Raccogliere i log di Zscaler DLP

Questo documento spiega come esportare i log DLP di Zscaler configurando un feed di Google Security Operations e come i campi dei log vengono mappati ai campi del modello di dati unificato (UDM) di Google SecOps.

Per ulteriori informazioni, consulta la panoramica dell'importazione dei dati in Google SecOps.

Un deployment tipico è costituito da Zscaler DLP e dal feed webhook di Google SecOps configurato per inviare log a Google SecOps. Ogni implementazione del cliente può essere diversa e potrebbe essere più complessa.

Il deployment contiene i seguenti componenti:

• Zscaler DLP: la piattaforma da cui raccogli i log.

• Feed Google SecOps: il feed Google SecOps che recupera i log da Zscaler DLP e li scrive in Google SecOps.

• Google Security Operations: conserva e analizza i log.

Un'etichetta di importazione identifica l'analizzatore sintattico che normalizza i dati dei log non elaborati in formato UDM strutturato. Le informazioni contenute in questo documento si applicano al parser con l'etichetta ZSCALER_DLP.

Prima di iniziare

Assicurati di disporre dei seguenti prerequisiti:

• Accedi alla console Zscaler Internet Access. Per ulteriori informazioni, consulta la guida di ZIA per l'accesso sicuro a internet e SaaS.
• Zscaler DLP 2024 o versioni successive
• Tutti i sistemi nell'architettura di deployment sono configurati con il fuso orario UTC.
• La chiave API necessaria per completare la configurazione del feed in Google Security Operations. Per ulteriori informazioni, vedi Configurare le chiavi API.

Configurare i feed

Esistono due diversi punti di contatto per configurare i feed nella piattaforma Google SecOps:

• Impostazioni SIEM > Feed
• Content Hub > Pacchetti di contenuti

Configura i feed da Impostazioni SIEM > Feed

Per configurare più feed per tipi di log diversi all'interno di questa famiglia di prodotti, consulta Configurare i feed per prodotto.

Per configurare un singolo feed:

1. Vai a Impostazioni SIEM > Feed.
2. Fai clic su Aggiungi nuovo feed.
3. Nella pagina successiva, fai clic su Configura un singolo feed.
4. Nel campo Nome feed, inserisci un nome per il feed, ad esempio Log DLP Zscaler.
5. Seleziona Webhook come Tipo di origine.
6. Seleziona Zscaler DLP come Tipo di log.
7. Fai clic su Avanti.
8. (Facoltativo) Specifica i valori per i seguenti parametri di input:
   1. Delimitatore di separazione: il delimitatore utilizzato per separare le righe dei log (lascia vuoto se non viene utilizzato un delimitatore).
   2. Spazio dei nomi dell'asset: lo spazio dei nomi dell'asset.
   3. Etichette di importazione: l'etichetta da applicare agli eventi di questo feed.
9. Fai clic su Avanti.
10. Rivedi la configurazione del nuovo feed nella schermata Concludi e poi fai clic su Invia.
11. Fai clic su Genera chiave segreta per generare una chiave segreta per autenticare questo feed.

Configurare i feed da Content Hub

Specifica i valori per i seguenti campi:

• Delimitatore di split: il delimitatore utilizzato per separare le righe di log, ad esempio \n.

Opzioni avanzate

• Nome feed: un valore precompilato che identifica il feed.
• Tipo di origine: metodo utilizzato per raccogliere i log in Google SecOps.
• Spazio dei nomi dell'asset: lo spazio dei nomi dell'asset.
• Etichette di importazione: l'etichetta applicata agli eventi di questo feed.
• Fai clic su Avanti.
• Controlla la configurazione del feed nella schermata Concludi e poi fai clic su Invia.
• Fai clic su Genera chiave segreta per generare una chiave segreta per autenticare questo feed.
• Fai clic su Avanti.
• Controlla la configurazione del feed nella schermata Concludi e poi fai clic su Invia.

Configurare Zscaler DLP

1. Nella console Zscaler Internet Access, vai ad Amministrazione > Nanolog Streaming Service > Cloud NSS Feeds.
2. Fai clic su Aggiungi feed NSS cloud.
3. Inserisci un nome per il feed nel campo Nome feed.
4. Seleziona NSS per il web in Tipo NSS.
5. Seleziona lo stato dall'elenco Stato per attivare o disattivare il feed NSS.
6. Mantieni il valore nel menu Tariffa SIEM impostato su Illimitata. Per eliminare lo stream di output a causa di licenze o altri vincoli, modifica il valore.
7. Seleziona Altro nell'elenco Tipo SIEM.
8. Seleziona Disattivata nell'elenco Autenticazione OAuth 2.0.
9. Inserisci un limite di dimensioni per il payload di una singola richiesta HTTP in base alle best practice del SIEM in Dimensione batch massima (ad esempio 512 KB).

10. Inserisci l'URL HTTPS dell'endpoint API Chronicle nell'URL API nel seguente formato:

    https://<CHRONICLE_REGION>-chronicle.googleapis.com/v1alpha/projects/<GOOGLE_PROJECT_NUMBER>/locations/<LOCATION>/instances/<CUSTOMER_ID>/feeds/<FEED_ID>:importPushLogs
    

    • CHRONICLE_REGION: regione in cui è ospitata l'istanza Google SecOps (ad esempio US).
    • GOOGLE_PROJECT_NUMBER: numero del progetto BYOP (richiedilo al team C4).
    • LOCATION: regione Google SecOps (ad esempio US).
    • CUSTOMER_ID: ID cliente Google SecOps (richiedilo a C4).
    • FEED_ID: ID feed visualizzato nell'interfaccia utente del feed nel nuovo webhook creato.

    URL API di esempio:

    https://us-chronicle.googleapis.com/v1alpha/projects/12345678910/locations/US/instances/xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx/feeds/yyyyyyyy-yyyy-yyyy-yyyy-yyyyyyyyyyyy:importPushLogs
    

11. Fai clic su Aggiungi intestazione HTTP e aggiungi le intestazioni HTTP nel seguente formato:

    • Header 1: Key1: X-goog-api-key e Value1: chiave API generata nelle credenziali API di Google Cloud BYOP.
    • Header 2: Key2: X-Webhook-Access-Key e Value2: la chiave segreta dell'API generata in "SECRET KEY" dell'webhook.

12. Seleziona DLP endpoint dall'elenco Tipi di log.

13. Seleziona JSON nell'elenco Tipo di output del feed.

14. Imposta Carattere di escape del feed su , \ ".

15. Per aggiungere un nuovo campo al Formato di output del feed,seleziona Personalizzato nell'elenco Tipo di output del feed.

16. Copia e incolla il Formato di output del feed e aggiungi nuovi campi. Assicurati che i nomi delle chiavi corrispondano ai nomi effettivi dei campi.

    Di seguito è riportato il formato di output del feed predefinito:

    \{ "sourcetype" : "zscalernss-edlp", "event" :\{"time":"%s{time}","recordid":"%d{recordid}","login":"%s{user}","dept":"%s{department}","filetypename":"%s{filetypename}","filemd5":"%s{filemd5}","dlpdictnames":"%s{dlpdictnames}","dlpdictcount":"%s{dlpcounts}","dlpenginenames":"%s{dlpengnames}","channel":"%s{channel}","actiontaken":"%s{actiontaken}","severity":"%s{severity}","rulename":"%s{triggeredrulelabel}","itemdstname":"%s{itemdstname}"\}\}
    

17. Seleziona il fuso orario per il campo Ora nel file di output nell'elenco Fuso orario. Per impostazione predefinita, il fuso orario è impostato sul fuso orario della tua organizzazione.

18. Rivedi le impostazioni configurate.

19. Fai clic su Salva per verificare la connettività. Se la connessione è riuscita, viene visualizzata una spunta verde accompagnata dal messaggio Test di connettività riuscito: OK (200).

Per ulteriori informazioni sui feed di Google SecOps, consulta la documentazione dei feed di Google SecOps. Per informazioni sui requisiti per ciascun tipo di feed, consulta Configurazione dei feed per tipo.

Se riscontri problemi durante la creazione dei feed, contatta l'assistenza Google SecOps.

Formati dei log Zscaler DLP supportati

L'analizzatore sintattico DLP di Zscaler supporta i log in formato JSON.

Log di esempio di Zscaler DLP supportati

• JSON:

  {
    "sourcetype": "zscalernss-edlp",
    "event": {
      "time": "Thu Jun 20 21:14:56 2024",
      "recordid": "7382697059455533057",
      "login": "dummy@domain.com",
      "dept": "General Group",
      "filetypename": "xlsx",
      "filemd5": "9a2d0d62c22994a98f65939ddcd3eb8f",
      "dlpdictnames": "Social Security Number (US): Detect leakage of United States Social Security Numbers|Credit Cards: Detect leakage of credit card information|Aadhaar Card Number (India): Detect Leakage of Indian Aadhaar Card Numbers",
      "dlpdictcount": "1428|141|81",
      "dlpenginenames": "Dummy Engine|cc|PCI|GLBA|HIPAA",
      "channel": "Removable Storage",
      "actiontaken": "Confirm Allow",
      "severity": "High Severity",
      "rulename": "Endpoint_DLP_",
      "itemdstname": "Removable Storage"
    }
  }
  

Tabella di mappatura UDM

La tabella seguente elenca i campi del log del tipo di log ZSCALER_DLP e i relativi campi UDM.

Hai bisogno di ulteriore assistenza? Ricevi risposte dai membri della community e dai professionisti di Google SecOps.