambiato negli ultimi 30 giorni?"
• "Cerca il Cloud Confidence Index di Dropbox e dimmi se l'app è autorizzata."
• "I nostri publisher di Private Access sono tutti connessi? Quali app private serve ciascuno?"

Prossimi passi

• Collegare a Claude
• Collegare a ChatGPT