Coletar registros do Zscaler Webproxy

Este documento descreve como exportar registros do Zscaler Webproxy configurando um feed de operações de segurança do Google e como os campos de registro são mapeados para os campos do modelo de dados unificado (UDM, na sigla em inglês) do Google SecOps.

Para mais informações, consulte Visão geral da ingestão de dados no Google SecOps.

Uma implantação típica consiste no Zscaler Webproxy e no feed de webhook do Google SecOps configurado para enviar registros ao Google SecOps. Cada implantação do cliente pode ser diferente e mais complexa.

A implantação contém os seguintes componentes:

• Zscaler Webproxy: a plataforma em que você coleta registros.

• Feed do Google SecOps: o feed do Google SecOps que busca logs do Zscaler Webproxy e grava logs no Google SecOps.

• Google SecOps: retém e analisa os registros.

Um rótulo de transferência identifica o analisador que normaliza os dados de registro brutos para o formato UDM estruturado. As informações neste documento se aplicam ao analisador com o rótulo de transferência ZSCALER_WEBPROXY.

Antes de começar

Verifique se você tem os seguintes pré-requisitos:

• Acesso ao console de acesso à Internet do Zscaler. Para mais informações, consulte Ajuda do ZIA para acesso seguro à Internet e ao SaaS.
• Zscaler Webproxy 2024 ou mais recente
• Todos os sistemas na arquitetura de implantação são configurados com o fuso horário UTC.
• A chave de API necessária para concluir a configuração do feed no Google Security Operations. Para mais informações, consulte Como configurar chaves de API.

Configurar feeds

Há dois pontos de entrada diferentes para configurar feeds na plataforma Google SecOps:

• Configurações do SIEM > Feeds
• Hub de conteúdo > Pacotes de conteúdo

Configurar feeds em Configurações do SIEM > Feeds

Para configurar vários feeds para diferentes tipos de registro nessa família de produtos, consulte Configurar feeds por produto.

Para configurar um único feed, siga estas etapas:

1. Acesse Configurações do SIEM > Feeds.
2. Clique em Adicionar novo feed.
3. Na próxima página, clique em Configurar um único feed.
4. No campo Nome do feed, insira um nome para o feed. Por exemplo, Zscaler Webproxy Logs.
5. Selecione Webhook como o Tipo de origem.
6. Selecione Zscaler como o Tipo de registro.
7. Clique em Próxima.
8. Opcional: insira valores para os seguintes parâmetros de entrada:
   1. Delimitador de divisão: o delimitador usado para separar as linhas de registro. Deixe em branco se não for usado.
   2. Namespace do recurso: o namespace do recurso.
   3. Rótulos de ingestão: o rótulo a ser aplicado aos eventos desse feed.
9. Clique em Próxima.
10. Revise a configuração do novo feed e clique em Enviar.
11. Clique em Generate Secret Key para gerar uma chave secreta para autenticar esse feed.

Configurar feeds na Central de conteúdo

Especifique valores para os seguintes campos:

• Delimitador de divisão: o delimitador usado para separar linhas de registro, como \n.

Opções avançadas

• Nome do feed: um valor preenchido automaticamente que identifica o feed.
• Tipo de origem: método usado para coletar registros no Google SecOps.
• Namespace do recurso: o namespace do recurso.
• Rótulos de ingestão: o rótulo aplicado aos eventos desse feed.
• Clique em Próxima.
• Revise a configuração do feed na tela Finalizar e clique em Enviar.
• Clique em Gerar chave secreta para gerar uma chave secreta para autenticar esse feed.

Configurar o Zscaler Webproxy

1. No console do Zscaler Internet Access, clique em Administration > Nanolog Streaming Service > Cloud NSS Feeds e em Add Cloud NSS Feed.
2. A janela Add Cloud NSS Feed vai aparecer. Na janela Adicionar feed de NSS do Cloud, insira os detalhes.
3. Digite um nome para o feed no campo Nome do feed.
4. Selecione NSS para Web em Tipo de NSS.
5. Selecione o status na lista Status para ativar ou desativar o feed do NSS.
6. Mantenha o valor na lista suspensa SIEM Rate como Unlimited. Para suprimir o fluxo de saída devido a licenciamento ou outras restrições, mude o valor.
7. Selecione Outro na lista Tipo de SIEM.
8. Selecione Desativada na lista Autenticação OAuth 2.0.
9. Insira um limite de tamanho para um payload de solicitação HTTP individual para a prática recomendada do SIEM em Tamanho máximo do lote. Por exemplo, 512 KB.

10. Insira o URL HTTPS do endpoint de API Chronicle no URL da API no seguinte formato:

      https://<CHRONICLE_REGION>-chronicle.googleapis.com/v1alpha/projects/<GOOGLE_PROJECT_NUMBER>/locations/<LOCATION>/instances/<CUSTOMER_ID>/feeds/<FEED_ID>:importPushLogs
    

    • CHRONICLE_REGION: região em que a instância do Chronicle está hospedada. Por exemplo, EUA.
    • GOOGLE_PROJECT_NUMBER: número do projeto BYOP. Receba isso do C4.
    • LOCATION: região do Chronicle. Por exemplo, EUA.
    • CUSTOMER_ID: ID do cliente do Chronicle. Receber do C4.
    • FEED_ID: o ID do feed mostrado na interface do feed no novo webhook criado
    • URL da API de exemplo:

    https://us-chronicle.googleapis.com/v1alpha/projects/12345678910/locations/US/instances/xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx/feeds/yyyyyyyy-yyyy-yyyy-yyyy-yyyyyyyyyyyy:importPushLogs
    

11. Clique em Adicionar cabeçalho HTTP e adicione cabeçalhos HTTP no seguinte formato:

    • Header 1: Chave1:X-goog-api-key e Valor1:chave de API gerada nas credenciais de API do Google Cloud BYOP.
    • Header 2: Key2:X-Webhook-Access-Key e Value2:chave secreta da API gerada em "SECRET KEY" do webhook.

12. Selecione Registros da Web na lista Tipos de registro.

13. Selecione JSON na lista Tipo de saída do feed.

14. Defina Caracter de escape do feed como , \ ".

15. Para adicionar um novo campo ao Formato de saída do feed,selecione Personalizado na lista Tipo de saída do feed.

16. Copie e cole o Formato de saída do feed e adicione novos campos. Confira se os nomes das chaves correspondem aos nomes dos campos.

17. Confira a seguir o formato de saída do feed padrão:

      \{ "sourcetype" : "zscalernss-web", "event" : \{"datetime":"%d{yy}-%02d{mth}-%02d{dd} %02d{hh}:%02d{mm}:%02d{ss}","reason":"%s{reason}","event_id":"%d{recordid}","protocol":"%s{proto}","action":"%s{action}","transactionsize":"%d{totalsize}","responsesize":"%d{respsize}","requestsize":"%d{reqsize}","urlcategory":"%s{urlcat}","serverip":"%s{sip}","requestmethod":"%s{reqmethod}","refererURL":"%s{ereferer}","useragent":"%s{eua}","product":"NSS","location":"%s{elocation}","ClientIP":"%s{cip}","status":"%s{respcode}","user":"%s{elogin}","url":"%s{eurl}","vendor":"Zscaler","hostname":"%s{ehost}","clientpublicIP":"%s{cintip}","threatcategory":"%s{malwarecat}","threatname":"%s{threatname}","filetype":"%s{filetype}","appname":"%s{appname}","pagerisk":"%d{riskscore}","threatseverity":"%s{threatseverity}","department":"%s{edepartment}","urlsupercategory":"%s{urlsupercat}","appclass":"%s{appclass}","dlpengine":"%s{dlpeng}","urlclass":"%s{urlclass}","threatclass":"%s{malwareclass}","dlpdictionaries":"%s{dlpdict}","fileclass":"%s{fileclass}","bwthrottle":"%s{bwthrottle}","contenttype":"%s{contenttype}","unscannabletype":"%s{unscannabletype}","deviceowner":"%s{deviceowner}","devicehostname":"%s{devicehostname}","keyprotectiontype":"%s{keyprotectiontype}"\}\}
    

18. Selecione o fuso horário do campo Time no arquivo de saída na lista Timezone. Por padrão, o fuso horário é definido como o da sua organização.

19. Revise as configurações definidas.

20. Clique em Salvar para testar a conectividade. Se a conexão for bem-sucedida, uma marca de seleção verde acompanhada da mensagem Test Connectivity Successful: OK (200) vai aparecer.

Para mais informações sobre os feeds do Google SecOps, consulte a documentação sobre feeds do Google SecOps. Para informações sobre os requisitos de cada tipo de feed, consulte Configuração de feed por tipo.

Se você tiver problemas ao criar feeds, entre em contato com o suporte do Google SecOps.

Formatos de registro do Zscaler Webproxy aceitos

O analisador de Webproxy do Zscaler oferece suporte a registros no formato JSON.

Exemplos de registros do Zscaler Webproxy compatíveis

• JSON

    {
      "event": {
        "ClientIP": "198.51.100.0",
        "action": "Allowed",
        "appclass": "Sales and Marketing",
        "appname": "Trend Micro",
        "bwthrottle": "NO",
        "clientpublicIP": "198.51.100.1",
        "contenttype": "Other",
        "datetime": "2024-05-06 10:56:04",
        "department": "Mid-Continent%20Companies",
        "devicehostname": "dummyhostname",
        "deviceowner": "dummydeviceowner",
        "dlpdictionaries": "None",
        "dlpengine": "None",
        "event_id": "7365838693731467265",
        "fileclass": "None",
        "filetype": "None",
        "hostname": "dummyhostname.com",
        "keyprotectiontype": "N/A",
        "location": "Road%20Warrior",
        "pagerisk": "0",
        "product": "NSS",
        "protocol": "HTTP_PROXY",
        "reason": "Allowed",
        "refererURL": "None",
        "requestmethod": "CONNECT",
        "requestsize": "606",
        "responsesize": "65",
        "serverip": "198.51.10.2",
        "status": "200",
        "threatcategory": "None",
        "threatclass": "None",
        "threatname": "None",
        "threatseverity": "None",
        "transactionsize": "671",
        "unscannabletype": "None",
        "url": "dummyurl.com:443",
        "urlcategory": "SSL - DNI - Bypass",
        "urlclass": "Bandwidth Loss",
        "urlsupercategory": "User-defined",
        "user": "abc@xyz.com",
        "useragent": "dummyuseragent",
        "vendor": "Zscaler"
      },
      "sourcetype": "zscalernss-web"
    }
  
  

Referência do mapeamento de campo

A tabela a seguir lista os campos de registro do tipo ZSCALER_WEBPROXY e os campos correspondentes do UDM.

Precisa de mais ajuda? Receba respostas de membros da comunidade e profissionais do Google SecOps.