Zscaler CASB ログを収集する

このドキュメントでは、Google Security Operations フィードを設定して Zscaler CASB のログをエクスポートする方法と、ログフィールドを統合データモデル（UDM）にマッピングする方法について説明します。

詳細については、Google SecOps へのデータの取り込みの概要をご覧ください。

一般的なデプロイは、Zscaler CASB と、Google SecOps にログを送信するように構成された Google SecOps Webhook フィードで構成されます。ただし、デプロイの詳細はお客様によって異なり、より複雑になる可能性があります。

デプロイには次のコンポーネントが含まれます。

• Zscaler CASB: ログを収集するプラットフォーム。

• Google SecOps フィード: Zscaler CASB からログを取得して Google SecOps に書き込む Google SecOps フィード。

• Google SecOps: ログを保持して分析します。

取り込みラベルによって、未加工のログデータを構造化 UDM 形式に正規化するパーサーが識別されます。このドキュメントは、ZSCALER_CASB 取り込みラベルに関連付けられたパーサーに特に適用されます。

始める前に

• Zscaler Internet Access コンソールにアクセスできることを確認します。詳細については、インターネットと SaaS への安全なアクセス ZIA のヘルプをご覧ください。
• Zscaler CASB バージョン 1.0 または 2.0 を使用していることを確認します。
• デプロイ アーキテクチャ内のすべてのシステムが、UTC タイムゾーンで構成されていることを確認します。
• Google SecOps でフィードの設定を完了するために必要な API キーがあることを確認します。詳細については、API キーの設定をご覧ください。

フィードを設定する

このログタイプを構成する手順は次のとおりです。

1. [SIEM 設定] > [フィード] に移動します。
2. [Add New Feed] をクリックします。
3. [Zscaler] フィードパックをクリックします。
4. 必要なログタイプを見つけて、[新しいフィードを追加] をクリックします。

5. 次の入力パラメータの値を入力します。

   • ソースタイプ: Webhook（推奨）
   • Split delimiter: ログ行の区切りに使用される文字。区切り文字を使用しない場合は空白のままにします。

   詳細オプション

   • フィード名: フィードを識別する事前入力された値。
   • Asset Namespace: フィードに関連付けられた名前空間。
   • Ingestion Labels: このフィードのすべてのイベントに適用されるラベル。

6. [フィードを作成] をクリックします。

このプロダクト ファミリー内の異なるログタイプに対して複数のフィードを構成する方法については、プロダクト別にフィードを構成するをご覧ください。

Zscaler CASB を設定する

1. Zscaler Internet Access コンソールで、[管理] > [Nanolog ストリーミング サービス] > [クラウド NSS フィード] > [クラウド NSS フィードを追加] をクリックします。
2. [クラウド NSS フィードを追加] ウィンドウで詳細を入力します。
3. [フィード名] フィールドに、フィードの一意の名前を入力します。
4. [NSS タイプ] で [Zscaler for Web] を選択します。
5. [ステータス] リストで、NSS フィードを有効または無効にするステータスを選択します。
6. ライセンスやその他の制約により出力ストリームを調整する必要がある場合を除き、[SIEM レート] は [無制限] のままにします。
7. [SIEM タイプ] リストで [その他] を選択します。
8. [OAuth 2.0 認証] リストで [無効] を選択します。
9. [最大バッチサイズ] フィールドに、SIEM のベスト プラクティスに沿って、個々の HTTP リクエスト ペイロードのサイズ上限を入力します（例: 512 KB）。

10. [API URL] フィールドに、次の形式で Chronicle API エンドポイントの HTTPS URL を入力します。

      https://<CHRONICLE_REGION>-chronicle.googleapis.com/v1alpha/projects/<GOOGLE_PROJECT_NUMBER>/locations/<LOCATION>/instances/<CUSTOMER_ID>/feeds/<FEED_ID>:importPushLogs
    

    • CHRONICLE_REGION: Google SecOps インスタンスがホストされているリージョン。例: US
    • GOOGLE_PROJECT_NUMBER: BYOP プロジェクトの番号。これは C4 から取得します。
    • LOCATION: Chronicle（Google SecOps）リージョン（CHRONICLE_REGION と同じ）。例: US。
    • CUSTOMER_ID: Google SecOps のお客様 ID。C4 から取得します。
    • FEED_ID: 新しく作成されたウェブフック フィードの ID（フィード UI に表示されます）。

    • API URL の例:

      https://us-chronicle.googleapis.com/v1alpha/projects/12345678910/locations/US/instances/xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx/feeds/yyyyyyyy-yyyy-yyyy-yyyy-yyyyyyyyyyyy:importPushLogs
      

11. [HTTP ヘッダーを追加] をクリックし、次の形式で HTTP ヘッダーを追加します。

    • Header 1: Key1: X-goog-api-key、Value1: Google Cloud BYOP の API 認証情報から生成された API キー。
    • Header 2: Key2: X-Webhook-Access-Key と Value2: ウェブフックの [SECRET KEY] で生成された API シークレット キー。

12. [ログタイプ] リストで、[SaaS Security] または [SaaS Security Activity] を選択します。

13. [Feed Output Type] リストで、[JSON] を選択します。

14. [Feed Escape Character] を , \ " に設定します。

15. [フィード出力タイプ] リストで [カスタム] を選択して、[フィード出力形式] に新しいフィールドを追加します。

16. [フィード出力形式] をコピーして貼り付け、必要に応じて新しいフィールドを追加します。キー名が実際のフィールド名と一致していることを確認します。

17. デフォルトの [フィード出力形式] は次のとおりです。

    • SaaS セキュリティ

    \{ "sourcetype" : "zscalernss-casb", "event" :\{"datetime":"%s{time}","recordid":"%d{recordid}","company":"%s{company}","tenant":"%s{tenant}","login":"%s{user}","dept":"%s{department}","applicationname":"%s{applicationname}","filename":"%s{filename}","filesource":"%s{filesource}","filemd5":"%s{filemd5}","threatname":"%s{threatname}","policy":"%s{policy}","dlpdictnames":"%s{dlpdictnames}","dlpdictcount":"%s{dlpdictcount}","dlpenginenames":"%s{dlpenginenames}","fullurl":"%s{fullurl}","lastmodtime":"%s{lastmodtime}","filescantimems":"%d{filescantimems}","filedownloadtimems":"%d{filedownloadtimems}"\}\}
    

    • SaaS セキュリティ アクティビティ

    \{ "sourcetype" : "zscalernss-casb", "event" :\{"login":"%s{username}","tenant":"%s{tenant}","object_type":"%d{objtype1}","applicationname":"%s{appname}","object_name_1":"%s{objnames1}","object_name_2":"%s{objnames2}"\}\}
    

18. [タイムゾーン] リストで、出力ファイルの [時間] フィールドのタイムゾーンを選択します。デフォルトでは、タイムゾーンは組織のタイムゾーンに設定されています。

19. 構成された設定を確認します。

20. [保存] をクリックして接続をテストします。接続に成功すると、緑色のチェックマークと [Test Connectivity Successful: OK (200)] というメッセージが表示されます。

Google SecOps フィードの詳細については、Google SecOps フィードのドキュメントをご覧ください。各フィードタイプの要件については、タイプ別のフィード構成をご覧ください。

フィードの作成時に問題が発生した場合は、Google SecOps サポートにお問い合わせください。

フィールド マッピング リファレンス

フィールド マッピング リファレンス: ZSCALER_CASB

次の表に、ZSCALER_CASB ログタイプのログ フィールドと、対応する UDM フィールドを示します。

次のステップ

• Google SecOps へのデータ取り込み

さらにサポートが必要な場合 コミュニティ メンバーや Google SecOps のプロフェッショナルから回答を得ることができます。