收集 Zscaler CASB 日志

本文档介绍了如何通过设置 Google Security Operations Feed 并将日志字段映射到 Unified Data Model (UDM) 来导出 Zscaler CASB 日志。

如需了解详情，请参阅 Google SecOps 数据提取概览。

典型部署包括 Zscaler CASB 和配置为将日志发送到 Google SecOps 的 Google SecOps Webhook Feed。不过，部署细节可能会因客户而异，并且可能更复杂。

部署包含以下组件：

• Zscaler CASB：您从中收集日志的平台。

• Google SecOps Feed：从 Zscaler CASB 获取日志并将日志写入 Google SecOps 的 Google SecOps Feed。

• Google SecOps：保留并分析日志。

注入标签用于标识将原始日志数据标准化为结构化 UDM 格式的解析器。本文档专门适用于与 ZSCALER_CASB 注入标签相关联的解析器。

准备工作

• 确保您有权访问 Zscaler Internet Access 控制台。如需了解详情，请参阅 Secure Internet and SaaS Access ZIA 帮助。
• 确保您使用的是 Zscaler CASB 版本 1.0 或 2.0。
• 确保部署架构中的所有系统都使用世界协调时间 (UTC) 时区进行配置。
• 确保您拥有在 Google SecOps 中完成 Feed 设置所需的 API 密钥。如需了解详情，请参阅设置 API 密钥。

设置 Feed

如需配置此日志类型，请按以下步骤操作：

1. 依次前往 SIEM 设置> Feed。
2. 点击添加新 Feed。
3. 点击 Zscaler Feed 包。
4. 找到所需的日志类型，然后点击添加新 Feed。

5. 输入以下输入形参的值：

   • 来源类型：Webhook（推荐）
   • 拆分分隔符：用于分隔日志行的字符。如果不使用分隔符，请留空。

   高级选项

   • Feed 名称：用于标识 Feed 的预填充值。
   • 资产命名空间：与 Feed 关联的命名空间。
   • 提取标签：应用于相应 Feed 中所有事件的标签。

6. 点击创建 Feed。

如需详细了解如何为相应产品系列中的不同日志类型配置多个 Feed，请参阅按产品配置 Feed。

设置 Zscaler CASB

1. 在 Zscaler Internet Access 控制台中，依次点击管理 > Nanolog 流式传输服务 > Cloud NSS Feed > 添加 Cloud NSS Feed。
2. 在添加 Cloud NSS Feed 窗口中，输入详细信息。
3. 在Feed 名称字段中，为 Feed 输入一个唯一名称。
4. 在 NSS 类型中选择 Zscaler for Web。
5. 在状态列表中，选择一种状态以启用或停用 NSS Feed。
6. 将 SIEM 速率保留为无限制，除非您需要因许可或其他限制而限制输出流。
7. 在 SIEM 类型列表中，选择其他。
8. 在 OAuth 2.0 身份验证列表中，选择已停用。
9. 在最大批次大小字段中，输入单个 HTTP 请求载荷的大小限制，以符合 SIEM 的最佳实践；例如，512 KB。

10. 在 API 网址字段中，输入 Chronicle API 端点的 HTTPS 网址，格式如下：

      https://<CHRONICLE_REGION>-chronicle.googleapis.com/v1alpha/projects/<GOOGLE_PROJECT_NUMBER>/locations/<LOCATION>/instances/<CUSTOMER_ID>/feeds/<FEED_ID>:importPushLogs
    

    • CHRONICLE_REGION：Google SecOps 实例的托管区域。例如 US。
    • GOOGLE_PROJECT_NUMBER：您的 BYOP 项目编号。从 C4 获取此信息。
    • LOCATION：Chronicle (Google SecOps) 区域（与 CHRONICLE_REGION 相同）。例如，US。
    • CUSTOMER_ID：您的 Google SecOps 客户 ID。从 C4 获取。
    • FEED_ID：新创建的 Webhook Feed 的 ID（显示在 Feed 界面中）。

    • API 网址示例：

      https://us-chronicle.googleapis.com/v1alpha/projects/12345678910/locations/US/instances/xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx/feeds/yyyyyyyy-yyyy-yyyy-yyyy-yyyyyyyyyyyy:importPushLogs
      

11. 点击添加 HTTP 标头，然后添加以下格式的 HTTP 标头：

    • Header 1：Key1： X-goog-api-key 和 Value1：从 Google Cloud BYOP 的 API 凭据生成的 API 密钥。
    • Header 2：Key2： X-Webhook-Access-Key 和 Value2：在 Webhook 的“SECRET KEY”中生成的 API 密钥。

12. 在日志类型列表中，选择 SaaS 安全或 SaaS 安全活动。

13. 在 Feed 输出类型列表中，选择 JSON。

14. 将Feed 转义字符设置为 , \ "。

15. 在 Feed 输出类型列表中，选择自定义，以便向 Feed 输出格式添加新字段。

16. 复制并粘贴Feed 输出格式，然后根据需要添加新字段。确保键名与实际字段名称一致。

17. 以下是默认的Feed 输出格式：

    • SaaS 安全性

    \{ "sourcetype" : "zscalernss-casb", "event" :\{"datetime":"%s{time}","recordid":"%d{recordid}","company":"%s{company}","tenant":"%s{tenant}","login":"%s{user}","dept":"%s{department}","applicationname":"%s{applicationname}","filename":"%s{filename}","filesource":"%s{filesource}","filemd5":"%s{filemd5}","threatname":"%s{threatname}","policy":"%s{policy}","dlpdictnames":"%s{dlpdictnames}","dlpdictcount":"%s{dlpdictcount}","dlpenginenames":"%s{dlpenginenames}","fullurl":"%s{fullurl}","lastmodtime":"%s{lastmodtime}","filescantimems":"%d{filescantimems}","filedownloadtimems":"%d{filedownloadtimems}"\}\}
    

    • SaaS 安全活动

    \{ "sourcetype" : "zscalernss-casb", "event" :\{"login":"%s{username}","tenant":"%s{tenant}","object_type":"%d{objtype1}","applicationname":"%s{appname}","object_name_1":"%s{objnames1}","object_name_2":"%s{objnames2}"\}\}
    

18. 在时区列表中，选择输出文件中时间字段的时区。默认情况下，时区设置为组织的时区。

19. 查看配置的设置。

20. 点击保存以测试连接。如果连接成功，系统会显示一个绿色对勾标记，并显示消息连接测试成功：确定 (200)。

如需详细了解 Google SecOps Feed，请参阅 Google SecOps Feed 文档。如需了解每种 Feed 类型的要求，请参阅按类型划分的 Feed 配置。

如果您在创建 Feed 时遇到问题，请与 Google SecOps 支持团队联系。

字段映射参考

字段映射参考信息：ZSCALER_CASB

下表列出了 ZSCALER_CASB 日志类型的日志字段及其对应的 UDM 字段。

后续步骤

• 将数据注入到 Google SecOps

需要更多帮助？从社区成员和 Google SecOps 专业人士那里获得解答。