Recolha registos da DLP do Zscaler

Este documento explica como exportar registos de DLP do Zscaler configurando um feed do Google Security Operations e como os campos de registo são mapeados para os campos do modelo de dados unificado (UDM) do Google SecOps.

Para mais informações, consulte o artigo Vista geral da ingestão de dados no Google SecOps.

Uma implementação típica consiste no Zscaler DLP e no feed de webhook do Google SecOps configurado para enviar registos para o Google SecOps. Cada implementação do cliente pode ser diferente e mais complexa.

A implementação contém os seguintes componentes:

• Zscaler DLP: a plataforma a partir da qual recolhe registos.

• Feed do Google SecOps: o feed do Google SecOps que obtém registos do Zscaler DLP e escreve registos no Google SecOps.

• Google Security Operations: retém e analisa os registos.

Uma etiqueta de carregamento identifica o analisador que normaliza os dados de registo não processados para o formato UDM estruturado. As informações neste documento aplicam-se ao analisador com a etiqueta ZSCALER_DLP.

Antes de começar

Certifique-se de que cumpre os seguintes pré-requisitos:

• Acesso à consola do Zscaler Internet Access. Para mais informações, consulte o artigo Acesso seguro à Internet e ao SaaS: ajuda do ZIA.
• Zscaler DLP 2024 ou posterior
• Todos os sistemas na arquitetura de implementação estão configurados com o fuso horário UTC.
• A chave da API necessária para concluir a configuração do feed no Google Security Operations. Para mais informações, consulte o artigo Configurar chaves de API.

Configure feeds

Para configurar este tipo de registo, siga estes passos:

1. Aceda a Definições do SIEM > Feeds.
2. Clique em Adicionar novo feed.
3. Clique no pacote de feeds Zscaler.
4. Localize o tipo de registo necessário e clique em Adicionar novo feed.

5. Introduza valores para os seguintes parâmetros de entrada:

   • Tipo de origem: webhook (recomendado)
   • Delimitador de divisão: o caráter usado para separar linhas de registos. Deixe em branco se não for usado nenhum delimitador.

   Opções avançadas

   • Nome do feed: um valor pré-preenchido que identifica o feed.
   • Espaço de nomes do recurso: espaço de nomes associado ao feed.
   • Etiquetas de carregamento: etiquetas aplicadas a todos os eventos deste feed.

6. Clique em Criar feed.

Para mais informações sobre a configuração de vários feeds para diferentes tipos de registos nesta família de produtos, consulte o artigo Configure feeds por produto.

Configure a DLP do Zscaler

1. Na consola do Zscaler Internet Access, aceda a Administração > Serviço de streaming de nanologs > Feeds de NSS na nuvem.
2. Clique em Adicionar feed NSS da nuvem.
3. Introduza um nome para o feed no campo Nome do feed.
4. Selecione NSS para Web em Tipo de NSS.
5. Selecione o estado na lista Estado para ativar ou desativar o feed NSS.
6. Mantenha o valor no menu Taxa de SIEM como Ilimitado. Para suprimir o fluxo de saída devido a licenciamento ou outras restrições, altere o valor.
7. Selecione Outro na lista Tipo de SIEM.
8. Selecione Desativado na lista Autenticação OAuth 2.0.
9. Introduza um limite de tamanho para uma carga útil de pedido HTTP individual para a prática recomendada do SIEM em Tamanho máximo do lote (por exemplo, 512 KB).

10. Introduza o URL HTTPS do ponto final da API Chronicle no URL da API no seguinte formato:

    https://<CHRONICLE_REGION>-chronicle.googleapis.com/v1alpha/projects/<GOOGLE_PROJECT_NUMBER>/locations/<LOCATION>/instances/<CUSTOMER_ID>/feeds/<FEED_ID>:importPushLogs
    

    • CHRONICLE_REGION: região onde a sua instância do Google SecOps está alojada (por exemplo, US).
    • GOOGLE_PROJECT_NUMBER: número do projeto BYOP (obtenha-o no C4).
    • LOCATION: região do Google SecOps (por exemplo, US).
    • CUSTOMER_ID: ID de cliente do Google SecOps (obtenha-o no C4).
    • FEED_ID: ID do feed apresentado na IU do feed no novo webhook criado.

    URL da API de exemplo:

    https://us-chronicle.googleapis.com/v1alpha/projects/12345678910/locations/US/instances/xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx/feeds/yyyyyyyy-yyyy-yyyy-yyyy-yyyyyyyyyyyy:importPushLogs
    

11. Clique em Adicionar cabeçalho HTTP e, de seguida, adicione cabeçalhos HTTP no seguinte formato:

    • Header 1: Key1: X-goog-api-key e Value1: chave da API gerada nas credenciais da API do Google Cloud BYOP.
    • Header 2: Key2: X-Webhook-Access-Key e Value2: chave secreta da API gerada na "CHAVE SECRETA" do webhook.

12. Selecione DLP de ponto final na lista Tipos de registos.

13. Selecione JSON na lista Tipo de saída do feed.

14. Defina o caráter de escape do feed como , \ ".

15. Para adicionar um novo campo ao formato de saída do feed,selecione Personalizado na lista Tipo de saída do feed.

16. Copie e cole o Formato de saída do feed e adicione novos campos. Certifique-se de que os nomes das chaves correspondem aos nomes dos campos reais.

    Segue-se o formato de saída do feed predefinido:

    \{ "sourcetype" : "zscalernss-edlp", "event" :\{"time":"%s{time}","recordid":"%d{recordid}","login":"%s{user}","dept":"%s{department}","filetypename":"%s{filetypename}","filemd5":"%s{filemd5}","dlpdictnames":"%s{dlpdictnames}","dlpdictcount":"%s{dlpcounts}","dlpenginenames":"%s{dlpengnames}","channel":"%s{channel}","actiontaken":"%s{actiontaken}","severity":"%s{severity}","rulename":"%s{triggeredrulelabel}","itemdstname":"%s{itemdstname}"\}\}
    

17. Selecione o fuso horário para o campo Hora no ficheiro de saída na lista Fuso horário. Por predefinição, o fuso horário é definido como o fuso horário da sua organização.

18. Reveja as definições configuradas.

19. Clique em Guardar para testar a conetividade. Se a ligação for bem-sucedida, é apresentada uma marca de verificação verde acompanhada da mensagem Test Connectivity Successful: OK (200).

Para mais informações sobre os feeds do Google SecOps, consulte a documentação dos feeds do Google SecOps. Para obter informações sobre os requisitos de cada tipo de feed, consulte o artigo Configuração do feed por tipo.

Se tiver problemas ao criar feeds, contacte o apoio técnico da Google SecOps.

Formatos de registos DLP do Zscaler suportados

O analisador DLP do Zscaler suporta registos no formato JSON.

Registos de exemplo da DLP do Zscaler suportados

• JSON:

  {
    "sourcetype": "zscalernss-edlp",
    "event": {
      "time": "Thu Jun 20 21:14:56 2024",
      "recordid": "7382697059455533057",
      "login": "dummy@domain.com",
      "dept": "General Group",
      "filetypename": "xlsx",
      "filemd5": "9a2d0d62c22994a98f65939ddcd3eb8f",
      "dlpdictnames": "Social Security Number (US): Detect leakage of United States Social Security Numbers|Credit Cards: Detect leakage of credit card information|Aadhaar Card Number (India): Detect Leakage of Indian Aadhaar Card Numbers",
      "dlpdictcount": "1428|141|81",
      "dlpenginenames": "Dummy Engine|cc|PCI|GLBA|HIPAA",
      "channel": "Removable Storage",
      "actiontaken": "Confirm Allow",
      "severity": "High Severity",
      "rulename": "Endpoint_DLP_",
      "itemdstname": "Removable Storage"
    }
  }
  

Tabela de mapeamento da UDM

A tabela seguinte apresenta os campos de registo do ZSCALER_DLP tipo de registo e os respetivos campos UDM.

Precisa de mais ajuda? Receba respostas de membros da comunidade e profissionais da Google SecOps.