收集 Zscaler CASB 記錄

本文說明如何設定 Google 安全作業動態饋給，並將記錄欄位對應至統一資料模型 (UDM)，以便匯出 Zscaler CASB 記錄。

詳情請參閱「將資料匯入 Google SecOps 總覽」。

一般部署作業包括 Zscaler CASB 和 Google SecOps Webhook 動態饋給，並設定為將記錄傳送至 Google SecOps。不過，部署詳細資料可能因客戶而異，且可能更為複雜。

部署作業包含下列元件：

• Zscaler CASB：您收集記錄的平台。

• Google SecOps 動態饋給：從 Zscaler CASB 擷取記錄，並將記錄寫入 Google SecOps 的 Google SecOps 動態饋給。

• Google SecOps：保留並分析記錄檔。

擷取標籤可識別剖析器，將原始記錄資料正規化為具結構性的 UDM 格式。本文件適用於與 ZSCALER_CASB 攝入標籤相關聯的剖析器。

事前準備

• 請確認您可以存取 Zscaler Internet Access 控制台。詳情請參閱「Secure Internet and SaaS Access ZIA 說明」。
• 請確認您使用的是 Zscaler CASB 1.0 或 2.0 版。
• 請確認部署架構中的所有系統都已設定世界標準時間。
• 請確認您已取得在 Google SecOps 中完成動態饋給設定所需的 API 金鑰。詳情請參閱「設定 API 金鑰」。

在 Google SecOps 中設定擷取動態饋給，以便擷取 Zscaler CASB 記錄

1. 依序前往「設定」>「動態消息」。
2. 按一下「新增」。
3. 在「動態饋給名稱」欄位中輸入動態饋給的名稱 (例如 Zscaler CASB Logs)。
4. 將「來源類型」設為「Webhook」。
5. 選取「Zscaler CASB」做為「記錄類型」。
6. 點按「Next」。
7. 選用：輸入下列輸入參數的值：
   1. 分隔符號：用來分隔記錄行數的字元。如果沒有使用分隔符號，請留空。
   2. Asset namespace：資產命名空間。
   3. 攝入標籤：要套用至這個動態饋給事件的標籤。
8. 點按「Next」。
9. 查看新的動態饋給設定，然後按一下「提交」。
10. 按一下「產生密鑰」，產生用於驗證這則動態饋給的密鑰。

設定 Zscaler CASB

1. 在 Zscaler Internet Access Console 中，依序點選「Administration」>「Nanolog Streaming Service」>「Cloud NSS Feeds」>「Add Cloud NSS Feed」。
2. 在「新增 Cloud NSS 動態饋給」視窗中輸入詳細資料。
3. 在「動態饋給名稱」欄位中，輸入動態饋給的專屬名稱。
4. 在「NSS Type」中選取「Zscaler for Web」。
5. 在「狀態」清單中選取狀態，即可啟用或停用 NSS 動態饋給。
6. 除非因授權或其他限制而需要限制輸出串流，否則請將「SIEM Rate」設為「Unlimited」。
7. 在「SIEM 類型」清單中，選取「其他」。
8. 在「OAuth 2.0 驗證」清單中，選取「已停用」。
9. 在「Max Batch Size」欄位中，輸入 SIEM 最佳做法中單一 HTTP 要求酬載大小上限，例如 512 KB。

10. 在「API 網址」欄位中，使用下列格式輸入 Chronicle API 端點的 HTTPS 網址：

      https://<CHRONICLE_REGION>-chronicle.googleapis.com/v1alpha/projects/<GOOGLE_PROJECT_NUMBER>/locations/<LOCATION>/instances/<CUSTOMER_ID>/feeds/<FEED_ID>:importPushLogs
    

    • CHRONICLE_REGION：Google SecOps 執行個體的代管區域。例如：US。
    • GOOGLE_PROJECT_NUMBER：BYOP 專案編號。請從 C4 取得這項資訊。
    • LOCATION：Chronicle (Google SecOps) 區域 (與 CHRONICLE_REGION 相同)。例如 US。
    • CUSTOMER_ID：您的 Google SecOps 客戶 ID。從 C4 取得。
    • FEED_ID：新建立的 webhook 動態饋給 ID (顯示在動態饋給 UI 中)。

    • API 網址範例：

      https://us-chronicle.googleapis.com/v1alpha/projects/12345678910/locations/US/instances/xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx/feeds/yyyyyyyy-yyyy-yyyy-yyyy-yyyyyyyyyyyy:importPushLogs
      

11. 按一下「Add HTTP Header」，然後使用以下格式新增 HTTP 標頭：

    • Header 1：Key1： X-goog-api-key 和 Value1：API 金鑰，由 Google Cloud BYOP 的 API 憑證產生。
    • Header 2：Key2: X-Webhook-Access-Key 和 Value2: 在 webhook 的「SECRET KEY」中產生的 API 密鑰。

12. 在「記錄類型」清單中，選取「SaaS 安全性」或「SaaS 安全性活動」。

13. 在「動態饋給輸出類型」清單中，選取「JSON」。

14. 將「Feed Escape Character」設為 , \ "。

15. 在「動態饋給輸出類型」清單中，選取「自訂」，即可在「動態饋給輸出格式」中新增欄位。

16. 複製並貼上動態饋給輸出格式，然後視需要新增欄位。請確認鍵名稱與實際欄位名稱相符。

17. 以下是預設的動態饋給輸出格式：

    • SaaS 安全性

    \{ "sourcetype" : "zscalernss-casb", "event" :\{"datetime":"%s{time}","recordid":"%d{recordid}","company":"%s{company}","tenant":"%s{tenant}","login":"%s{user}","dept":"%s{department}","applicationname":"%s{applicationname}","filename":"%s{filename}","filesource":"%s{filesource}","filemd5":"%s{filemd5}","threatname":"%s{threatname}","policy":"%s{policy}","dlpdictnames":"%s{dlpdictnames}","dlpdictcount":"%s{dlpdictcount}","dlpenginenames":"%s{dlpenginenames}","fullurl":"%s{fullurl}","lastmodtime":"%s{lastmodtime}","filescantimems":"%d{filescantimems}","filedownloadtimems":"%d{filedownloadtimems}"\}\}
    

    • 軟體即服務 (SaaS) 安全性活動

    \{ "sourcetype" : "zscalernss-casb", "event" :\{"login":"%s{username}","tenant":"%s{tenant}","object_type":"%d{objtype1}","applicationname":"%s{appname}","object_name_1":"%s{objnames1}","object_name_2":"%s{objnames2}"\}\}
    

18. 在「Timezone」清單中，選取輸出檔案中「Time」欄位的時區。根據預設，時區會設為貴機構的時區。

19. 查看已設定的設定。

20. 按一下「儲存」即可測試連線。如果連線成功，畫面上就會顯示綠色勾號，並顯示「Test Connectivity Successful: OK (200)」訊息。

如要進一步瞭解 Google SecOps 動態饋給，請參閱 Google SecOps 動態饋給說明文件。如要瞭解各個動態饋給類型的規定，請參閱「依類型分類的動態饋給設定」。

如果在建立動態饋給時遇到問題，請與 Google SecOps 支援團隊聯絡。

欄位對應參考資料

欄位對應參考資料：ZSCALER_CASB

下表列出 ZSCALER_CASB 記錄類型的記錄欄位及其對應的 UDM 欄位。

後續步驟

• 將資料擷取至 Google SecOps

還有其他問題嗎？向社群成員和 Google SecOps 專家尋求解答。