Zscaler Webproxy のログを収集する

このドキュメントでは、Google Security Operations フィードを設定して Zscaler Webproxy のログをエクスポートする方法と、ログフィールドが Google SecOps 統合データモデル（UDM）フィールドにマッピングする方法について説明します。

詳細については、Google SecOps へのデータの取り込みの概要をご覧ください。

一般的なデプロイは、Zscaler Webproxy と、Google SecOps にログを送信するように構成された Google SecOps Webhook フィードで構成されます。お客様のデプロイはそれぞれ異なり、より複雑になる場合もあります。

デプロイには次のコンポーネントが含まれます。

• Zscaler Webproxy: ログを収集するプラットフォーム。

• Google SecOps フィード: Zscaler Webproxy からログを取得して Google SecOps に書き込む Google SecOps フィード。

• Google SecOps: ログを保持して分析します。

取り込みラベルによって、未加工のログデータを構造化 UDM 形式に正規化するパーサーが識別されます。 このドキュメントの情報は、取り込みラベル ZSCALER_WEBPROXY が付加されたパーサーに適用されます。

始める前に

次の前提条件を満たしていることを確認します。

• Zscaler Internet Access コンソールへのアクセス。詳細については、インターネットと SaaS への安全なアクセス ZIA のヘルプをご覧ください。
• Zscaler Webproxy 2024 以降
• デプロイ アーキテクチャ内のすべてのシステムは、UTC タイムゾーンで構成されています。
• Google Security Operations でフィードの設定を完了するために必要な API キー。詳細については、API キーを設定するをご覧ください。

フィードを設定する

Google SecOps プラットフォームでフィードを設定するには、次の 2 つのエントリ ポイントがあります。

• [SIEM 設定] > [フィード]
• [コンテンツ ハブ] > [コンテンツ パック]

[SIEM 設定] > [フィード] でフィードを設定します。

このプロダクト ファミリー内の異なるログタイプに対して複数のフィードを構成するには、プロダクトごとにフィードを構成するをご覧ください。

1 つのフィードを設定する手順は次のとおりです。

1. [SIEM 設定] > [フィード] に移動します。
2. [Add New Feed] をクリックします。
3. 次のページで [単一フィードを設定] をクリックします。
4. [フィード名] フィールドに、フィードの名前を入力します（例: Zscaler Webproxy Logs）。
5. [ソースの種類] として [Webhook] を選択します。
6. [ログタイプ] として [Zscaler] を選択します。
7. [次へ] をクリックします。
8. 省略可: 次の入力パラメータの値を入力します。
   1. Split delimiter: ログ行を区切るために使用される区切り文字。区切り文字を使用しない場合は空白のままにします。
   2. アセットの名前空間: アセットの名前空間。
   3. Ingestion labels: このフィードのイベントに適用されるラベル。
9. [次へ] をクリックします。
10. 新しいフィードの設定を確認し、[送信] をクリックします。
11. [シークレット キーを生成する] をクリックして、このフィードを認証するためのシークレット キーを生成します。

Content Hub からフィードを設定する

次のフィールドに値を指定します。

• Split delimiter: ログ行を区切るために使用される区切り文字（\n など）。

詳細オプション

• フィード名: フィードを識別する事前入力された値。
• ソースタイプ: Google SecOps にログを収集するために使用される方法。
• Asset namespace: アセットの名前空間。
• Ingestion labels: このフィードのイベントに適用されるラベル。
• [次へ] をクリックします。
• [Finalize] 画面でフィードの設定を確認し、[Submit] をクリックします。
• [秘密鍵を生成する] をクリックして、このフィードを認証するためのシークレット キーを生成します。

Zscaler Webproxy を設定する

1. Zscaler Internet Access コンソールで、[管理] > [Nanolog ストリーミング サービス] > [クラウド NSS フィード] をクリックし、[クラウド NSS フィードを追加] をクリックします。
2. [クラウド NSS フィードを追加] ウィンドウが表示されます。[クラウド NSS フィードを追加] ウィンドウで詳細を入力します。
3. [フィード名] フィールドに、フィードの名前を入力します。
4. [NSS タイプ] で [NSS for Web] を選択します。
5. [ステータス] リストからステータスを選択して、NSS フィードを有効または無効にします。
6. [SIEM レート] プルダウンの値は [無制限] のままにします。ライセンスなどの制約により出力ストリームを抑制するには、値を変更します。
7. [SIEM タイプ] リストで [その他] を選択します。
8. [OAuth 2.0 認証] リストで [無効] を選択します。
9. [最大バッチサイズ] に、SIEM のベスト プラクティスに従って個々の HTTP リクエスト ペイロードのサイズの上限を入力します。たとえば、512 KB です。

10. API URL に、次の形式で Chronicle API エンドポイントの HTTPS URL を入力します。

      https://<CHRONICLE_REGION>-chronicle.googleapis.com/v1alpha/projects/<GOOGLE_PROJECT_NUMBER>/locations/<LOCATION>/instances/<CUSTOMER_ID>/feeds/<FEED_ID>:importPushLogs
    

    • CHRONICLE_REGION: Chronicle インスタンスがホストされているリージョン。たとえば US。
    • GOOGLE_PROJECT_NUMBER: BYOP プロジェクト番号。C4 から取得します。
    • LOCATION: Chronicle のリージョン。たとえば US。
    • CUSTOMER_ID: Chronicle のお客様 ID。C4 から取得します。
    • FEED_ID: 作成した新しい Webhook のフィード UI に表示されるフィード ID
    • API URL の例:

    https://us-chronicle.googleapis.com/v1alpha/projects/12345678910/locations/US/instances/xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx/feeds/yyyyyyyy-yyyy-yyyy-yyyy-yyyyyyyyyyyy:importPushLogs
    

11. [HTTP ヘッダーを追加] をクリックし、次の形式で HTTP ヘッダーを追加します。

    • Header 1: Key1: X-goog-api-key、Value1: Google Cloud BYOP の API 認証情報で生成された API キー。
    • Header 2: Key2: X-Webhook-Access-Key、Value2: Webhook の [SECRET KEY] で生成された API シークレット キー。

12. [ログタイプ] リストで [Web Logs] を選択します。

13. [フィード出力タイプ] リストで [JSON] を選択します。

14. [フィード エスケープ文字] を , \ " に設定します。

15. [フィード出力形式] に新しいフィールドを追加するには、[フィード出力タイプ] リストで [カスタム] を選択します。

16. [フィード出力形式] をコピーして貼り付け、新しいフィールドを追加します。キー名が実際のフィールド名と一致していることを確認します。

17. デフォルトの [フィード出力形式] は次のとおりです。

      \{ "sourcetype" : "zscalernss-web", "event" : \{"datetime":"%d{yy}-%02d{mth}-%02d{dd} %02d{hh}:%02d{mm}:%02d{ss}","reason":"%s{reason}","event_id":"%d{recordid}","protocol":"%s{proto}","action":"%s{action}","transactionsize":"%d{totalsize}","responsesize":"%d{respsize}","requestsize":"%d{reqsize}","urlcategory":"%s{urlcat}","serverip":"%s{sip}","requestmethod":"%s{reqmethod}","refererURL":"%s{ereferer}","useragent":"%s{eua}","product":"NSS","location":"%s{elocation}","ClientIP":"%s{cip}","status":"%s{respcode}","user":"%s{elogin}","url":"%s{eurl}","vendor":"Zscaler","hostname":"%s{ehost}","clientpublicIP":"%s{cintip}","threatcategory":"%s{malwarecat}","threatname":"%s{threatname}","filetype":"%s{filetype}","appname":"%s{appname}","pagerisk":"%d{riskscore}","threatseverity":"%s{threatseverity}","department":"%s{edepartment}","urlsupercategory":"%s{urlsupercat}","appclass":"%s{appclass}","dlpengine":"%s{dlpeng}","urlclass":"%s{urlclass}","threatclass":"%s{malwareclass}","dlpdictionaries":"%s{dlpdict}","fileclass":"%s{fileclass}","bwthrottle":"%s{bwthrottle}","contenttype":"%s{contenttype}","unscannabletype":"%s{unscannabletype}","deviceowner":"%s{deviceowner}","devicehostname":"%s{devicehostname}","keyprotectiontype":"%s{keyprotectiontype}"\}\}
    

18. [タイムゾーン] リストで、出力ファイルの [時間] フィールドのタイムゾーンを選択します。デフォルトでは、タイムゾーンは組織のタイムゾーンに設定されます。

19. 構成された設定を確認します。

20. [保存] をクリックして接続をテストします。接続に成功すると、緑色のチェックマークと [Test Connectivity Successful: OK (200)] というメッセージが表示されます。

Google SecOps フィードの詳細については、Google SecOps フィードのドキュメントをご覧ください。各フィードタイプの要件については、タイプ別のフィード構成をご覧ください。

フィードの作成時に問題が発生した場合は、Google SecOps サポートにお問い合わせください。

サポートされている Zscaler Webproxy ログ形式

Zscaler Webproxy パーサーは、JSON 形式のログをサポートしています。

サポートされている Zscaler Webproxy のサンプルログ

• JSON

    {
      "event": {
        "ClientIP": "198.51.100.0",
        "action": "Allowed",
        "appclass": "Sales and Marketing",
        "appname": "Trend Micro",
        "bwthrottle": "NO",
        "clientpublicIP": "198.51.100.1",
        "contenttype": "Other",
        "datetime": "2024-05-06 10:56:04",
        "department": "Mid-Continent%20Companies",
        "devicehostname": "dummyhostname",
        "deviceowner": "dummydeviceowner",
        "dlpdictionaries": "None",
        "dlpengine": "None",
        "event_id": "7365838693731467265",
        "fileclass": "None",
        "filetype": "None",
        "hostname": "dummyhostname.com",
        "keyprotectiontype": "N/A",
        "location": "Road%20Warrior",
        "pagerisk": "0",
        "product": "NSS",
        "protocol": "HTTP_PROXY",
        "reason": "Allowed",
        "refererURL": "None",
        "requestmethod": "CONNECT",
        "requestsize": "606",
        "responsesize": "65",
        "serverip": "198.51.10.2",
        "status": "200",
        "threatcategory": "None",
        "threatclass": "None",
        "threatname": "None",
        "threatseverity": "None",
        "transactionsize": "671",
        "unscannabletype": "None",
        "url": "dummyurl.com:443",
        "urlcategory": "SSL - DNI - Bypass",
        "urlclass": "Bandwidth Loss",
        "urlsupercategory": "User-defined",
        "user": "abc@xyz.com",
        "useragent": "dummyuseragent",
        "vendor": "Zscaler"
      },
      "sourcetype": "zscalernss-web"
    }
  
  

フィールド マッピング リファレンス

次の表に、ZSCALER_WEBPROXY ログタイプのログ フィールドと、対応する UDM フィールドを示します。

さらにサポートが必要な場合 コミュニティ メンバーや Google SecOps のプロフェッショナルから回答を得ることができます。